اختراق بيانات في Harvard University مرتبط بمجموعة ShinyHunters يكشف سجلات 850,000 شخص

أدى اختراق سيبراني واسع النطاق استهدف أنظمة Harvard University إلى كشف السجلات الشخصية وبيانات التبرعات المالية لنحو 850,000 من الخريجين والداعمين والطلاب وأفراد عائلاتهم، وفقاً لإفصاحات رصد الاختراقات التي أوردها الصحفي المتخصص في الأمن السيبراني Connor Jones. وأسفرت سرقة البيانات، التي نفذتها قبل نحو عام عصابة الجرائم السيبرانية المعروفة باسم ShinyHunters، عن سحب سجلات حساسة لجمع التبرعات وتسريبها لاحقاً. وتسلط هذه الإفصاحات الضوء على النطاق الهائل لعملية اختراق طالت البنية التحتية الأساسية للتطوير المؤسسي في جامعة تتبع Ivy League، كاشفةً تفاصيل تتعلق بالتبرعات الخيرية إلى جانب بيانات الهوية الشخصية الأساسية.

## Key facts

- تشير التقديرات إلى تضرر سجلات نحو 850,000 شخص—بمن فيهم خريجون ومتبرعون وطلاب حاليون وسابقون وأفراد عائلاتهم—جراء هذا الاختراق. - نُسب الهجوم السيبراني إلى ShinyHunters، وهي مجموعة تهديد ذات دوافع مالية تنشط في اختراقات الشركات والمؤسسات الدولية منذ عام 2020 على الأقل. - تشمل المواد المخترقة كلاً من معلومات تحديد الهوية الشخصية وبيانات التبرعات التاريخية المحفوظة في أنظمة التطوير التابعة للجامعة. - ظهر الكشف العلني عن حجم التسريب بعد نحو عام من وقوع الاختراق الأولي، بحسب ما وثقته منصات مراقبة تسريب البيانات. - تدير Harvard University، الواقعة في Cambridge, Massachusetts، أكبر وقف أكاديمي في العالم بقيمة تُقدّر بنحو $53 billion، مما يجعل شبكات متبرعيها وخريجيها أهدافاً عالية القيمة للابتزاز الرقمي والاحتيال.

## What happened

وفقاً لتقرير أعده Connor Jones، كشفت منصات تجميع البيانات ومراقبة الاختراقات عن ملفات نشأت عن اختراق استهدف شبكات Harvard University قبل نحو اثني عشر شهراً. وحدد متتبعو استخبارات التهديدات أن السجلات المسروقة تعود لعملية نُسبت إلى ShinyHunters، وهي مجموعة لامركزية للجرائم السيبرانية تشتهر باستهداف البنية التحتية السحابية ومستودعات بيانات الأطراف الثالثة.

احتوى المستودع المخترق على نحو 850,000 سجل فريد. وكشف تحليل المواد المسربة عن قائمة واسعة من منتسبي الجامعة، ضمت ليس فقط الباحثين والطلاب الحاليين والخريجين، بل شملت أيضاً متبرعين خارجيين وأقارب للطلاب. واحتوت مجموعات البيانات المسروقة على معرفات شخصية إلى جانب سجلات خيرية تفصيلية ترصد المساهمات ومبالغ التعهدات ومقاييس تفاعل المتبرعين التي تديرها مكاتب التطوير المؤسسي.

وعقب استخراج الملفات، سرب الجناة لاحقاً أجزاءً من البيانات عبر قنوات غير مشروعة لتداول البيانات ومنتديات الاختراق غير القانونية. ويتسق هذا التأخير بين الاختراق الأولي والفهرسة العامة للبيانات بالكامل على منصات تجميع الاختراقات مع أساليب الابتزاز الشائعة في السرقات الكبرى للبيانات؛ إذ غالباً ما تحاول أطراف التهديد تحقيق مكاسب مالية سرية، أو خوض مفاوضات الفدية، أو البيع لدوائر مغلقة قبل طرح ملفات الضحايا الذين لم تُحل قضاياهم أو لم يدفعوا الفدية علناً على شبكة الإنترنت المفتوحة.

## Why it matters

يحمل اختراق ما يقرب من مليون ملف للمتبرعين والطلاب تداعيات عميقة على Harvard University، وقاعدتها الخيرية، وقطاع التعليم العالي بوجه عام. وتُعد قواعد بيانات التطوير المؤسسي من بين أكثر البيئات الرقمية حساسية التي تديرها الجامعات الرائدة. وخلافاً لقوائم السجلات الإدارية القياسية، تخزن منصات إدارة المتبرعين ملفات مالية معقدة، وسجلات التبرعات، والروابط العائلية للثروات، وبيانات الإقامة. ويكشف تسريب تفاصيل التبرعات الداعمين لمخاطر الهندسة الاجتماعية المستهدفة، وحملات التصيد الاحتيالي الموجه، وعمليات انتحال شخصيات المسؤولين التنفيذيين، حيث يستغل المجرمون أرقام التبرعات الدقيقة والمصطلحات المؤسسية لتنفيذ تحويلات مالية احتيالية.

