المحامون في طليعة التصدي للهجمات السيبرانية

الشهر الماضي، علم عشرات آلاف من الموظفين في إحدى أكبر الشركات في بريطانيا أن بياناتهم الشخصية تعرضت لاختراق من عصابة إجرامية ناطقة بالروسية، في أحدث واقعة اختراق إلكتروني كبرى.
جاء هذا الإعلان عقب تحذير من شركة البرمجيات العملاقة مايكروسوفت في أيار (مايو) من أن مجموعة قرصنة قد اخترقت شبكات بنية تحتية "حيوية" في الولايات المتحدة، حيث استهدفت مؤسسات تشمل الاتصالات والتصنيع والخدمات العامة والبناء.
يقع العمل المرهق اللازم للرد على هذه الحوادث على عاتق جيوش من المحامين، الذين يجدون أنفسهم أكثر فأكثر في طليعة معركة ضد ابتزاز الشركات وسرقة البيانات الشخصية.
يقول لوسون كايزلي، رئيس لجنة المخاطر الإلكترونية في شركة وايت آند كيس للمحاماة: "إذا نظرت إلى أي مسح لرؤساء الأقسام القانونية في الشركات (أو، بالفعل، سألت أحدهم)، سيكون الأمن السيبراني دائما إحدى القضايا التي تبقيهم مستيقظين في الليل".
"تعد أي حادثة سيبرانية كبيرة كابوسا للشركات بسبب كل الأجزاء المريعة التي تتضمنها. قد تتحمل الشركة مسؤولية كبيرة، من علاقات عامة تتدهور فورا، على افتراض أنه يتعين عليك التصريح عنها (...) وتدقيق تنظيمي، واحتمال انخفاض أسهمها، والحاجة إلى اتخاذ إجراءات قانونية فورية (...) لذا فهي واحدة من تلك الأشياء التي تتعلق بكل المجالات".
تصدرت مخاطر الأمن السيبراني أعمال مستشارين قانونيين عامين مع ازدياد تعقيد الهجمات وتكرارها. وفقا لتقرير شركة الأمن سوفو عن حالة وقائع برامج الفدية 2023، قالت 44 في المائة من الشركات البريطانية، التي شملها الاستطلاع إنها تعرضت لابتزاز ومطالبة بفدية العام الماضي. ومن بين المتضررين، قالت 33 في المائة من الشركات إنه تم تشفير بياناتها وسرقتها، وقالت 6 في المائة أخرى إن بياناتها لم تشفر لكنها تعرضت للابتزاز.
تقول شركة كراود سترايك للأمن السيبراني: "حدثت زيادة كبيرة في عدد الخصوم الذين ينفذون حملات سرقة البيانات والابتزاز". كما قالت: "يكمن الخطر في أنه لم يعد حدثا سيبرانيا واحدا، بل حملة سيبرانية، حيث يمكن لضحية أن تواجه ضررا متكررا".
حسب درو باجلي، نائب الرئيس ومستشار الخصوصية والسياسة السيبرانية في شركة كراود سترايك، فإن المجرمين لم يعودوا بحاجة إلى امتلاك مهارات تكنولوجية متقدمة أيضا، قال: "لأنهم قادرون على شراء الوصول إلى الضحايا والأدوات المعقدة التي تمكنهم من خرق أنظمتهم من أسواق الويب المظلم".
تعد القرصنة السيبرانية عملا مربحا، فقد تضاعف متوسط مدفوعات الفدية تقريبا من 812,380 دولارا عام 2022 إلى 1.5 مليون دولار عام 2023 حسب شركة سوفوس. ووفقا لمحامين يكافحون هذه الجرائم، يعمل قطاع الجرائم كنظام سلس. يوضح إدواردو أوستاران، الذي يساعد الشركات في التعامل مع الهجمات السيبرانية في دوره رئيسا مشاركا عالميا لقسم الخصوصية والأمن السيبراني في شركة المحاماة هوجان لوفيلز: "إن مرتكبي هذه الحوادث مجرمون، لكنهم مجرمون بنموذج عمل".
