في القطاع المصرفي العالمي.. «التطبيقات» و«الأمن» لا يختلطان

تحدث أكبر عمليات السطو المصرفي من الداخل، بأسلوب يشبه سيناريو فيلم «المرشح المنشوري»، حيث يعمل العامل النائم على اختراق منظمة ما وتجميع المعلومات الاستخبارية حتى يحين الوقت للهجوم. وهكذا كانت الحال في حادثة سرقة بنك بنغلاديش.
في فبراير، كشف البنك المركزي في بنغلاديش عن أنه كان قد وقع ضحية لعملية سرقة بقيمة 81 مليون دولار. (في الواقع، كشفت صحيفة ديلي إنكوايرر في الفلبين عن الأنباء - لأن بنك بنجلاديش كان يفضل الاحتفاظ بالمعلومات طي الكتمان ريثما يتم التحقيق في الموضوع).
منذ ذلك الحين، كشفت عشرات من البنوك في جميع أنحاء العالم عن سلسلة من عمليات السرقة التي تتضمن SWIFT سويفت، نظام المراسلة المالي العالمي. فقط الأسبوع الماضي، كشف نظام سويفت عن هجمات إلكترونية جديدة تتضمن ذلك النظام. في كل حالة، تم استخدام أجهزة الكمبيوتر في البنك؛ لتمكين القيام بطلبات النقل غير المصرح بها.
كان المراقبون متسرعين في تسمية تلك الحوادث بأنها عمليات اختراق لسويفت، لكن نظام سويفت يعتبر شبكة للاتصالات. وإلقاء اللوم عليه في حصول تلك العمليات من السطو يشبه إلقاء اللوم على رسائل البريد الإلكتروني فيما يتعلق بوصول رسائل البريد المزعجة إلى حسابك.
وتقول المؤسسة المسؤولة عن نظام سويفت، إن الشبكة الخاصة به وخدمات المراسلة الأساسية لم يتم اختراقها. وهذا صحيح على الأرجح. كانت البنوك التي تعرضت للاختراق تعمل على إدارة حزمة من البرمجيات تدعى (أليانس أكسس)، تقدم واجهة تطبيق لشبكة سويفت. وبرمجية العملاء كانت الجزء الذي تعرض للاختراق والقرصنة.
ويصف دليل المستخدم الخاص بنظام سويفت (أليانس أكسس) واجهة التطبيق لديه كما يلي:
الحزم التي تعمل في نظام ملقم منصة الويب أليانس هي عبارة عن تطبيقات لواجهة المستخدم الرسومية الخاصة بالعميل والتي تتطلب فقط وجود محرك البحث (إنترنت إكسبلورر) أو (فاير فوكس) على سطح المكتب.
لا بأس إذن، طالما أن متطلبات النظام الوحيدة هي متصفحات الويب المتاحة الأولى والثانية الأكثر استغلالا. وطالما نحن في الموضوع، هل تود أن توصي بأن يقوم العملاء لديك بتشغيل نظام ويندوز 95 الذي يعود إلى 20 عاما؟
بصرف النظر عن حقيقة أن أصول البنك المركزي يمكن التحكم بها وبكل سهولة من خلال مستعرض الويب، إلا أن الطبيعة السهلة لبرمجية سويفت تعني أن الجهاز المضيف لها يمكنه أن يقدم وبكل سهولة أكثر من فائدة سواء كعميل للبريد الإلكتروني، أو منصة للعبة World of Warcraft. فهل مما يثير الاستغراب أن نعلم أن هناك برامج خبيثة على أجهزة الكمبيوتر المشبوهة في البنك؟
أنا أحب التطبيقات، وأستخدمها بكثرة من خلال هاتفي. تمامًا مثل أبل، لدى نظام سويفت متجر للتطبيقات مع مجموعة من الوظائف الإضافية المصممة بهدف أتمتة وإثراء تجربة استخدام نظام سويفت.
