اختراق Adobe: 13 مليون تذكرة دعم و15,000 سجل موظف كشفها Mr. Racoon

اختراق Adobe لم يبدأ من Adobe

يدّعي فاعل تهديد يستخدم اسم «Mr. Racoon» (ويُنقل أيضاً باسم «Mr. Raccoon») سرقة بيانات ضخمة من Adobe: نحو 13 مليون تذكرة دعم تحوي بيانات شخصية، و15,000 سجل موظف، وجميع إرساليات الثغرات في HackerOne، ومستندات داخلية. لم تُصدر Adobe تأكيداً رسمياً حتى لحظة الإبلاغ، وإن كان Cybernews يُشير إلى أن باحثي البرمجيات الخبيثة في vx-underground يعتبرون الاختراق المُدّعى مشروعاً على الأرجح، مع تحفّظ مهم: المهاجم لم يخترق شبكة Adobe الداخلية — الاختراق يقتصر على نظام مكتب المساعدة.

مسار الاختراق هو القصة الحقيقية. بحسب SecurityOnline، حصل Mr. Racoon على الوصول الأولي عبر شركة Business Process Outsourcing (BPO) هندية مُتعاقدة مع Adobe. بريد إلكتروني خبيث نشر في صمت Remote Access Tool على جهاز موظف BPO. ثم نفّذ المهاجم spear-phishing على مدير ذلك الموظف لرفع الصلاحيات، متنقلاً أعمق في الشبكة حتى وصل إلى منصة تذاكر الدعم لدى Adobe.

ماذا أخذ المهاجم فعلاً

البيانات المُدّعى سرقتها، إن صحّت، مؤلمة:

• ~13 مليون تذكرة دعم تحوي معلومات شخصية قدّمها العملاء — أسماء، عناوين بريد إلكتروني، محتوى تذاكر غالباً ما يشمل مفاتيح ترخيص وأرقام تسلسلية ولقطات شاشة لتفاصيل الحساب.
• ~15,000 سجل موظف — نوع البيانات الذي يُغذّي الموجة التالية من التصيّد المستهدف.
• جميع إرساليات مكافأة الأخطاء HackerOne — فهرس لثغرات Adobe وهويات الباحثين.
• مستندات داخلية من بيئة مكتب المساعدة.

يُفيد Cyberpress وCybersecurity News بالأرقام نفسها بشكل مستقل، ما يُشير إلى ادعاء متّسق لا مجرد إشاعة من مصدر واحد.

سوء الإعداد الحرج: تصدير جملة من قِبَل أي وكيل

وصف المهاجم نفسه للهجوم يكشف الفشل الدفاعي الذي جعل الحادث كارثياً في حجمه بدلاً من مؤلم فحسب. بحسب تقرير SecurityOnline، قال Mr. Racoon: «سمحوا لك بتصدير جميع التذاكر في طلب واحد من وكيل.» هذه جملة واحدة تصف سوء إعداد في منصة دعم بثلاثة مكوّنات، كلها شائعة في نشر مكاتب المساعدة المؤسسية:

1. لا حد معدل لكل وكيل على إجراءات التصدير الجملي.
2. لا كشف شذوذ عند طلب وكيل فجأة لملايين السجلات.
3. لا نطاق — حساب وكيل واحد قادر على تصدير كامل مجموعة التذاكر، لا فقط القضايا المُسنَدة إليه.

هذا الضعف المعماري الفرد هو ما يحوّل اختراق BPO من حادث «فقدنا عبء عمل محلل واحد» إلى حادث «فقدنا كامل تاريخ مكتب المساعدة». ملخص SQ Magazine يُشدّد على النقطة نفسها: حجم التعرّض اعتمد على امتيازات التصدير على مستوى الوكيل، لا على اختراق شبكة إنتاج Adobe.

