المتصفح كساحة معركة: الهجمات من جانب العميل وMagecart والحدود الجديدة لأمن الويب

المتصفح هو المحيط الجديد

المؤسسة الحديثة تعمل في المتصفح. وفق Palo Alto Networks وOmdia، ما يصل إلى 85% من الأنشطة المهنية اليومية تجري في المتصفح. هذه المركزية جعلت المتصفح أثمن سطح هجوم في الأمن السيبراني. أمن الخوادم يحمي البنية التحتية، لكن فئة كاملة من الهجمات تعمل حصرياً من جانب العميل، مُنفّذةً كوداً ضاراً في متصفح المستخدم.

وجد Akamai أن منظمات التجارة واجهت أكثر من 230 مليار هجمة ويب وأن نصف كل JavaScript الذي يعمل على مواقع التجارة الإلكترونية يأتي من مزودين من أطراف ثالثة. معيار PCI DSS الإصدار 4.0، الذي أصبحت متطلباته 6.4.3 و11.6.1 إلزامية في 1 أبريل 2025، يعالج تحديداً أمن JavaScript لجانب العميل في صفحات الدفع.

Magecart ووباء سرقة بيانات الويب

Magecart هو الاسم الجماعي لعشرات مجموعات الجريمة السيبرانية المتخصصة في سرقة بيانات الويب — حقن JavaScript ضار في صفحات الدفع الإلكتروني لسرقة بيانات البطاقات في الوقت الفعلي. اختراق British Airways (2018) — 380,000 عميل متأثر، غرامة 20 مليون جنيه من ICO — واختراق Ticketmaster (2018) عبر سلسلة التوريد هما الحالتان الأبرز.

أثبت متجه سلسلة التوريد صعوبة خاصة في الدفاع. أظهر حادث polyfill.io في 2024 ذلك بحجم استثنائي: بعد استحواذ شركة صينية على النطاق، بدأ CDN بتقديم كود ضار لأكثر من 100,000 موقع — بما فيها JSTOR وIntuit والمنتدى الاقتصادي العالمي.

ما وراء السرقة: مشهد التهديدات الكامل لجانب العميل

إضافات المتصفح الضارة تمثل تهديداً مستمراً. في 2023، أزال Google 32 إضافة Chrome ضارة بإجمالي 75 مليون تثبيت. هجمات Formjacking تستهدف أي نموذج ويب. هجمات Browser-in-the-Browser (BitB)، الموثقة من الباحث mrd0x في 2022، تنشئ محاكاة مثالية لنوافذ المصادقة المنبثقة.

الدفاعات الحديثة: CSP وSRI وعزل المتصفح

يسمح Content Security Policy (CSP) لمشغّلي المواقع بتحديد النطاقات المسموح لها بتحميل البرامج النصية، لكن نحو 19% فقط من المواقع تنشر رأس CSP. يتيح Subresource Integrity (SRI) تحديد تجزئة تشفيرية لكل برنامج نصي خارجي. عزل المتصفح يُنفّذ محتوى الويب في بيئة معزولة عن بُعد، مُرسلاً المخرجات المرئية فقط — حلول Zscaler وMenlo Security وCloudflare تشهد اعتماداً سريعاً.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Akamai: Web Attacks Up 33%, APIs Emerge as Primary Targets (2024)
• Europol: Digital Skimming Action Reveals 443 Compromised Online Merchants (2023)
• PCI DSS v4.0 Requirements 6.4.3 and 11.6.1 — Complete Guide to Client-Side Security
• British Airways ICO Fine — £20m for 2018 Data Breach (The Register)
• Sansec: Polyfill.io Supply Chain Attack Hits 100K+ Sites
• HTTP Archive Web Almanac 2024 — Security Chapter (CSP Adoption Data)
• Malicious Chrome Extensions with 75M Installs Removed from Web Store (BleepingComputer)
• Palo Alto Networks: The Critical Role of Enterprise Browsers in a SASE Framework
• mrd0x: Browser-in-the-Browser (BitB) Phishing Attack
• Ticketmaster Fined £1.25m for Magecart Breach (The Register)