استمرار القلق في أعقاب هجوم برنامج الفدية UKG

تقترب المحنة الطويلة التي عاشها عملاء مجموعة Ultimate Kronos Group (UKG) من نهايتها. فقد أعادت الشركة خدماتها المتعلقة بتسجيل الدوام وإدارة الرواتب بعد أن تسبب هجوم ببرنامج فدية في تعطيل حياة الآلاف من المتخصصين في الموارد البشرية والموظفين على حد سواء.

لكن الخبراء يقولون إن تداعيات الهجوم ستستمر، نظراً لسرقة بعض بيانات العملاء، وسيتعين على الشركات إعادة إدخال السجلات اليدوية إلى أنظمة UKG، كما أن العملاء المذهولين بدأوا يتساءلون عن مستقبل علاقتهم مع هذا المزود.

في تحديث عام صدر في 22 يناير، أعلنت شركة UKG أنها أعادت تفعيل الوظائف الأساسية المتعلقة بإدارة الوقت والجدولة والرواتب لجميع العملاء المتضررين من هجوم البرمجيات الخبيثة على نظام Kronos Private Cloud الخاص بها. وجاء في البيان أن UKG تركز حالياً على "استعادة الميزات الإضافية وبيئات التشغيل التجريبية"، كما أنها توفر أدلة استعادة بالفيديو لمساعدة العملاء على مطابقة بياناتهم.

أدى انقطاع الخدمة — الذي استمر لأكثر من شهر بالنسبة للعديد من عملاء UKG — إلى إجبار آلاف المؤسسات على السعي جاهدة لإيجاد حلول بديلة يدوية. وقد وقع ذلك خلال فترة صعبة للغاية من العام؛ حيث اضطر أرباب العمل إلى إيجاد سبل لدفع أجور الإجازات والعمل الإضافي للموظفين، الذين عملوا نوبات إضافية لتغطية النقص في الموظفين الناجم عن متغير «أوميكرون» لفيروس كورونا والاستقالات المتواصلة.

قد تتعرض شركة UKG والشركات التي تستخدم خدماتها لإجراءات قانونية. 

وقالت ألي ميلين، محللة الأمن والمخاطر في شركة الأبحاث والاستشارات «فورستر»: «لسوء الحظ، سُرقت بعض بيانات العملاء خلال الهجمات، مما يثير قلقًا إضافيًا لشركة UKG وعملائها». وأكدت شركة UKG في أحدث بيان لها أن البيانات الشخصية لاثنين على الأقل من عملائها قد تعرضت «للتسريب» أو الاختراق.

درس تحذيري لمزودي تكنولوجيا الموارد البشرية

يقول محللو تكنولوجيا الموارد البشرية إن على الشركات المزودة لهذه الخدمات وعملائها الاستعداد لمواجهة هجمات مماثلة، حيث يتجه المزيد من قراصنة الإنترنت نحو استهداف البيانات الحساسة للموظفين بدلاً من بيانات العملاء.

قال تريفور وايت، مدير الأبحاث المتخصص في تقنيات إدارة الموارد البشرية لدى شركة "نوكليوس ريسيرتش" في بوسطن: "الحقيقة هي أننا سنشهد المزيد من هذه الهجمات". "والسؤال المطروح على مزودي خدمات الموارد البشرية هو كيف سيحدون من الأضرار التي تلحق بعملائهم أثناء سعيهم لحل المشكلات المتعلقة ببرامج الفدية والهجمات الإلكترونية الأخرى. فما لم يتم دفع الفدية، قد يستغرق حل هذه المشكلات أسابيع".

قال نبيل حنان، المدير التنفيذي لشركة NetSPI، وهي شركة متخصصة في اختبار أمن المؤسسات وإدارة الثغرات الأمنية ومقرها مينيابوليس، إن العديد من المؤسسات لا تزال تركز على حماية بيانات العملاء على حساب تأمين بيانات الموظفين.

