اختراق UKG يعطل الجدولة والرواتب لآلاف من أرباب العمل

​تسبب هجوم ببرنامج فدية استهدف أحد كبار مزودي تكنولوجيا الموارد البشرية في إحداث فوضى في مجالات الحضور والجدولة وكشوف المرتبات لدى آلاف أرباب العمل — دون أن تلوح في الأفق أي نهاية مؤكدة لهذه المشكلة.

كشفت مجموعة «ألتيميت كرونوس» (UKG) أن أحد أنظمة إدارة الوقت والحضور القائمة على السحابة التابعة لها — «كرونوس برايفت كلاود» — تعرض للاستغلال من قِبل قراصنة، وأن انقطاع الخدمة قد يستمر لعدة أسابيع. وتعد هذه الأخبار مقلقة بشكل خاص في ظل تزايد اللجوء إلى النظم المرنة في توزيع الموظفين وجدولة الإجازات خلال فترة الأعياد، فضلاً عن المخاوف المتعلقة بحساب رواتب نهاية العام، مثل المكافآت.

تتضمن «Kronos Private Cloud» المنتجات التالية: UKG Workforce Central، وUKG TeleStaff، وHealthcare Extensions، وBanking Scheduling Solutions.

قال سام غرينتر، كبير المحللين الرئيسيين في شركة الاستشارات «غارتنر» التي تتخذ من لندن مقراً لها: «لا يمكن أن يكون التوقيت أسوأ من هذا، حيث إن العديد من الشركات التي توظف عمالاً بالساعة تكون أكثر انشغالاً خلال موسم الأعياد، وتضطر إلى تتبع ساعات العمل الإضافية بشكل أكبر». «فالهجوم لم يأتِ فقط خلال الفترة الحاسمة في نهاية العام فيما يتعلق بجدولة العمل وتوزيع الموظفين، بل جاء أيضاً في الوقت الذي كان فيه المؤتمر السنوي لعملاء شركة UKG على وشك البدء».

وقد أثر هذا الهجوم، الذي تم اكتشافه في 11 ديسمبر، على 2,000 مؤسسة تستخدم هذا البرنامج، بما في ذلك الشركات الكبرى والمستشفيات والهيئات الحكومية والجامعات وخدمات الطوارئ مثل إدارات الإطفاء والشرطة.

وقال غرينتر: «العملاء قلقون جدًّا بشأن هذا الأمر ويحاولون معرفة ما يجب عليهم فعله». «إنه أمر لم نشهده من قبل على هذا النطاق، من الناحية المتعلقة بالموارد البشرية».

وأفادت شركة UKG أن جميع المنتجات المرتبطة بـ «Kronos Private Cloud» غير متاحة حالياً، وقد يستغرق الأمر عدة أسابيع قبل استئناف الخدمة. 

وقال بوب هيوز، نائب الرئيس التنفيذي لشركة UKG، في بيان: «نحن نعمل مع كبار خبراء الأمن السيبراني لتقييم الوضع ومعالجته، وقد أبلغنا السلطات بذلك». «ولا يزال التحقيق جارياً، في الوقت الذي نعمل فيه على تحديد طبيعة الحادث ونطاقه».

لم يتم الإبلاغ عن أي تأثير على المنتجات المتأثرة في حال تم تثبيتها محليًّا (وليس استردادها من خوادم في السحابة)، ولا على منتجات UKG الأخرى مثل UKG Pro وUKG Ready وUKG Dimensions، التي يتم استضافتها في بيئات منفصلة وليس في Kronos Private Cloud.

وأوضح غرينتر أن شركة ADP قد تكون مزودًا آخر يستحق المتابعة، حيث إنها تعيد بيع نظام UKG Workforce Central باعتباره أحد منتجات ADP. بالإضافة إلى ذلك، فإن معظم مزودي خدمات الرواتب الكبار لديهم تكامل مع UKG (بسبب الاندماج الذي حدث في عام 2020 مع شركة Kronos الرائدة في مجال إدارة الوقت والحضور).

تقوم شركة UKG بتقديم تحديثات يومية حول هذه الحالة الطارئة، بما في ذلك إعلام العملاء بأن أنظمة النسخ الاحتياطي غير متاحة بسبب الهجوم؛ وأن الشركة لم تكتشف أن المخترقين قد سرقوا أي بيانات؛ وأنه «في معظم الحالات، ستقوم أجهزة تسجيل الدوام التابعة لشركة UKG بتسجيل وتخزين بيانات تسجيل دخول وخروج الموظفين في وضع غير متصل بالإنترنت حتى يتم استعادة الاتصال. … ومع ذلك، توصي شركة UKG العملاء بشدة بالنظر في اتباع إجراءات يدوية لتسجيل أوقات الدوام لضمان الدقة في تسجيل أوقات عمل الموظفين خلال هذه الفترة الانتقالية».