لماذا يتجاوز هذا Adobe

Adobe هدف عالي الظهور، لذا تنتشر القصة. لكن الدرس البنيوي عام: تُخرج معظم المؤسسات جزءاً من دعم العملاء أو عمليات المبيعات أو دعم تقنية المعلومات من المستوى الأول إلى شركاء BPO. يُسجّل هؤلاء الشركاء الدخول عادةً:

• إلى منصات SaaS (Salesforce، Zendesk، ServiceNow، أنظمة تذاكر مخصصة) باستخدام منصة هوية العميل نفسه.
• يعملون كثيراً من شبكات منزلية منخفضة الثقة أو بنية BPO مكتبية مشتركة.
• يخضعون غالباً لرقابة إنتاجية صارمة لكن بضوابط أمن نقاط نهاية متراخية.

The Register يُفيد بأن طاقم ابتزاز جديد يستهدف بنشاط «عشرات» الشركات العالية القيمة عبر نمط مشابه — تحوّل BPO، سرقة بيانات اعتماد، إخراج بيانات جملي من جهة SaaS. Adobe ليست نهاية هذه الحملة؛ بل علامة مبكرة.

ما ينبغي لمديري الأمن ومُشغّلي SaaS القيام به هذا الربع

أربعة إجراءات ملموسة تستحق الأولوية:

1. تدقيق قدرات التصدير الجملي عبر كل منصة SaaS ذات وصول مقاول طرف ثالث. لكل منصة، اسأل: هل يستطيع حساب وكيل واحد تصدير أكثر من 10,000 سجل في طلب واحد؟ إن كانت الإجابة نعم، فرض حدود على مستوى المنصة، واشترط موافقة مشرف على التصديرات الكبيرة، ونبّه على أي تصدير يتجاوز العتبة.
2. فرض conditional access على هويات مقاولي BPO. اشترط إشارات وضعية الجهاز، وقَصر عمليات تسجيل الدخول على أجهزة مُدارة أو نطاقات شبكة مُوافق عليها، وقلّص مدد الجلسات. تعامل مع هويات المقاولين كطبقة ثقة مختلفة عن الموظفين.
3. نشر UEBA على أنماط الإجراءات في SaaS. القراءات الجملية غير المعتادة، أو الوصول إلى بيانات خارج مجموعة قضايا الوكيل المعتادة، أو تسلسلات تصدير-ثم-تنزيل، كلها إشارات قابلة للكشف بأدوات جاهزة (Microsoft Defender for Cloud Apps، Netskope، Varonis).
4. التنسيق مع BPO حول الاستجابة للحوادث. معظم عقود BPO تُحدّد SLA لكنها لا تُحدّد أدلة حوادث. أضف ملحقاً يُحدّد مهل إبلاغ الاختراق، واتفاقيات مشاركة السجلات، والمشاركة المشتركة في تمارين الطاولة.

ما يبقى لسلسلة إمداد BPO

حادث Adobe لن يُعيد كتابة كيفية استخدام المؤسسات لشركات BPO — الاستعانة بمصادر خارجية قرار هيكلي للتكلفة سيتجاوز أي اختراق مفرد. لكنه سيرفع التوقعات من بائعي منصات SaaS لشحن ضوابط إجراءات جملية أقوى افتراضياً، وسيُقوّي الحجة لدى مشتري المؤسسات للتعامل مع هويات المقاولين بوصفها طبقة الوصول الأعلى خطورة في بيئتهم. Mr. Racoon لم يحتج لاختراق Adobe. حاسوب مقاول محمول كان كافياً.

المصادر والقراءات الإضافية

• The BPO Backdoor: How “Mr. Raccoon” Swiped 13 Million Adobe Support Tickets — SecurityOnline
• Adobe Breach: Threat Actor Claims Leak of 13 Million Support Tickets — Cyberpress
• Adobe Breach – Threat Actor Allegedly Claims Leak of 13 Million Support Tickets and Employee Records — Cybersecurity News
• Threat actor claims Adobe breach and theft of 13 million support tickets — Cybernews
• 13M Adobe Support Tickets Allegedly Leaked in Hack — SQ Magazine
• ‘Several dozen’ orgs targeted by a new extortion crew — The Register