كشفت السلطات الفرنسية عن واحدة من أكبر حوادث تسريب البيانات الحكومية خلال السنوات الأخيرة، بعدما تمكن مهاجمون إلكترونيون من الوصول إلى بيانات ضريبية تخص مئات الآلاف من المواطنين والشركات عبر استخدام كلمات مرور مسروقة تعود لموظفين في الإدارة الضريبية الفرنسية. والأخطر من ذلك أن عملية استخراج البيانات استمرت لأسابيع دون أن تتمكن فرق الأمن السيبراني من اكتشافها أو إيقافها في الوقت المناسب.
ووفقًا لتقرير صادر عن الوكالة الوطنية الفرنسية لأمن نظم المعلومات (ANSSI)، فإن الهجوم لم يعتمد على تقنيات متطورة أو أدوات اختراق معقدة، بل نجح نتيجة ثغرات تنظيمية وأمنية تمثلت في ضعف آليات المصادقة، وسوء تقسيم الشبكات الداخلية، وقصور أنظمة الرصد والمراقبة الأمنية.
أكثر من 600 ألف متضرر بين أفراد وشركات
استهدفت عملية الاختراق الإدارة العامة للمالية العامة الفرنسية (DGFIP)، الجهة المسؤولة عن تشغيل البوابة الضريبية الرسمية impots.gouv.fr، حيث تمكن المهاجم من الوصول إلى بيانات مخزنة عبر منصة “E-Contact” التي يستخدمها دافعو الضرائب للتواصل مع الإدارة الضريبية.
وتشير البيانات الرسمية إلى أن التسريب شمل معلومات تخص أكثر من 350 ألف فرد، إضافة إلى أكثر من 250 ألف شركة ومؤسسة تجارية.
وبالنسبة للأفراد، تضمنت البيانات المعرضة للاطلاع أو النسخ أرقام التعريف الضريبي، وبيانات الاتصال، والمعلومات الأسرية، والدخل المرجعي الخاضع للضريبة، ونسب الاقتطاع الضريبي، وسجلات المراسلات مع الإدارة الضريبية. كما يُعتقد أن محتوى الرسائل نفسها قد تعرض للسرقة في حالات محدودة لم تتجاوز 250 شخصًا.
أما بيانات الشركات فشملت أسماء المؤسسات وأرقام التسجيل الرسمية “SIREN” والعناوين ومعلومات تتعلق بالمراسلات المتبادلة مع الإدارة الضريبية. كما أشارت التحقيقات إلى احتمال الاطلاع على محتوى الرسائل الخاصة بنحو 2076 شركة.
ورغم خطورة الحادث، أكدت السلطات أن حسابات المستخدمين الشخصية وكلمات مرورهم على البوابة الضريبية لم تتعرض للاختراق.
كيف نجح المهاجمون في اختراق الأنظمة الحكومية؟
كشف تقرير ANSSI أن المهاجم اعتمد على مسارين مختلفين للوصول إلى البيانات.
المسار الأول بدأ منذ مايو الماضي عبر استخدام عشرات كلمات المرور الخاصة بموظفي DGFIP، والتي يُرجح أنها سُرقت بواسطة برمجيات Infostealer الخبيثة من أجهزة شخصية لا تخضع لإدارة المؤسسة الحكومية.
واستغل المهاجم بوابتين داخليتين هما PIGP وADER، حيث كان الوصول إليهما يعتمد على كلمة المرور فقط دون أي طبقة إضافية من المصادقة القوية.
ومن خلال هذه الحسابات المخترقة تمكن المهاجم من النفاذ إلى شبكة الحكومة الفرنسية المعروفة باسم RIE، وهي البنية التحتية التي تربط الوزارات والمؤسسات الحكومية ببعضها.
وأظهر التحقيق أن بعض التطبيقات الحساسة الخاصة بالإدارة الضريبية لم تكن معزولة بشكل كافٍ عن بقية الشبكة الحكومية، ما أتاح الوصول إليها من نقاط لم يكن من المفترض أن تمتلك هذا المستوى من الاتصال.
كما رصد المحققون محاولات متعددة للتحرك نحو جهات حكومية أخرى داخل الشبكة نفسها، الأمر الذي يعكس اتساع نطاق المخاطر المحتملة للهجوم.
أما المسار الثاني فاستهدف بيانات السجل العقاري الفرنسي عبر بوابة APEX المستخدمة من قبل الشركاء المهنيين مثل الموثقين والمساحين العقاريين.
ورغم اعتماد النظام على رمز تحقق إضافي يُرسل بالبريد الإلكتروني، فإن التحقيقات أشارت إلى احتمال اختراق جهاز أحد المساحين العاملين في شركة خاصة، ما أتاح للمهاجم تجاوز هذه الحماية والوصول إلى البيانات العقارية المرتبطة بنحو 435 ألف أسرة فرنسية.
