لقد أصبحت خروقات البيانات من طرف ثالث شائعة بشكل متزايد، مما يسلط الضوء على الدور الحيوي لبرامج الأمن السيبراني التي تشمل إدارة مخاطر الطرف الثالث السيبرانية، مثل التجار والموردين والشركات التابعة. تعود أصول هذه الخروقات إلى الأيام الأولى للإنترنت عندما دفعت المعاملات عبر الإنترنت المتزايدة الشركات إلى تجميع بيانات العملاء الواسعة، بما في ذلك الأسماء والعناوين وتفاصيل الدفع.
في المشهد الحالي، تعتمد الشركات بشكل كبير على بائعي الطرف الثالث لمختلف الخدمات مثل معالجة الدفع، والبنية التحتية السحابية، وتكاملات واجهة برمجة التطبيقات (API)، ودعم العملاء، والتسويق. يمتلك هؤلاء البائعون وصولاً أكبر إلى بيانات العملاء الحساسة، وبالتالي يصبحون أهدافًا رئيسية لمجرمي الإنترنت، أهدافًا رئيسية تتعرض لضرر بالغ.
يشير معهد بونيمون إلى أن 54٪ من الشركات عانت من خروقات بيانات ناتجة عن أطرافها الثالثة، بينما لا تمتلك 61٪ من الشركات قائمة شاملة بأطرافها الثالثة.
في السنوات الأخيرة، وقعت خروقات بيانات بارزة، شملت كيانات مثل SolarWinds و Marriott. كشفت هذه الخروقات عن بيانات حرجة مثل تفاصيل بطاقات الائتمان، وأرقام الضمان الاجتماعي، وبيانات التعريف الشخصية، مما أدى إلى سرقة الهوية والتلاعب المالي والجرائم السيبرانية.
من أواخر عام 2022 إلى منتصف عام 2023، ظهرت العديد من خروقات بيانات الطرف الثالث الإضافية، مما يعرض البيانات الشخصية لعدد لا يحصى من الأفراد للخطر، ويؤدي إلى تكاليف لا يمكن قياسها وأضرار بالسمعة.
فيما يلي أبرز خروقات بيانات الطرف الثالث الأخيرة.
أغسطس
عانى Discord، وهو منصة تواصل اجتماعي للمراسلة الفورية والصوت عبر بروتوكول الإنترنت (VoIP)، من خرق بيانات طرف ثالث من Discord.io، وهي خدمة تسمح لأصحاب الخوادم بإنشاء دعوات مخصصة لقنواتهم.
كشف التسريب عن معلومات 760 ألف عضو. تشمل المعلومات المسربة اسم المستخدم الخاص بالعضو، وعنوان البريد الإلكتروني، وعنوان الفوترة (لعدد قليل من الأشخاص)، وكلمة المرور المشفرة والمجزأة (لعدد قليل من الأشخاص)، ومعرف Discord.
أكد Discord.io خرق البيانات وأغلق خدماته استجابة لذلك.
يونيو
- اعترفت شركة Taiwan Semiconductor Manufacturing Company (TSMC)، أكبر شركة تصنيع عقود الرقائق في العالم، وأحد أكبر موردي Apple، بوجود خرق مرتبط بموردها Kinmax. تطالب مجموعة برامج الفدية LockBit بفدية قدرها 70 مليون دولار لعدم الكشف عن البيانات المسروقة. يُعرف هذا بأنه أحد أكبر طلبات الفدية في التاريخ.
- أكدت التقارير وجود اختراقات أثرت على منظمات مختلفة، بما في ذلك وكالات حكومية أمريكية، مستغلة ثغرة في أداة MOVEit Transfer الخاصة بـ Progress Software. تستغل عصابة برامج الفدية CLP هذه الثغرة لتحقيق الربح، مما يؤثر على الأطراف الثالثة وسط تقييم مستمر لحجم الهجوم.