وإلى جانب التعرض المالي المباشر، يفرض الاختراق مخاطر تنظيمية وقانونية كبيرة بموجب معايير حماية المستهلك الفيدرالية والمحلية. ففي Massachusetts، ينص قانون خصوصية البيانات في الولاية 201 CMR 17.00 على ضمانات صارمة لحماية المعلومات الشخصية التي تحتفظ بها الكيانات الخاصة، ويُلزم بالإخطار الفوري للمقيمين المتضررين، والمدعي العام للولاية، وOffice of Consumer Affairs and Business Regulation عند وقوع أي اختراقات أمنية. وعلاوة على ذلك، تواجه الجامعات رقابة متداخلة بشأن السجلات التعليمية بموجب القانون الفيدرالي Family Educational Rights and Privacy Act (FERPA)، مما يخلق تعقيداً إدارياً عندما تتقاطع سجلات الخريجين مع ملفات الطلاب النشطين.

ويؤكد الحادث أن نقابات الجرائم السيبرانية تنظر إلى جامعات النخبة بوصفها معادلاً وظيفياً لشركات إدارة الأصول متعددة الجنسيات، حيث تدير أحجاماً مماثلة من المعلومات الاستخبارية للمعاملات المالية للأفراد ذوي الملاءة المالية العالية، بينما تعتمد تاريخياً على أمن تكنولوجيا معلومات لامركزي عبر أقسام أكاديمية متنوعة.

## The background

تحولت مؤسسات التعليم العالي الأمريكية إلى أهداف رئيسية لأطراف التهديد الدولي على مدار العقد الماضي. وتحتفظ الجامعات بهياكل شبكية مفتوحة مصممة لتسهيل التعاون العلمي العالمي، والبحث الأكاديمي عن بُعد، وتواصل الطلاب. وغالباً ما تعمل هذه البيئات جنباً إلى جنب مع قواعد بيانات علائقية قديمة وأدوات Software-as-a-Service (SaaS) التابعة لجهات خارجية والمستخدمة في أقسام القبول، والموارد البشرية، ومختبرات البحوث، وقطاعات التطوير. وفي حين تحافظ المستشفيات والعمليات المصرفية التجارية على حدود شبكية مقسمة بدقة، توازن الجامعات تقليدياً بين الانفتاح والدفاع عن النطاق الأمني، مما يخلق ثغرات استغلال مستمرة للقراصنة الانتهازيين.

ظهرت مجموعة التهديد المرتبطة بعملية اختراق Harvard University، والمعروفة باسم ShinyHunters، في منتصف عام 2020، وسرعان ما اكتسبت سمعة كواحدة من أكثر مجموعات سرقة البيانات والابتزاز نشاطاً على منتديات الشبكة المظلمة. واكتسبت المجموعة شهرة واسعة من خلال استغلال البيئات السحابية، وبيانات اعتماد المطورين المخترقة، وقنوات دعم العملاء لاختراق كيانات تجارية كبرى، شملت Tokopedia وWattpad وAT&T وSantander وTicketmaster. وخلافاً لوحدات التجسس التي ترعاها الدول والتي تركز على المراقبة الصامتة أو عصابات برامج الفدية التقليدية التي تشفر الأنظمة لتعطيل الجاهزية التشغيلية، تمارس ShinyHunters الابتزاز القائم أساساً على سحب البيانات؛ إذ تستخرج المجموعة لقطات ضخمة لقواعد البيانات، وتهدد بنشرها علناً، وتعرض بيانات الاعتماد وقواعد البيانات المخترقة للبيع أو المزاد في أسواق سرية مثل BreachForums.

تدير Harvard University، التي تأسست عام 1636، أضخم وقف مالي في الأوساط الأكاديمية العالمية. ويتتبع جهازها المعني بجمع التبرعات، والذي يُنسق أساساً عبر Harvard Alumni Association وUniversity Development Office، مئات الآلاف من المتبرعين النشطين حول العالم لدعم التعيينات الأكاديمية والمساعدات المالية والبحوث العلمية. وأظهرت اختراقات مماثلة في قطاع التعليم العالي، مثل اختراق بيئة Blackbaud السحابية عام 2020، كيف يمكن لاختراق برمجيات الطرف الثالث أن يكشف عن غير قصد سجلات ثروات المتبرعين عبر عشرات الجامعات في وقت واحد. ومع ذلك، فإن الهجمات المباشرة التي تسفر عن تسريب قواعد بيانات مخصصة للقوائم الداخلية لإحدى مؤسسات Ivy League تمثل تصعيداً تشغيلياً حاداً.

## Reaction

لا تزال ردود الفعل الموثقة إزاء هذا الكشف محصورة داخل أوساط التحليل السيبراني ومجتمعات استخبارات التهديدات التي ترصد قوائم مستودعات الشبكة المظلمة، كما ورد بالتفصيل في الإفصاحات الأولية التي قدمها Connor Jones. ولم يتضمن التقرير الأولي تصريحات رسمية مباشرة من القيادات الإدارية في Harvard University، بما في ذلك Office of the President وإدارة Harvard University Information Technology (HUIT).