قال هانان: "أصبح القراصنة أكثر إبداعًا، ويركزون جهودهم بشكل متزايد على إيجاد طرق لاختراق أنظمة قد لا تبدو في ظاهرها ذات أهمية بالغة، لكن لها آثارًا بعيدة المدى، مثل بيانات الموارد البشرية".

ومن بين المؤسسات التي تأثرت بانقطاع خدمات UKG مؤسسة «فرانسيسكان هيلث»، وهي مجموعة تضم 14 مستشفى في منطقة الغرب الأوسط. وقالت إلين بيج، مديرة استقطاب المواهب في المؤسسة، إن فريقًا داخليًا بقيادة أقسام تكنولوجيا المعلومات والرواتب والخدمات المشتركة للموارد البشرية سارع إلى إنشاء نظام يدوي لضمان حصول موظفي المستشفيات على رواتبهم بدقة وفي موعدها. 

وقال بيج: "اختارت بعض المؤسسات التي تأثرت بالهجوم أن تدفع للموظفين ببساطة ما كانوا يتقاضونه في الدورات السابقة للانقطاع، لكننا أردنا التأكد من حصول الموظفين على مستحقاتهم بالضبط". "ونظراً لنقص الموظفين الناجم عن جائحة كوفيد-19 وارتفاع أعداد المرضى، كان العديد من ممرضاتنا يتلقين مكافآت مالية مقابل العمل في نوبات إضافية، على سبيل المثال، ولم نرغب في حرمانهن من تلك المكافآت".

وقال بيج إنه على الرغم من استعادة خدمة UKG في فرانسيسكان مؤخرًا، لا يزال هناك الكثير من العمل الذي يتعين القيام به للتعافي من هذا الانقطاع، بما في ذلك إعادة إدخال سجلات الرواتب اليدوية الخاصة بالشهر الماضي إلى نظام UKG.

الاستعداد للهجمات المستقبلية

يقول خبراء أمن البيانات إن عملاء مزودي الخدمات الخارجيين مثل UKG لا يحتاجون فقط إلى التأكد من أن ممارسات أمن البيانات التي يتبعها الموردون حديثة وقوية وتخضع لاختبارات منتظمة قبل توقيع العقود، بل عليهم أيضًا مراجعة خطط استمرارية الأعمال الخاصة بهم للاستعداد لاحتمال تعرضهم لهجمات إلكترونية مماثلة.

وقالت ميلين إن الهجوم الذي تعرضت له شركة UKG يحمل دروسًا لمزودي خدمات الموارد البشرية الآخرين فيما يتعلق بتعزيز أنظمة النسخ الاحتياطي حتى يتمكنوا من استئناف العمل عبر الإنترنت بسرعة أكبر. وأضافت: "لا يكفي الاكتفاء باتباع أفضل الممارسات فحسب، بل يجب أيضًا إجراء اختبارات مستمرة لنظام الأمان الذي تم تنفيذه للتأكد من أنه سيحميك فعليًا في حالة وقوع هجوم".

قال وايت إن استخدام خدمات السحابة الخاصة مقارنةً بخدمات السحابة العامة قد ينطوي على مخاطر أمنية متأصلة. فالسحابة الخاصة مخصصة لمؤسسة واحدة فقط وتُشغَّل على البنية التحتية الخاصة بتلك الشركة، في حين أن السحابة العامة تُشترك فيها مؤسسات مختلفة عبر الإنترنت. ويشير خبراء الأمن إلى أن السحابة العامة غالبًا ما تكون أكثر تحصينًا لأنها تُعدّ هدفًا متكررًا للمتسللين، كما أنها تميل إلى جذب أفضل المتخصصين في مجال الأمن.

وقال وايت: "وقع هجوم UKG على منصة لا تحصل فيها على التحديثات والإجراءات الأمنية التي تحصل عليها في حل عام أكثر حداثة". "بشكل عام، تخضع الإجراءات الأمنية في السحابة العامة للاختبار والتحديث بشكل أكثر انتظامًا، كما أنها أكثر متانة من السحابة الخاصة، التي غالبًا ما تعتمد على تقنيات قديمة".