الأمر الرائع في التطبيقات هو إضفاء الطابع الديموقراطي على عملية إنشاء البرمجيات. لتحقيق تلك الغاية، يقدم سويفت مجموعة أدوات لتطوير البرمجيات، ومجموعة من المكتبات وعينات التعليمات لأي مطور للتطبيقات من أجل إيجاد برامج تهدف إلى التفاعل مع شبكة سويفت. بالنسبة للذين يحتاجون مساعدة إضافية، يقدم لهم سويفت حتى برامج تدريبية تقدم لهم برامج تعليمية مفصلة حول كيفية كتابة التعليمات التدخلية التي يضعها كل بنك على حدة لاستخدامه الخاص. كما أن معايير المراسلة وقواعد التحقق من صحة المراسلة كلها متاحة عبر شبكة الإنترنت.
المزيج من وجود آلة ذات هدف عام وتوافر تطبيقات سريعة وسهلة خاصة بنظام سويفت يجعل من المستحيل على سويفت أن يضمن سلامة شبكة الاتصالات. وحتى لو قام نظام سويفت بتحويل نظام المراسلة لديه إلى نظام افتراضي يشبه الاحتياطيات الأمنية المستخدمة في قلعة فورت نوكس (التي تضم جزءا من مخزون الذهب الأمريكي)، يكون الحل عديم الفائدة عندما لا يتمكن العملاء لديه من قفل الباب الأمامي.
لا يزال يتعين على الباحثين حتى الآن تحديد ما إذا كانت تعليمات الدفع الاحتيالية قد صدرت من قبل تطبيقات خبيثة أو تطبيقات سيئة أو من قبل موظفين مارقين، كل ما يعرفونه هو أن جهاز الكمبيوتر الذي يقع تحت سيطرة البنك قدم لشبكة الدفع تعليمات وبيانات اعتماد صحيحة وصالحة. وعمل جزء من البرمجيات الخبيثة على حذف المدخلات الموجودة على الكمبيوتر المحلي، ما منع عملية الكشف الفورية.
يسارع خبراء الأمن في الإشارة إلى أنه كان يتعين على البنوك توفير عمليات رقابة ورصد أفضل، وإدارة وصول أكثر صرامة، ومصادقة متعددة الجوانب تتعلق بأفراد كثيرين يعملون على أجهزة مختلفة.
لكن هذا عكس ما هو موجود في نظام سويفت. حيث إن السبب الرئيسي لوجود سويفت هو زيادة كفاءة المعاملات - لهذا السبب سمي بنظام سويفت! (أي النظام السريع). ونموذج العمل فيه يهدف إلى تقديم حلول متكاملة لرسائل المعاملات المالية. والعملاء مسؤولون عن إدارة المخاطر الخاصة بهم.
خضع نظام سويفت ومنذ فترة طويلة لسيطرة البنوك الغربية الكبرى ذات الإجراءات الأمنية القوية. عندما بدأت البنوك الأصغر حجما في الأسواق الناشئة الانضمام للشبكة في التسعينيات، اعتبر مشغلو سويفت أن الممارسات الأمنية في البنوك الكبرى هي من المسلَّمات وفشلوا في إدراك أن الأعضاء الجدد في النظام كانوا يفتقرون إلى الخبرة في إدارة المخاطر الداخلية.
ونظرا لأن البنوك الأعضاء الأكبر حجما تتعامل بشكل رئيسي مع بعضها البعض، لا يتوقعون تلقي رسائل احتيالية محتملة. يمتلك الاحتياطي الفيدرالي في نيويورك مئات الآلاف من رسائل الدفع بواسطة نظام سويفت يوميا، ومعظمها يتم تنفيذه بشكل تلقائي.
المشكلة في الحلول الأمنية، هي أنه يغلب عليها خلق المزيد من العمل. تنفق المؤسسات المالية المليارات على نفقات مطابقة المدفوعات التي تتم في المكاتب الخلفية. والكثير من عمليات المطابقة المذكورة تتضمن الكشف عن حالات من الغش اليدوي. لكننا نعيش في عصر نريد فيه أن تتم بشكل آلي، وأن نعطي وظائفنا إلى الروبوتات. هذا الهدف يتناقض مع حقيقة أن الترابط القوي العالمي يعمل على زيادة الحاجة إلى تعزيز الأمن الإلكتروني. لكن حين يتعلق الأمر بنقل ثروات بلد معين في أنحاء مختلفة من العالم، فإن الراحة والسهولة لا تعتبران فضيلة.