هجوم الفدية على SmartHRMS: ما الذي تعطّل، وما الذي لا يزال مجهولاً؟

كان موضع الهجوم نظام الموارد البشرية والرواتب SmartHRMS الذي توفره شركة أڤيلوجيك، وليس الخدمات الدينية أو الخدمات المقدّمة للجمهور من قِبل المجلس الإسلامي السنغافوري، المعروف اختصاراً بـMUIS. وقال المجلس إنه وضع ترتيبات بديلة لضمان صرف رواتب الموظفين المتأثرين في موعدها، من دون انقطاع تلك الخدمات.316

من شملهم التعطّل؟

في القطاع المجتمعي، شمل مستخدمو النظام المتأثرون 48 مسجداً وأربع مدارس دينية، إلى جانب مركز التعلّم الإسلامي ومكتب الإدارة (ILHAM)، والخدمات المشتركة للمساجد والمدارس الدينية والأوقاف (MMWSS). ويخدم نظام أڤيلوجيك عملاء في قطاعات أخرى أيضاً. التعطّل هنا يخص الوصول إلى وظائف الموارد البشرية والرواتب؛ ولا يعني، بحسب المجلس، توقّف الخدمات الدينية أو الخدمات المقدّمة للجمهور.3

هل سُرقت بيانات الموظفين؟

لم يُحسم ذلك. أشارت تقارير إلى احتمال تعرّض أسماء الموظفين وبيانات الاتصال والرواتب وأرقام الحسابات المصرفية للكشف، لكنها لم تؤكد سرقة هذه المعلومات. كما لم تُحدَّد في المعلومات المتاحة أعداد الأشخاص المتأثرين، ولا البيانات التي ربما تضررت على وجه الدقة.617

وقالت أڤيلوجيك إن فحصاً جنائياً رقمياً مستقلاً لم يجد دليلاً على نقل كميات كبيرة من البيانات إلى خارج النظام في سجلات حركة شبكة «أمازون ويب سيرفيسز» المتاحة، خلال نشاط المهاجمين المؤكد يومي 30 و31 أغسطس. وأضافت أن الحقول الحساسة الأساسية في SmartHRMS كانت محمية بتشفير على مستوى التطبيق. وهذه نتائج مقيدة بما أمكن فحصه؛ فلا تثبت أن أحداً لم يصل إلى أي معلومات أو يأخذها.7

ماذا شُفّر، وهل عاد النظام للعمل؟

وفق إشعار أڤيلوجيك، شفّر هجوم الفدية قواعد بياناتها والنسخ الاحتياطية المتصلة بها، ما عطّل الوصول إلى النظام. وهذا يختلف عن تشفير الحقول الحساسة الذي يُستخدم لحماية البيانات داخل التطبيق. وقال المجلس الإسلامي السنغافوري لاحقاً إن الشركة استعادت البيانات المتأثرة؛ لكن استرداد البيانات لا يؤكد، بمفرده، عودة النظام كاملاً إلى متناول العملاء.2073

وذكرت تقارير سابقة أن 18 سبتمبر كان موعداً مستهدفاً لاستعادة الخدمة، لكن المعلومات المقدمة لا تؤكد عودة SmartHRMS للعمل في ذلك اليوم. وقال المجلس إن التحقيقات والفحوص الأمنية لا تزال جارية.1016

أين وصلت الإجراءات الرسمية؟

أفاد المجلس بتقديم بلاغ إلى الشرطة، وبأنه لم تُدفع فدية، فيما تواصل أڤيلوجيك التحقيق في الواقعة وتداعياتها الأوسع. وأورد إشعار الشركة أيضاً أنها قدّمت إخطاراً إلى لجنة حماية البيانات الشخصية في سنغافورة (PDPC). ولا تُظهر المعلومات المتاحة نتيجة التحقيق الشرطي، أو وضع أي تحقيق منفصل لدى اللجنة ونتائجه.320