قالت أمبر كلايتون، مديرة «مركز المعرفة في مجال الموارد البشرية» التابع لـ«جمعية إدارة الموارد البشرية»، لصحيفة «يو إس إيه توداي» إن معظم الشركات ستقوم بتتبع سجلات الدوام أو دفع الرواتب يدويًّا. وأضافت: «قد يطلب بعض أرباب العمل من الموظفين القيام بذلك أو يطلبون منهم تدوين ساعات عملهم بأنفسهم». "وإذا لم يحدث ذلك، فمن الأفضل دائمًا أن تقوم بذلك بنفسك حتى تعرف عدد ساعات العمل التي قضيتها وعدد ساعات العمل الإضافية — وأمور من هذا القبيل. وبهذه الطريقة، يمكنك مقارنة ذلك بما لدى صاحب العمل والتأكد من حصولك على أجر مناسب".

وقال غرينتر إن معظم عملاء UKG الذين علقوا على مدونة الشركة أشاروا إلى أنهم سيستخدمون برامج Word أو Excel لتتبع الحضور وساعات العمل. وأضاف: «لكن هناك مشاكل واضحة في ذلك. فمن الصعب التحقق من صحة البيانات ومراجعتها، كما أن إدارتها تتطلب جهدًا أكبر».

وقال إن الخيار الآخر يتمثل في دفع نفس المبلغ الذي تم دفعه في دورة الأجور السابقة للجميع، ومحاولة إيجاد طريقة لتسوية الأمر لاحقًا. وأشار غرينتر إلى أن المشاكل التي تنطوي عليها هذه الطريقة تشمل عدم القدرة على مراعاة من عملوا ساعات أكثر أو أقل، وعدم القدرة على دفع رواتب الموظفين الجدد، وإرسال شيكات إلى أشخاص قد غادروا المؤسسة.

وقال: "يبحث بعض العملاء عن حلول جديدة، لكن المشكلة هنا هي أن ذلك سيستغرق أسابيع أو شهورًا". "هذا ليس حلاً قصير الأجل، باستثناء ربما أولئك العملاء الذين قد يستخدمون UKG لإدارة الوقت والحضور، لكنهم يستخدمون أيضًا Oracle أو Workday أو مزودًا كبيرًا آخر لإدارة رأس المال البشري (HCM). ونظرًا لأنهم عملاء حاليون لهؤلاء المزودين، ولأن إدارة الوقت تشكل جزءًا من حزمة خدماتهم، فإن عملية الانتقال ستستغرق وقتًا أقل، لكنها لا تزال ليست حلاً سريعًا للغاية."

أما فيما يتعلق بتخفيف حدة الوضع عن طريق دفع الفدية، فإن تصرفات «UKG» حتى الآن تشير إلى أنها لن تسلك هذا المسار، لكن هذا الأمر قد يتغير، حسبما قال غرينتر.

قال ألان ليسكا، محلل استخباراتي في شركة «ريكوردد فيوتشر» المتخصصة في الأمن السيبراني ومقرها سومرفيل بولاية ماساتشوستس، إنه حتى لو قررت الشركة دفع الفدية، فقد يستغرق الأمر أيامًا للتفاوض على تسوية وتجهيز الأموال. كما أن البرامج الضارة قد تُترك في النظام لاستخدامها في مطالبات فدية مستقبلية أو استغلالات أخرى. وأضاف أن السبيل الوحيد الآمن هو إعادة بناء شبكة الخوادم بالكامل.

حماية بيانات الموظفين

لم تحدد شركة UKG بعد ما إذا كان الحادث قد أثر على بيانات العملاء. لكن حجم المعلومات الخاصة بالموظفين المخزنة في «Kronos Private Cloud» — وبالتالي التي قد تكون تعرضت للاختراق — يختلف باختلاف جهة العمل. فعلى سبيل المثال، حذرت مدينة كليفلاند موظفيها من أن الأسماء والعناوين والأرقام الأربعة الأخيرة من أرقام الضمان الاجتماعي قد تكون معرضة للخطر.

وقالت لين فريدمان، الشريكة في مكتب شركة المحاماة «روبنسون آند كول» بمدينة بروفيدنس بولاية رود آيلاند: «تقوم شركة UKG بإخطار العملاء المتضررين، ومن الواضح أن هؤلاء العملاء يتعاونون مع الشركة للتأكد من البيانات التي شملها التسريب وما إذا كانت قد سُربت قبل نشر برنامج الفدية». "يمكن للشركات أن تحدد بشكل استباقي ما قد يكون تعرض للاختراق من خلال إجراء تحليلاتها الخاصة. وسيتعين على الشركات تحديد البيانات التي تعرضت للاختراق، وما هي التزاماتها القانونية، وما هي اتفاقياتها التعاقدية مع شركة UKG فيما يتعلق بهذه العملية."

