البائع هو سطح الهجوم الجديد
محدَّث لعام 2026
لعقد من الزمن، ركّزت فرق الأمن على هدف واحد: إبعاد المهاجمين عن الشبكة. تأمين المحيط. تقييد نقاط النهاية. التحكم في عمليات تسجيل الدخول. كان النموذج القديم يفترض أن المهاجمين سيستهدفون مؤسستك مباشرةً.
أثبتت أرقام عام 2024 أن هذا النموذج انهار. ارتفعت اختراقات SaaS بنسبة 300% في 2024، وفقاً لتقرير Obsidian Security لتهديدات SaaS لعام 2025. لم يعد المهاجمون يهاجمون المؤسسات مباشرةً، بل يستهدفون أدوات SaaS التي تثق بها تلك المؤسسات لحفظ بياناتها.
حين يكون أداة الحوسبة السحابية هو هدف الهجوم، لا تُجدي الشبكة الداخلية القوية نفعاً. سجلات العملاء والوثائق الوظيفية والمحتوى الحساس تقع على خوادم الأداة. وهي مؤمَّنة بمفاتيح الأداة ذاتها. وتُكشف حين يُضرب الأداة.
أرقام اختراقات SaaS في 2024
تُبيّن إجماليات الاختراقات في 2024 حجم الخطر.
تعرّضت Conduent لاختراق كشف عن 25.9 مليون سجل. تُدير Conduent أعمال معالجة للوكالات الحكومية والشركات الكبرى، وتتولى الرعايا والمدفوعات والخدمات المدنية. الـ25.9 مليون شخص المتضررون لم يعلموا قط أن جهةً خارجية تحتفظ بمعلوماتهم.
تعرّضت NHS Digital لاختراق أصاب 9 ملايين مريض. كُشفت السجلات الصحية عبر خوادم أداة سحابية. المرضى منحوا تلك المعلومات لمقدمي الرعاية الصحية، ولم يكن لديهم أي سبب للاشتباه في أنها وصلت إلى منصة خارجية لم يعرفوها قط.
هذه ليست أحداثاً نادرة. إنها القاعدة الجديدة. تُصيب الاختراقات الكبرى الآن ملايين الأشخاص الذين وثقوا بمؤسسة واحدة لكن بياناتهم الشخصية آلت إلى أخرى مجهولة لديهم. لمعرفة كيف يوزّع القانون المسؤولية في مثل هذه الحالات، راجع نظرة عامة على الامتثال للائحة GDPR.
لماذا تعمل اختراقات SaaS بصورة مختلفة
يستلزم الاختراق الشبكي الكلاسيكي خطوات عديدة. يجب على المهاجم تجاوز المحيط، والتنقل عبر الأنظمة، واستخراج الوثائق. كل خطوة فرصة للكشف عنه.
تعمل اختراقات SaaS بصورة مختلفة. حين يضرب المهاجمون منصة سحابية، يصلون إلى سجلات كل عميل أرسل محتوى عبر تلك المنصة. اختراق واحد يُنتج وثائق من عشرات أو مئات العملاء في آنٍ واحد.
نافذة الاختراق في 9 دقائق — الزمن اللازم من أول وصول إلى سرقة السجلات في أنظمة SaaS، وفقاً لسجلات حوادث Obsidian Security — يُظهر مدى سرعة هذا الأمر. داخل منصة مشتركة، يجد المهاجمون محتوى من عملاء عديدين في وقت واحد. هذا التركيز للقيمة يجعل كل هجوم ذا فاعلية عالية.
العقود لا تُغلق هذه الفجوة. تُحدّد المادة 82 من اللائحة GDPR مسؤولية مشتركة على المعالِجين عن الاختراقات التي يُسبّبونها. لكن إثبات الذنب يستغرق أشهراً. وحين يتضح الأمر، تكون السجلات قد اختفت بالفعل. راجع صفحة الأمن والامتثال لمعرفة كيف تُغيّر أدوات الحماية الصفرية المعرفة هذه النتيجة.