وبموجب الإجراءات القانونية المعمول بها عبر الولايات القضائية في United States، يُتوقع من الجامعة تقديم وثائق رسمية بالحادث إلى هيئات الرقابة المختصة، بما في ذلك مكاتب المدعين العامين في الولايات، إن لم تكن قد أتمت بالفعل الإخطارات المطلوبة خلال مراحل الاحتواء الأولية. وتتوقع عادةً الفئات المنتسبة إلى الجامعة—وفي مقدمتها رابطات الخريجين، وشبكات أولياء الأمور، والمساهمون بالتبرعات الكبرى—إخطارات مفصلة توضح ما إذا كان قد تم الوصول إلى بيانات اعتماد الحسابات المالية، أو أرقام Social Security numbers، أو مجرد أرقام إجمالية للمساهمات خلال الاختراق. ويتوقع خبراء قانونيون في الامتثال بالتعليم العالي أن يدقق مراقبو أمن البيانات الخارجيون وأصحاب الحسابات المتضررة في إعدادات موردي الجامعة وسياسات كلمات المرور بمجرد إتاحة عمليات التدقيق الجنائي الكاملة للعلن.

## What we don't know yet

لا تزال تفاصيل تشغيلية وقانونية بالغة الأهمية بشأن اختراق Harvard University غير مؤكدة في المجال العام. ولا يحدد التقرير نقطة الدخول الأولية التي استخدمتها ShinyHunters—وتحديداً ما إذا كان الجناة قد اخترقوا خادماً رئيسياً داخلياً في Harvard، أو وصلوا إلى مستودع سحابي غير مراقب، أو حصلوا على بيانات اعتماد إدارية عبر موفر الهوية، أو استغلوا ثغرة أمنية غير معالجة في برمجيات جمع التبرعات التابعة لطرف ثالث.

علاوة على ذلك، لا يزال الجدول الزمني الدقيق للاكتشاف غير واضح. ويوضح التقرير أن الاختراق وقع قبل نحو عام من تسريب البيانات الأخير، لكن الإفصاحات العامة لم تؤكد ما إذا كان مسؤولو تكنولوجيا المعلومات بالجامعة قد اكتشفوا الاختراق وحيدوه وقت حدوثه، أم أن المؤسسة لم تعلم بسحب البيانات إلا عندما ظهرت الملفات عبر المنتديات غير المشروعة. بالإضافة إلى ذلك، لم يتم تحديد مخطط البيانات المكشوفة بدقة؛ فبينما تم تحديد معلومات شخصية ومقاييس التبرعات، لم يوضح المحققون ما إذا كانت معرفات عالية الخطورة، مثل أرقام توجيه الحسابات المصرفية، أو رموز بطاقات الائتمان، أو أرقام Social Security numbers، أو سجلات جوازات السفر، قد أُدرجت ضمن الجداول المخترقة.

## What to watch

ستحدد التطورات الرئيسية في الأسابيع المقبلة التداعيات القانونية والمالية والمتعلقة بالسمعة لهذا الحادث. ويتعين على المراقبين ترقب إيداعات الإخطار الرسمية بالاختراق على بوابات حماية المستهلك، لا سيما في Massachusetts وCalifornia وMaine، والتي تحتفظ بسجلات عامة لحوادث بيانات الشركات والمؤسسات التي تؤثر على سكانها. وتتطلب هذه الإيداعات تقليدياً من المنظمات تقديم نماذج إخطار مكتوبة، ووصف جهود المعالجة، وتقديم عروض خدمات حماية الهوية، وذكر العدد الدقيق للمواطنين المتأثرين.

وسينصب الاهتمام أيضاً على الرقابة التشريعية والتنظيمية؛ إذ غالباً ما يطلق المدعون العامون في الولايات تحقيقات مشتركة في الاختراقات المؤسسية التي تتجاوز نصف مليون ضحية، لتقييم ما إذا كان قد تم الحفاظ على بروتوكولات أمن سيبراني معقولة قبل الاختراق. وداخل Harvard، من المرجح أن تواجه قيادة التطوير المؤسسي تدقيقاً بشأن ممارسات الاحتفاظ بالبيانات، وتحديداً المدة التي تظل فيها السجلات غير النشطة العائدة لمتبرعين تاريخيين، وعائلات خريجين، وطلاب سابقين، مخزنة على شبكات متصلة بالإنترنت. وأخيراً، سيراقب باحثو الأمن المنتديات السرية لتقييم ما إذا كانت أطراف تهديد أخرى تشتري بنشاط السجلات البالغ عددها 850,000، أو تعيد توزيعها، أو تستغلها في عمليات احتيال لاحقة.

يستند هذا التقرير إلى ما نشره الكاتب المتخصص في الأمن السيبراني Connor Jones.