قال ستيفن كافي، المؤسس المشارك لشركة «جراوند لابس» (Ground Labs)، وهي شركة متخصصة في الأمن السيبراني مقرها سنغافورة، إنه على الرغم من أن الوقت قد فات لتجنب الاختراق وتأمين البيانات المعرضة للخطر، فإن على أرباب العمل السعي إلى الاستثمار في تقنيات الفحص والمعالجة في أقرب وقت ممكن. 

وقال: «تساعد هذه التقنيات الشركات ليس فقط على فهم مكان وجود البيانات، بل أيضًا على فهم نوعها وحساسيتها وكميتها التي تحتاج إلى الحماية». «كما يمكن لتقنيات الفحص ومعالجة الثغرات أن تساعد الشركات المتضررة في حالات مشابهة لحالة UKG على معالجة الثغرات بشكل استراتيجي وحماية المستهلكين وخصوصيتهم، حتى لا تتكرر سيناريوهات مستقبلية مثل هذه».

هل Log4j هو السبب؟

تشير بعض النظريات إلى أن هجوم برنامج الفدية UKG قد يكون مرتبطًا بالثغرة الأمنية في Log4j التي تم الكشف عنها مؤخرًا. وقد تم اكتشاف هذه الثغرة، المعروفة أيضًا باسم Log4Shell، في جزء شائع الاستخدام من برنامج جافا في 9 ديسمبر.  

وقد حذر مسؤولون في الوكالة الأمريكية للأمن السيبراني وأمن البنية التحتية منذ ذلك الحين من أن قراصنة مدعومين من الدولة من الصين وإيران وكوريا الشمالية بدأوا في اختبار واستغلال هذه الثغرة الأمنية، التي تتيح للمهاجمين عن بُعد الاستيلاء على الجهاز. وأوضحت الوكالة أن مئات الملايين من أجهزة الشركات والمستهلكين معرضة للخطر إلى أن يتم إصلاح هذه الثغرة.

تسعى شركات التكنولوجيا جاهدة للتصدي لهذا التهديد، لكن خبراء الأمن السيبراني يرون أنه ينبغي على المؤسسات والمستهلكين تثبيت التصحيحات على الفور لأي تطبيقات أو أنظمة متأثرة به، إن أمكن ذلك.

تؤكد شركة UKG أنه لا توجد أي صلة بـ Log4j. وقالت الشركة: «نحن نحقق حالياً لمعرفة ما إذا كانت هناك أي علاقة بين الحادث الأمني وثغرة Log4j أم لا».

وقال فريدمان: «ظهور هذه الثغرة الأمنية هو، على أقل تقدير، مجرد مصادفة. وسيكشف الزمن ما إذا كانت مرتبطة بالهجوم أم لا، لكن ثغرة Log4j تثير القلق. وسيكون تأثيرها النهائي كبيرًا للغاية». 

التحضير لمواجهة هجمات برامج الفدية

وقالت فريدمان إن هجمات برامج الفدية التي نشهدها ليست سوى بداية لاتجاه مقلق. وأضافت: «شهدنا زيادة في عدد الهجمات الإلكترونية الموجهة ضد الشركات التي لديها إمكانية الوصول إلى بيانات العديد من الشركات الأخرى»، مشيرةً إلى اختراق البيانات الذي تعرضت له شركة «أكليون» (Accellion) المتخصصة في مشاركة الملفات في ديسمبر 2020، والعديد من الهجمات التي استهدفت مزودي خدمات تكنولوجيا المعلومات المدارة هذا العام. وأكدت: «يريد هؤلاء المجرمون إحداث أكبر قدر ممكن من الضرر».

وتابع فريدمان قائلاً: «الدرس الأهم هو أنه يجب على الشركات أن تضع خططًا محددة للعمليات الطارئة وخططًا احتياطية تحسبًا لتعطل خدمة مزود خارجي مهم». «ولن تكون هذه هي المرة الأخيرة التي يحدث فيها ذلك».

وقالت إن هناك قائمة طويلة من الإجراءات التي يمكن للشركات، بل وينبغي عليها، اتخاذها للتخفيف من آثار هجوم برامج الفدية، لكن عليها أيضًا أن تدرك أنه لا يمكن منع وقوع مثل هذه الحوادث تمامًا.

وتشمل هذه الإجراءات وضع خطط طوارئ وخطط احتياطية، وخطط التعافي من الكوارث، ومراقبة بروتوكول سطح المكتب البعيد، وجمع المعلومات الاستخباراتية حول التهديدات الداخلية، والمصادقة متعددة العوامل على جميع التطبيقات، وفلاتر قوية للبريد العشوائي. وقالت: «ومع ذلك، فإن حتى أكثر التدابير الأمنية فعاليةً لا يمكنها أبدًا منع وقوع هجوم إلكتروني بشكل كامل».