أعلن البيت الأبيض ووكالات المخابرات الأميركية أن وكالة الأمن القومي لم تكن هي أو أي جزء آخر من الحكومة على دراية قبل هذا الشهر بوجود ثغرة «هارتبليد» (نزف القلب)، ونفت تقريرا يقول إن وكالة التجسس استغلت الخلل في استخدام تقنية تشفير على الإنترنت تستخدم على نطاق واسع لجمع معلومات استخباراتية.
وأصدر البيت الأبيض ووكالة الأمن القومي ومكتب مدير المخابرات القومية بيانات بعدما قالت شبكة بلومبرغ في تقرير لها إن وكالة المخابرات القومية على دراية بالثغرة منذ سنتين على الأقل واستغلتها للحصول على كلمات سر ومعلومات رئيسة أخرى استخدمت في عمليات تسلل. واستشهد تقرير بلومبرغ بمصدرين لم يذكر أسماءهما قال إنهما مطلعان على الموضوع.
وتعد ثغرة «هارتبليد» واحدة من أخطر العيوب في أمن الإنترنت التي تكشفت في السنوات الأخيرة.
وقالت كيتلين هايدن المتحدثة باسم مجلس الأمن القومي التابع للبيت الأبيض، في بيان، إن «التقارير التي تقول إن وكالة الأمن القومي كانت هي أو أي جزء آخر من الحكومة على دراية بما يسمى بثغرة هارتبليد قبل أبريل (نيسان) 2014 - خاطئة». وأضافت هايدن: «تأخذ هذه الإدارة بجدية مسؤوليتها للمساعدة في الحفاظ على إنترنت مفتوح وقابل للتبادل واستخدام المعلومات وآمن وجدير بالثقة».
ولم يمكن التوصل إلى بلومبرغ على الفور للحصول على تعليق.
وحث باحثون يعملون في شركة «غوغل» وشركة أمن صغيرة هي «كودنوميكون» لـ«هارتبليد»، وزارة الأمن الداخلي الأميركية على تحذير الشركات يوم الخميس لمراجعة خوادمهم لرؤية ما إذا كانوا يستخدمون نسخا ضعيفة من البرنامج المستخدم على نطاق واسع والمعروف باسم «أوبن إس إس إل» (OpenSSL). ويستخدم «أوبن إس إس إل» لتشفير البريد الإلكتروني واتصالات أخرى ولحماية مواقع الإنترنت الخاصة بشركات الإنترنت الكبرى، بما في ذلك «فيسبوك» و«غوغل» و«ياهو». وسمحت الثغرة التي اكتشفت يوم الاثنين للمتسللين بسرقة بيانات من دون اقتفاء أثر.
وتسارع شركات التكنولوجيا الآن لتحديد الأجزاء المعرضة للخطر من شفرة «أوبن إس إس إل» في قطاعات أخرى من بينها خوادم البريد الإلكتروني وأجهزة الكومبيوتر الشخصية العادية والهواتف. وسارعت شركات مثل «سيسكو سيستمز» و«إنتل» لإجراء عمليات تحديث للحماية من التهديد، محذرة الزبائن من أنهم قد يكونون معرضين للخطر.
وتجدر الإشارة إلى أنه بعد أسبوع على اكتشاف ثغرة «هارتبليد» المعلوماتية، يجمع الخبراء على خطورتها، لكنهم يقرون بأنه من الصعب تقييم حجم الأضرار التي تسببت بها.
وتصيب هذه الثغرة ومعناها «نزف القلب» النسخ الصادرة بعد مارس (آذار) 2012 لبرنامج «أوبن إس إس إل» للتشفير والمستخدم في الكثير من مواقع الإنترنت وملقمات الرسائل القصيرة وغيرها من وسائل الاتصال عن بعد في الشركات من نوع «في بي إن».
وقال توما غاييه خبير مكافحة الجرائم المعلوماتية لدى شركة «ليكسي» الفرنسية لاستشارات الأمن المعلوماتي: «مما لا شك فيه أنها ثغرة خطيرة». وأضاف: «هناك أنظمة معرضة منذ عام 2012 وعلى الأرجح حصل تسريب للبيانات».
وتابع غاييه أن القراصنة لا يمكنهم تحديد أهداف هجماتهم بدقة لكن «إذا كان هناك أشخاص على علم بهذه الثغرة خلال العامين الماضيين واستغلوها فإن ذلك من شأنه زيادة حظوظهم في الحصول على معلومات حساسة». وأقر غاييه بأنه «ليس من السهل بعد مرور الوقت معرفة إذا جرى استغلال الثغرة» لأن ذلك «لا يترك أثرا على الملفات». وعليه فإن قائمة الضحايا المفترضين طويلة جدا.
ومن بين خدمات الإنترنت التي اتصلت بها وكالة الصحافة الفرنسية فإن مجموعة «ياهو!» و«غوغل» وشبكة «فيسبوك» و«إنستغرام» لتقاسم الصور وموقع تسجيلات الفيديو «نتفليكس» وأيضا منصة لاستضافة المواقع «إير بي إن بي»، أكدت جميعها أنها أجرت مراجعة أمنية لمواقعها.
وأوضح تيم مورر خبير الأمن لدى «نيو أميركا فاونديشن» أن «المجموعات الكبرى تمكنت من حل المشكلة سريعا». وأضاف: «المؤسسات المتوسطة والصغيرة قد لا يكون لديها بالضرورة الإمكانات أو الخبراء لتحديث أنظمتها بسرعة». وإذا كان «غوغل» أعلن أن مستخدميه «ليسوا بحاجة لتغيير كلمات السر» فإن الكثير من الخبراء ينصحون بالقيام بذلك.
وأعلن موقع «فيسبوك» أنه «لم يرصد أي نشاط مشبوه» لكنه اقترح على منتسبيه «استغلال الفرصة... لاعتماد كلمة سر فريدة بموقع (فيسبوك) لا يستخدمونها في أماكن أخرى على النت». واقترح «ياهو!» «إعطاء رقم هاتف كوسيلة ثانوية للتعريف عن النفس».
إلا أن غراهام كلالي خبير الأمن المعلوماتي حذر على موقعه من أن تغيير كل كلمات السر دون تمييز «نصيحة غير مفيدة». وقال: «يجب فقط أن نغير كلمات السر في المواقع التي أكدت أنها حلت المشكلة. أما تغيير كل كلمات السر من شأنه أن يزيد من مخاطر أن يرصد قراصنة يريدون استغلال الثغرة لمعلوماتكم السرية».