وقال وايت إن الدعم اللاحق الذي ستقدمه UKG للعملاء المتضررين من انقطاع الخدمة سيكون عاملاً حاسماً. وقال وايت: "تلقينا استفسارات من عملاء UKG ومن غير العملاء على حد سواء بشأن رغبتهم في الترقية من نظامهم الحالي والانتقال إلى عروض سحابية أكثر حداثة يقدمها موردوهم". "ولكن هل سيكون لدى UKG فريق الدعم اللازم للتعامل مع هذه التحولات؟ وبالنسبة للعملاء الذين لا يرغبون في الانتقال أو الترقية على الفور، ماذا ستفعل UKG لطمأنتهم بأنها قد أصلحت أي ثغرات قد تكون موجودة في طبقة الأمان لديهم؟"

قال سام غرينتر، كبير المحللين الرئيسيين في قسم الموارد البشرية بشركة «غارتنر»، إنه يتوقع أن ينتقل العديد من عملاء «يو كي جي» المتضررين إلى منصات جديدة مع المورد. وأضاف: «أتوقع أن يكون جزء من الاستراتيجية المستقبلية، لكل من عملاء «يو كي جي» و«كرونوس برايفت كلاود»، هو الانتقال في وقت أقرب مما كان مخططًا له في البداية إلى منصات أكثر حداثة، والتي من المفترض أن تتمتع بأمان أقوى».

المخاطر القانونية التي يتعرض لها المورد والعملاء

يقول المحامون إنه نظراً لتعرض بيانات العملاء للاختراق وعدم تمكن بعض الشركات من دفع رواتب موظفيها بدقة خلال فترة انقطاع الخدمة، فإن شركة UKG وعملاءها قد يتعرضون لدعاوى قضائية.

عادةً ما تُصاغ عقود الموردين مع مراعاة مسائل أمن البيانات. وقال مايكل باهار، المدير المشارك لقسم الأمن السيبراني وخصوصية البيانات العالمي في مكتب المحاماة «إيفرشيدز ساذرلاند»: «أنا متأكد من أن العديد من الشركات المتضررة تدرس شروط عقودها بدقة لترى ما إذا كانت هناك أسباب لرفع دعوى قضائية».

قال باهر إنه على الرغم من وجود افتراض بأن المسؤولية القانونية عن أمن البيانات تقع في المقام الأول على عاتق مزود خدمة البرمجيات كخدمة، فإن الأمر لا يكون كذلك دائمًا. فمن الممكن صياغة العقود بحيث يتم تقاسم المسؤولية مع العميل.

وقال باهر: "يمكنك توزيع بعض المسؤوليات والالتزامات من خلال العقود، لكن مالكي البيانات — أي عملاء المورد — أصبحوا غير قادرين بشكل متزايد على تحديد التزاماتهم المتعلقة بأمن البيانات بشكل كامل في العقود، وذلك لأن الهيئات التنظيمية تتوقع من العميل أن يجري إجراءات العناية الواجبة المناسبة والموثقة فيما يتعلق بممارسات أمن البيانات التي يتبعها المورد".

وأشار إلى أنه في قضية UKG، من الممكن أيضًا أن يرفع الموظفون المتضررون من الهجوم دعاوى قضائية. وقال: "يمكن للأفراد رفع دعوى جماعية للمطالبة بتعويض عن انخفاض رواتبهم نتيجة انقطاع الخدمة، أو عن تسرب بياناتهم الشخصية نتيجة إخفاق صاحب العمل في إجراء التحريات اللازمة بشأن الممارسات الأمنية للمورد الذي تعاقد معه".

ديف زيلينسكي هو مدير شركة Skiwood Communications، وهي شركة متخصصة في كتابة وتحرير النصوص التجارية في مينيابوليس.