أول ٢٤ ساعة بعد الاختراق: خطة استجابة للمشاريع الصغيرة

رسالة من عميل: «وصلني إيميل غريب منكم». أو صفحة الموقع صارت تعرض شيئاً ما كتبته. أو طلبات بمبالغ غريبة. أول ردة فعل طبيعية: ذعر، ثم حذف كل شيء مشبوه بسرعة. وهذي بالضبط أكثر خطوة تضيّع الأدلة وتخليك ما تعرف وش صار. الاستجابة الجيدة تبدأ بالهدوء وقائمة مكتوبة مسبقاً.

الساعة الأولى: احتوِ ولا تمسح

• سجّل الوقت وكل ما لاحظته: لقطات شاشة، رسائل العملاء، الروابط الغريبة.
• لو الضرر مستمر، ضع الموقع في وضع الصيانة أو أوقف الخدمة المتأثرة بدل حذفها.
• غيّر كلمات مرور حسابات الإدارة والاستضافة والإيميل من جهاز نظيف، وفعّل المصادقة الثنائية.
• ألغِ مفاتيح الخدمات الحساسة وأنشئ مفاتيح جديدة: الدفع، الرسائل، التخزين.
• سجّل خروج كل الجلسات النشطة في لوحة التحكم.
• لا تحذف ملفات أو سجلات، خذ نسخة من الوضع الحالي كما هو.

من تكلّم أولاً؟

جهّز هذي القائمة اليوم، مو يوم الحادثة: المطوّر أو الجهة اللي تدير النظام، مزود الاستضافة، بوابة الدفع لو فيه شبهة على بيانات مالية، والبنك. خلّ أرقامهم وطرق التواصل الطارئة في مكان تقدر توصله حتى لو إيميلك نفسه مخترق.

الساعات التالية: افهم وش صار

• من وين دخل المهاجم؟ حساب مسروق، إضافة قديمة، ثغرة في الكود، أو مفتاح مكشوف.
• متى بدأ؟ سجلات الدخول والسيرفر تحدد بداية الحادثة.
• وش وصل له؟ قاعدة العملاء، الطلبات، الملفات، أو الواجهة فقط.
• هل ترك باباً خلفياً؟ حساب مدير جديد، ملف غريب، مهمة مجدولة.

لا تعيد تشغيل النظام قبل ما تعرف طريقة الدخول. الإرجاع من نسخة احتياطية بدون سد الثغرة يرجّع المهاجم معه، وأحياناً النسخة نفسها فيها الباب الخلفي لو كانت بعد بداية الاختراق.

الاسترجاع النظيف

• سد الثغرة أولاً: تحديث، حذف الإضافة، إصلاح الكود، أو إلغاء الحساب.
• استرجع من نسخة قبل تاريخ بداية الاختراق.
• راجع كل حسابات المدراء وحذف ما لا تعرفه.
• راقب النظام عن قرب للأيام التالية.

إبلاغ العملاء: الصراحة تحفظ السمعة

لو وصل المهاجم لبيانات العملاء، سكوتك ما يخفي الحادثة، يأجل اكتشافها ويحولها لفضيحة. بلّغهم برسالة واضحة: وش صار، وش البيانات المتأثرة، وش سويت، ووش ينصحهم يسوون مثل تغيير كلمة المرور أو الحذر من رسائل باسمك. وفي السعودية نظام حماية البيانات الشخصية يتضمن التزامات تتعلق بالإبلاغ عن التسربات، فراجع مختصاً عن ما يلزمك تحديداً.

بعد أسبوع: جلسة بلا لوم

اجلس مع من شارك واكتبوا: وش صار، وش ساعد، وش أخّر، ووش بيتغير. الهدف مو معاقبة شخص، الهدف إن نفس الباب ما ينفتح مرتين. وحدّث القائمة المكتوبة بما تعلمته.

حالات خاصة تحتاج تعاملاً مختلفاً

• اختراق حساب سوشيال ميديا: استخدم مسار الاسترداد الرسمي في المنصة فوراً، وبلّغ متابعيك من حساب بديل ألا يتفاعلوا مع أي رسائل أو روابط.
• فدية وتشفير الملفات: لا تتواصل ولا تدفع قبل استشارة مختص، وافصل الأجهزة المصابة عن الشبكة، واعتمد على النسخ الاحتياطية المعزولة.
• تسريب بيانات دفع مشتبه: تواصل مع بوابة الدفع مباشرة، لأن عندها إجراءات خاصة لهذا النوع.
• اختراق إيميل الشركة: راجع قواعد إعادة التوجيه والرسائل المرسلة، لأن المهاجم غالباً يستخدمه لخداع عملائك وموردينك.

جهّز «حقيبة الطوارئ» اليوم

الاستجابة السريعة تعتمد على أشياء لازم تكون جاهزة قبل الحادثة: وثيقة من صفحة وحدة فيها الخطوات أعلاه، قائمة جهات التواصل، مكان الوصول لحسابات الطوارئ، ونسخ احتياطية محفوظة خارج النظام الأساسي. واطبعها أو احفظها في مكان ما يعتمد على الإيميل أو السيرفر، لأن الحادثة ممكن تكون فيهم بالذات. وحدد مين يتخذ القرار في غيابك، عشان ما تتوقف الاستجابة لأن المالك مسافر أو نايم.

لا تنسَ نفسك وفريقك

الحوادث مرهقة، والتعب يسبب أخطاء. وزّع المهام بدل ما يتحملها شخص واحد لساعات متواصلة، ووثّق كل قرار مع وقته، وخذوا فترات راحة قصيرة. القرار المستعجل من شخص منهك ممكن يوسع الضرر بدل ما يحتويه.

أفضل وقت تكتب فيه خطة الاستجابة هو اليوم وأنت هادئ. لو تبي مساعدة في تجهيزها لنظامك، أو مراجعة ما بعد حادثة مع إغلاق الثغرة، تواصل مع منصة أزهل الرقمية على واتساب.