"يقولون: لدينا بياناتك، وإذا كنت تريدها فهذه تكلفتها. نعمل مع شركات تتمثل مهمتها في التفاوض على خصم على الفدية وتجري عملية تفاوض مالية بحتة".
بمجرد الاتفاق على السعر، تنخرط الشركات في عملية استرداد بياناتها، بل وقد تدفع أكثر في بعض الحالات، إذا وافق القراصنة على إعادة البيانات إلى حيث وجدوها، مثلا.
يقول كايزلي: "طريقة عمل هذه العصابات هي نموذج عمل، لذا تصبح معاملة تجارية تماما. أحد الأسئلة التي تثير أكثر المناقشات حدة في مجالس الإدارة هو حسبما رأيت هو: هل ينبغي عليك دفع الفدية؟ غالبا ما ينقسم الناس حسب اعتقاداتهم... ولا توجد إجابة صحيحة".
قال تقرير صادر عن المركز الوطني للأمن السيبراني في المملكة المتحدة حول المخاطر، التي يتعرض لها القطاع القانوني إنه "يشهد بازدياد قراصنة للتأجير، يكسبون المال عن طريق تكليفهم بتنفيذ أنشطة سيبرانية خبيثة لمصلحة عملاء من أطراف ثالثة، غالبا ما تنطوي على سرقة معلومات لتكون لهم اليد العليا في معاملات تجارية أو نزاعات قانونية".
يقول أوستاران: "إذا تعرضت أنظمتك للاختراق، فهذا أمر حساس جدا". لكن يوجد عدد من "مسارات العمل" التي تأخذ محلا على الفور: "أولا، عليك إيقاف أيا كان ما يحدث (...) إنه مثل الجرح، عليك إيقاف النزيف. ثم، عليك التحقق مما حدث، حتى تتمكن من فهم الآثار المترتبة. ثم، عليك استعادة الأنظمة".
يقول محامون إن العمل في مجال الأمن السيبراني يشبه إدارة الأزمات، حيث ينسق المحامون الداخليون عمل المحققين الشرعيين ومتخصصي العلاقات العامة والمحامين الخارجيين، لمعالجة الاختراق.
ينطبق الشيء نفسه على الشركات الخاصة. يقول أوستاران: "سأقول إن جزءا كبيرا من هذا العمل هو إدارة أزمات. يوجد عنصر مهم في هذا يتمحور حول طمأنة العميل ومساعدته على اتخاذ قرارات عمل صحيحة، التي لا علاقة لها بوجود قانون ثابت وتطبيق القانون".
يقول كايزلي إن للمحامين الداخليين "دورا بارزا في طاولة مجلس الإدارة عند التعامل مع واقعة اختراق" – بما في ذلك استراتيجيات الحرب ومناقشة الحالات التي ستدفع فيها شركة ما فدية.
تشريعات اللائحة العامة لحماية البيانات في أوروبا – التي تطالب الشركات التي تعرضت لاختراق بيانات بإخطار الجهة التنظيمية، والأفراد الذين سرقت بياناتهم، أو كليهما، اعتمادا على عوامل معينة – أدت إلى إبانة حوادث سيبرانية كثيرة. في السابق، كان من الممكن أن تحاول شركات التعامل معها بشكل سري.
قد تضطر الشركات قريبا إلى إعلان إفصاحات أكثر تفصيلا. ففي الولايات المتحدة، تطبق هيئة الأوراق المالية والبورصات قواعد تلزم الشركات بتوضيح استعدادها للهجمات الإلكترونية والكشف عن أي حوادث.
يقول كايزلي: "لن أتفاجأ إذا رأينا خطوة مشابهة في دول أخرى (...) مثل معظم المنظمين حول العالم، كانت لجنة الأوراق المالية والبورصات تتحدث علنا وصراحة عن أن هذه مشكلة مجلس إدارة، وليست مجرد مشكلة تتعلق بتكنولوجيا المعلومات".