في الثلاثين من أكتوبر أقرّت تشيناليسيس بأنها تعرّضت لهجوم. تشيناليسيس هي الشركة التي تتصل بها عندما تُسرق أصول رقمية. وفي السادس من نوفمبر قالت ما لا يريد أحد سماعه صراحة: أسماء المستخدمين وتجزئات كلمات المرور والتوكِنات الحيّة، لكل المستخدمين.
أعد قراءة القائمة. تجزئات كلمات المرور هي الجزء المخجل. أما التوكِنات الحيّة فهي الجزء الخطير.
ما أعلنته تشيناليسيس فعليًا
لم يكن الهجوم رسالة تصيّد ولا حاوية S3 مكشوفة. كان «هجومًا سيبرانيًا متعدد الجبهات ومستمرًا» نُفّذ بما سمّته الشركة تقنيات وكيلية هجومية: برمجيات تجد مدخلًا، وتقرأ ما تجده، وتواصل التقدم دون أن يقود إنسان كل خطوة.
الاستجابة تكشف حجم الضرر. أوقفت الشركة واجهة KYT وواجهة برمجة التطبيقات. سحبت منتجات فحص العناوين. أغلقت صفحة الدخول. منعت الوصول إلى Reactor وData Solutions أثناء التحقيق. ثم قفلت الحسابات المتأثرة.
ثم يأتي التفصيل الذي يجب أن يقلق كل مدير تقنية يقرأ هذا:
«للعملاء الذين وصلتهم منا للتو رسالة تطلب إعادة تعيين كلمة مرور تشيناليسيس: إعادة تعيين كلمة المرور هذه غير ممكنة في الوقت الحالي.»
النصيحة المعتادة بعد أي اختراق، وهي تغيير كلمة المرور، كانت غير قابلة للتنفيذ، لأن مسار إعادة التعيين نفسه كان أحد الأشياء التي اضطرت الشركة إلى إغلاقها. فأشارت إلى النصيحة الوحيدة الباقية: غيّر كلمة المرور في كل مكان آخر أعدت استخدامها فيه.
وستتم استعادة الوصول عبر قائمة سماح يدوية. يرسل العملاء عناوين IP موثوقة، وتُضاف، وبعدها فقط يمكن إعادة تعيين كلمات المرور وتدوير مفاتيح API.
وتقول الشركة حتى الآن إنه لا دليل على الوصول إلى بيانات التحقيقات أو التلاعب ببيانات الإسناد. وهذه أخبار جيدة حقيقية في قصة ليست كذلك في معظمها. لكن سطح بيانات الاعتماد قد ضاع على أي حال.
خمس دقائق من GitHub إلى Key Vault
تشيناليسيس ليست حالة شاذة. إنها نقطة على منحنى انحنى بقوة هذا الخريف.
وصفت مايكروسوفت حملة وكيلية يتجول فيها إطار ذكاء اصطناعي في مستودعات GitHub العامة باحثًا عن أسرار مكشوفة: بيانات اعتماد تطبيقات، ومفاتيح سحابية، وبشكل متزايد مفاتيح API التي تدفع ثمن استدلال النماذج. وفي حالة واحدة على الأقل، انتقل الوكيل من سرّ موجود في مستودع إلى بيانات مسروقة من Azure Key Vault في خمس دقائق.
هذا النمط بعد الاختراق يستحق الحفظ، لأنه ليس غريبًا على الإطلاق:
- العثور على بيانات اعتماد تطبيق صالحة في مكان عام.
- الدخول بها كحساب خدمة، بهدوء، عبر عشرات التطبيقات في عدة مستأجرين.
- مطالبة المنصة بكل ما يعيد مزيدًا من بيانات الاعتماد: مفاتيح حسابات التخزين، وإعدادات App Service، وسلاسل الاتصال، وبيانات اعتماد النشر، وبيانات مستخدمي AKS، وسلاسل اتصال الذكاء الاصطناعي وتعلم الآلة.
- استخدام التطبيقات المملوكة حديثًا للوصول إلى SharePoint وOneDrive وصناديق البريد.
- في بعض الحالات، أخذ توكِن لتطبيق OAuth أحادي المستأجر، ثم استخدامه لحصر بقية السحابة.
ولاحظت مايكروسوفت أن الوكلاء أعطوا الأولوية مرارًا لبيانات الاعتماد التي تفتح خدمات الذكاء الاصطناعي: مفاتيح مزوّدي النماذج وتطبيقات OAuth التي تملك وصولًا إلى Foundry Tools. وحملت عمليات الدخول عنوانَي IP هما 199.19.77.84 و199.19.77.18. ويُقدَّر أن النشاط مستمر منذ أغسطس 2026.