- أكدت الحكومة السويسرية إصابة بائع برامج، Xplain، ببرامج ضارة. نشر مجرمو الإنترنت بعض البيانات على الويب المظلم. تحتوي مجموعة البيانات على أكثر من 425 ألف عنوان.
مايو-أبريل
– أكدت شركة Luxottica، أكبر شركة نظارات في العالم، تسرب معلومات 70 مليون عميل بعد خرق بيانات وقع في عام 2021. تمتلك الشركة علامات تجارية مثل Ray-Ban و Chanel و Prada و Versace و Dolce and Gabbana و Burberry و Giorgio Armani و Michael Kors و Oakley، من بين أخرى.
أكدت الشركة أن البيانات المسربة نتجت عن حادث أمني أثر على مقاول طرف ثالث يحتفظ ببيانات العملاء.
مارس
- كشفت AT&T عن خرق أثر على حوالي 9 ملايين حساب لاسلكي. اخترق شخص غير مصرح له نظام بائع طرف ثالث يقدم خدمات تسويقية. بينما تم الوصول إلى بيانات مثل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وخطوط الحسابات والخطط اللاسلكية، لم يتم أخذ أرقام الضمان الاجتماعي أو كلمات المرور أو البيانات المالية.
كشفت LinkedIn عن خرق أثر على 700 مليون مستخدم. باستغلال ثغرة في مكتبة برامج طرف ثالث، وصل المتسللون إلى بيانات مثل الأسماء وعناوين البريد الإلكتروني. حثت LinkedIn على تحديث كلمات المرور واتخذت تدابير أمنية إضافية.
يناير (23) - ديسمبر (22)
عانت T-Mobile من خرق أثر على 40 مليون عميل. دخل المتسللون عبر بائع طرف ثالث، وسرقوا بيانات بما في ذلك الأسماء وأرقام الهواتف والعناوين وأرقام الضمان الاجتماعي والتراخيص. قدمت T-Mobile مراقبة ائتمانية مجانية وعززت الأمن.
أكدت Uber خرقًا في ديسمبر 2022. وصل المهاجمون إلى رسائل البريد الإلكتروني للموظفين وأصول تكنولوجيا المعلومات وبيانات الشركة. عبر بائع Teqtivity، قاموا بتنفيذ هجمات تصيد احتيالي. يمكن للمعلومات المسربة أن تغذي حملات مستهدفة.
تسلط هذه الخروقات الضوء على المخاطر المرتبطة ببائعي الطرف الثالث، مما يؤكد ضرورة وجود تدابير أمن سيبراني قوية.
خاتمة
للتخفيف من مخاطر خروقات بيانات الطرف الثالث، يجب على الشركات تجاوز مجرد مراجعة تقارير SOC2 وتوزيع الاستبيانات. على الرغم من عمليات مراجعة قوية للبائعين، لا تزال بعض الشركات تقع ضحية. يمتد هذا ليشمل فحص سياسات الأمان والاتفاقيات وحدود الوصول. هناك اتجاه ناشئ: تقييمات خارجية لمخاطر الثغرات بشكل دوري. يوفر هذا نفس رؤية المخاطر السيبرانية التي يراها المهاجمون ويعزز مناقشات المخاطر الاستباقية.
تركز Onlayer على أمن سلسلة التوريد للمؤسسات في مجموعة متنوعة من القطاعات، من المؤسسات المالية إلى الطاقة والتأمين، وتقييم وإدارة مخاطر بائعي المنظمات الرئيسية والتجار والشركات التابعة والأطراف الثالثة الأخرى بشكل دوري. من خلال اكتشاف هذه المخاطر وتحديد أولوياتها ومعالجتها، تقلل Onlayer من مخاطر خروقات البيانات وتمنع الأضرار المالية والسمعة.
تواصل معنا و اطلب عرضًا توضيحيًا لاستكشاف كيف يمكننا التخفيف من مخاطر الطرف الثالث ومعالجتها.