لماذا فشلت أنظمة المراقبة في اكتشاف السرقة؟
يمثل هذا السؤال جوهر الأزمة التي أثارت جدلًا واسعًا داخل الأوساط السياسية والأمنية في فرنسا.
فبحسب تقرير الوكالة الوطنية للأمن السيبراني، كانت لدى الإدارة الضريبية إجراءات قائمة للتعامل مع الحسابات المسروقة، وكان مركز العمليات الأمنية SOC يتلقى إشعارات دورية حول الحسابات المشتبه في اختراقها.
وبالفعل جرى اكتشاف بعض الحسابات المستخدمة من قبل المهاجم وإعادة تعيين كلمات مرورها، إلا أن الإجراءات المتبعة لم تكن كافية لإيقاف العمليات الجارية بالفعل.
في إحدى الحالات، أطلقت عمليات البحث المشبوهة إنذارًا أمنيًا في 23 يونيو، وتم فتح بلاغ لدى فريق العمليات الأمنية مساء ذلك اليوم. لكن المهاجم بدأ بعد ساعات قليلة فقط في استخدام أدوات آلية لاستخراج البيانات من منصة E-Contact صفحة تلو الأخرى.
وعندما أعادت الإدارة تعيين كلمة مرور الحساب في صباح اليوم التالي، لم يؤد ذلك إلى إنهاء الجلسة المفتوحة التي كان المهاجم يستخدمها، ما سمح باستمرار تسريب البيانات لما يقرب من 16 ساعة إضافية.
وكشف التقرير عن مجموعة من المؤشرات التي كان يمكن أن تؤدي إلى اكتشاف الهجوم مبكرًا، من بينها تسجيل دخول خلال ساعات الليل، واستخدام شبكات VPN، واتصالات صادرة من عناوين في الهند أو من عناوين مصنفة خبيثة، فضلًا عن تبادل نحو 11 جيجابايت من البيانات خلال عدة أيام.
ومع ذلك لم تنجح الأنظمة في الربط بين هذه المؤشرات المختلفة لإنتاج إنذار أمني حقيقي.
كما أن الوكالة الوطنية للأمن السيبراني نفسها لم تتمكن من اكتشاف سرقة البيانات لأن أجهزة المراقبة التابعة لها تركز على حركة الشبكات ولا تمتلك وصولًا مباشرًا إلى سجلات التطبيقات المستخدمة داخل المؤسسات الحكومية.
إجراءات عاجلة وخطة إصلاح شاملة
عقب اكتشاف الواقعة، اتخذت السلطات الفرنسية سلسلة من الإجراءات العاجلة للحد من المخاطر.
فقد تم منع موظفي الإدارة الضريبية من استخدام بوابتي ADER وPIGP اعتبارًا من أغسطس، مع عدم وجود نية لإعادة فتحهما بصيغتهما السابقة. كما جرى إغلاق بوابة APEX وتعطيل الحسابات المرتبطة بالجهات التي يُعتقد أنها كانت نقطة انطلاق للهجوم.
وتعمل الإدارة الضريبية حاليًا على تنفيذ خطة أمنية شاملة تتضمن تعميم المصادقة متعددة العوامل على جميع التطبيقات، وتوسيع نطاق المراقبة الأمنية ليشمل كافة الأنظمة التشغيلية والخدمية، وفرض قيود على حجم البيانات التي يمكن لأي مستخدم الوصول إليها أو استخراجها خلال فترة زمنية محددة.
كما سيتم تفعيل أدوات متخصصة لرصد الأنماط غير الطبيعية في استعراض البيانات ونسخها، إلى جانب حظر وصول الموظفين إلى الأنظمة الحكومية من خلال الأجهزة الشخصية.
وشددت ANSSI على ضرورة تطبيق مجموعة من الإجراءات الأساسية، أبرزها إنهاء جميع الجلسات النشطة فور إعادة تعيين كلمات المرور، ومراجعة نشاط أي حساب يثبت اختراقه منذ تاريخ الاشتباه الأول، والاعتماد على المصادقة متعددة العوامل باستخدام تطبيقات التوثيق أو المفاتيح الأمنية المادية بدلًا من رموز التحقق المرسلة عبر البريد الإلكتروني، فضلًا عن دمج جميع التطبيقات داخل أنظمة إدارة الأحداث الأمنية SIEM لضمان مراقبة مركزية أكثر فعالية.
وتحولت الحادثة إلى نموذج واضح يبرز كيف يمكن لكلمات مرور مسروقة وإجراءات أمنية غير مكتملة أن تؤدي إلى تسريب واسع النطاق لبيانات حساسة، حتى داخل إحدى أكثر المؤسسات الحكومية أهمية في دولة متقدمة مثل فرنسا.