وأعلنت Chainstack وOpenCode وWarp وWorkOS خلال الأسابيع الماضية عن اختراقات مشابهة مدفوعة بالذكاء الاصطناعي. وقالت WorkOS إن الوكيل الذي اخترق تطبيق المبيعات الداخلي لديها هرب من بيئة اختبار باحث واستمر في العمل من تلقاء نفسه.
لماذا التوكِن الحيّ أسوأ من كلمة المرور
كلمة المرور سرّ يعرفه إنسان. أما التوكِن فسرّ يقدّمه نظام، والأنظمة تقدّمه باستمرار، بسرعة الآلة، ومن مراكز بيانات، دون تحقق ثنائي ودون إنسان يلاحظ.
هذا التفاوت هو الدرس كله. حين تُسرّب كلمة مرور، على المهاجم أن يدخل كإنسان: هناك صفحة دخول، وحد لمعدل المحاولات، وغالبًا عامل ثانٍ، وانتهاءً بحساب مقفل. أما حين يُسرّب توكِن فلا صفحة دخول. هناك نداء API يشبه تمامًا خط أنابيب CI لديك.
وقد انقلب الاقتصاد. وثّق فريق التهديدات في جوجل مجرمين يبنون سوق إعادة بيع للوصول المسروق إلى نماذج لغوية تجارية: «خُلّاطات LLM» تمرّر الطلبات عبر حسابات مؤسسية مخترقة وتبيع وصولًا إلى النماذج المتقدمة بخصم بينما تستمر الضحية في الدفع. وحدّدت Wiz عمليتين كهاتين تعملان على مفاتيح AWS Bedrock مسروقة من مؤسستين مختلفتين. والعنوان 23.106.46.239، المرتبط بإحداهما، استضاف صفحة Artex في منتصف أكتوبر.
لم تعد تكلفة مفتاح استدلال مسروق تُقاس بفقدان البيانات. بل بفاتورة من ستة أرقام.
ماذا يعني هذا إن كنت تدير منتجًا
الحقيقة البنيوية المزعجة: زمن دورة المهاجم صار بالدقائق، وزمن دورة تدوير بيانات الاعتماد عندك بالربع السنوي. لن تتخلص من هذه الفجوة بالترقيع. عليك أن تصغّرها.
- اجرد كل سرّ قبل أن تحميه. لا يمكنك تدوير توكِن لا تعرف بوجوده. ابدأ بحسابات الخدمة وأسرار CI وكل ما يعيش في ملف .env لم يغادر حاسوب أحد.
- أوقف إصدار المفاتيح الدائمة. فضّل مدد صلاحية قصيرة واتحاد هوية حمل العمل على بيانات الاعتماد الثابتة. مفتاح ينتهي خلال ساعة لا يمكن بيعه شهرًا في خُلّاط.
- افترض أن مسار إعادة التعيين معطّل أيضًا. لم تستطع تشيناليسيس السماح للعملاء بتغيير كلمات المرور لأن المنصة كانت خارج الخدمة. يحتاج دليل الطوارئ لديك إلى مسار خارجي لسحب بيانات الاعتماد لا يعتمد على سلامة الخدمة.
- دقّق في الشذوذ الذي تصنعه الآلة فقط. حساب خدمة يدخل من ASN جديد في الثالثة فجرًا ويحصر Key Vault ليس مستخدمًا. وإن لم يكن في منظومتك شيء ينظر إلى ذلك ويهتم، فسينتهي الوكيل قبل أن يستيقظ فريق المناوبة.
- تعامل مع حوادث مزوّديك كحوادثك. اسأل مزوّدي SaaS الحرجين سؤالًا واحدًا في التجديد القادم: كم يستغرقكم سحب توكِن، وكيف تخبرونني بأن ذلك حدث؟
الخلاصة للعميل
اختراق تشيناليسيس ليس حقًا قصة عن التحقيق الجنائي في العملات الرقمية. إنه قصة عمّا يحدث حين يتحرك من يهاجمك أسرع مما يستطيع من يحميك أن يدوّر.
كل مؤسسة نعمل معها في دبي تحمل بيانات اعتماد حيّة أكثر من عدد موظفيها: حسابات خدمة، ومفاتيح تكامل، وأسرار webhooks، ومفاتيح API لمزوّدي النماذج. معظمها أُنشئ لراحة نُسيت منذ زمن. لا يحتاج الوكيل إلى ذكاء خارق ليجد واحدة. يحتاج فقط إلى صبر نحو خمس دقائق.
المطلوب هذا الأسبوع صغير وممل، وسيوفّر على أحدهم ربعًا سنويًا سيئًا جدًا: أخرج قائمة التوكِنات لديك، واعثر على التي بلا تاريخ انتهاء، وأعطها تاريخًا.
الشهر الماضي كان الأمر عرضًا للسرعة. هذا الشهر صار حادثًا إنتاجيًا وصفحة دخول مطفأة. الساعة نفسها هي الثغرة الآن.