اتفاقية معالجة البيانات لا تحمي سجلاتك
تنص المادة 28 من اللائحة GDPR على أن المؤسسات يجب ألا تستعين إلا بمعالِجين يُقدّمون "ضمانات كافية". اتفاقية معالجة البيانات هي الدليل الكتابي على تلك الضمانات.
على غرار اتفاقية الشريك التجاري بموجب HIPAA، تُغطّي اتفاقية معالجة البيانات الجانب القانوني. لكنها لا تُغطّي ما يحدث لوثائقك على خوادم المزود.
قد تظل أداة سحابية ممتثلة تماماً للائحة GDPR من حيث اتفاقية معالجة البيانات ومع ذلك:
- تخزّن سجلات العملاء بتشفير من جانب الخادم باستخدام مفاتيح المزود
- تُشغّل معلومات الموظفين عبر نظام مشترك يستخدمه عملاء آخرون كثيرون
- تحتفظ بسجلات ومحتوى مؤقت يتجاوز الاستخدامات المتفق عليها
- تتعرض لاختراق يكشف كل ما سبق
تُحدّد اتفاقية معالجة البيانات الواجبات القانونية. لكنها لا تُنشئ حاجزاً تقنياً ضد الكشف. حين يخترق المهاجمون المنصة في 9 دقائق، لا تُبطئهم الاتفاقية.
للمساعدة بلغة مبسطة حول واجبات المادة 28، راجع قاموس GDPR.
لماذا ارتفاع الـ300% هيكلي
يعكس ارتفاع الـ300% قوتين تعملان في آنٍ واحد.
أولاً، ازداد حجم المعلومات الحساسة في منصات SaaS بشكل حاد في 2024. نقلت المؤسسات مزيداً من عملها إلى أدوات سحابية. هبطت وثائق أكثر على خوادم خارجية. المحتوى الأكثر يعني دافعاً أكبر لاستهداف تلك الخوادم.
ثانياً، تكيّف المهاجمون. تُرسل المؤسسات الآن سجلات العملاء والسجلات المالية ومعلومات الموارد البشرية والمحتوى القانوني والسجلات الصحية عبر أدوات SaaS. ضرب منصة واحدة يُنتج سجلات من عملاء عديدين. الرياضيات تُفضّل استهداف المنصات على استهداف مؤسسات فردية.
رقم الـ300% ليس ارتفاعاً في الجريمة. إنه يُشير إلى تحوّل هيكلي في وجهات الهجوم.
إخفاء هوية الصفر المعرفة كحل
يبدأ الحل بتحوّل واحد في التفكير. إذا كان بإمكان أي منصة أن تُخترق — وقد أثبت سجل 2024 ذلك — فلا يجب أن تتلقى أي منصة بيانات العملاء الشخصية في صورة مقروءة.
إخفاء هوية الصفر المعرفة قبل الرفع يُغيّر مخاطر الاختراق كلياً. حين تُضرب منصة تحتفظ بمحتوى معالَج بالصفر المعرفة:
- يصل المهاجمون إلى سجلات مجهولة الهوية بدون أي معرّفات قابلة للقراءة
- لا حاجة لإخطار الأشخاص لأنه لم يُكشف عن أي بيانات شخصية
- لا حاجة لدعوى مسؤولية مشتركة بموجب المادة 82 من اللائحة GDPR
- لا متابعة تنظيمية تنتج عن الاختراق
يُصيب الهجوم المنصة. لكنه لا يصل إلى عملائك. معلوماتهم الشخصية لم تصل أصلاً إلى خوادم المنصة في صورة مقروءة.
هذا ليس نظرية. إنها حقيقة بسيطة: لا توجد سجلات تُسرق لأنه لم يُرسَل أي منها في صورة مقروءة. يُجيب الأسئلة الشائعة على أسئلة شائعة حول إخفاء هوية الصفر المعرفة. تُوضح صفحة الأسعار تكلفة هذه الحماية على نطاق واسع.
ارتفاع الـ300% يُغيّر حسابات المخاطر. التحقق من وضع أمان المورد وشروط العقد يعني الرهان على ألا يكون مورّدك العنوان التالي. يُزيل إخفاء هوية الصفر المعرفة هذا الرهان.