حملة يوروبول على هجمات DDoS تستهدف العملاء، لا المشغلين فقط

يوروبول تنقل الضغط إلى مشتري خدمات DDoS

فتحت جهات إنفاذ القانون الأوروبية مرحلة جديدة في حملتها ضد عمليات حجب الخدمة الموزعة مقابل أجر، من خلال تجاوز إيقاف البنية التحتية والتواصل مباشرة مع العملاء المزعومين. وفي عملية منسقة أعلنتها يوروبول، قالت السلطات إنها أرسلت رسائل تحذير عبر البريد الإلكتروني وخطابات إلى أكثر من 75,000 شخص يشتبه في أنهم دفعوا مقابل خدمات تُستخدم لإسقاط المواقع الإلكترونية عن الإنترنت.

وشملت العملية، التي نُفذت تحت اسم PowerOFF، أربعة اعتقالات، و53 عملية مصادرة نطاقات، و24 أمر تفتيش. ويهم الحجم بحد ذاته، لكن الأسلوب قد يكون الإشارة الأهم. فبدلاً من التركيز فقط على الأشخاص الذين يديرون ما يُعرف بخدمات booter أو stresser، يستخدم المحققون الآن بيانات الخوادم المصادرة لتحديد المستخدمين المسجلين وراء تلك الهجمات.

وهذا يجعل أحدث حملة إنفاذ القانون أكثر من مجرد عملية تنظيف. إنها أيضاً حملة ردع تستهدف جانب الطلب في اقتصاد DDoS، حيث ساعدت الحواجز المنخفضة للدخول منذ زمن طويل في إبقاء هذه الخدمات حيّة.

لماذا تظل خدمات DDoS للاستخدام مقابل أجر صعبة الاستئصال

هجمات DDoS ليست جديدة، لكنها لا تزال جذابة لأنها سهلة الإطلاق نسبياً وغالباً ما تكون شديدة التعطيل. لا يحتاج العميل إلى مهارات متقدمة في الاختراق، ولا إلى بنية تحتية خاصة به من botnet، ولا إلى معرفة تقنية عميقة. مقابل رسوم، يمكن للخدمة أن توفر القدرة على إغراق هدف بحركة المرور وإرهاق الأنظمة حتى يصبح موقع ويب أو تطبيق أو خدمة عبر الإنترنت غير متاح.

وقد ساعدت هذه السهولة في إبقاء السوق مرناً حتى مع قيام جهات إنفاذ القانون بتفكيك المشغلين مراراً. وقالت يوروبول إن الإجراء الأخير كان ممكناً لأن السلطات داهمت وصادرت خوادم مرتبطة بهذه الخدمات، مما أتاح للمحققين الوصول إلى سجلات يمكن استخدامها لتحديد المستخدمين. وهذه الأدلة من جانب الخادم هي ما سمح بجهد التواصل غير المعتاد مع العملاء المشتبه بهم بهذا الحجم الكبير.

وتعكس هذه التكتيكات حقيقة عملية في إنفاذ قانون الجرائم الإلكترونية: يمكن إعادة بناء البنية التحتية، ويمكن استبدال النطاقات، ويمكن للمشغلين الظهور من جديد تحت علامات تجارية جديدة. لكن إذا بدأت قاعدة العملاء تنظر إلى هذه المنصات على أنها غير آمنة، يصبح نموذج العمل أصعب في الاستمرار.

رسالة تهدف إلى رفع تكلفة الإساءة العابرة

يبدو أن التحذيرات المباشرة مصممة لفئة مهمة من سوق DDoS للاستخدام مقابل أجر: أشخاص قد لا يعتبرون أنفسهم مجرمين إلكترونيين بالمعنى التقليدي. فقد استُخدمت هذه الخدمات كثيراً في حملات المضايقة، والانتقام، والنزاعات المتعلقة بالألعاب، والتعطيل منخفض التعقيد. وكانت جاذبيتها تعتمد دائماً جزئياً على المسافة. يضغط المشتري على الزر ويدفع المال، ثم يتعامل مع النتيجة كما لو كانت شغباً مستأجراً لا جريمة قابلة للتتبع.

وتسعى خطوة يوروبول إلى تقويض هذه المسافة المتصورة. فمن خلال التواصل مع المستخدمين المزعومين بشكل فردي، تقول السلطات فعلياً إن مصادرة المنصة لا تكشف المشغلين فقط. بل يمكن أن تكشف العملاء أيضاً.

وهذا مهم لأن أثر الردع قد يمتد إلى ما بعد 75,000 شخص تم التواصل معهم. فالجمهور الأوسع هو كل من قد يفكر في استخدام خدمة DDoS تجارية لأنها تبدو سهلة ومجهولة ومنخفضة المخاطر. وتشير العملية إلى أن هذه الافتراضات أصبحت بشكل متزايد قديمة.

الخلفية الأوسع للأمن السيبراني

تأتي عملية إنفاذ القانون في ظل استمرار نمو حجم حوادث DDoS. وأشارت يوروبول في إعلانها إلى فئة تهديد لا تزال شائعة لأنها قادرة على إحداث تعطيل فوري بجهد محدود نسبياً. واستمر الضغط على المدافعين في الارتفاع. وفي العام الماضي، قالت Cloudflare إنها خففت ما وصفته بأنه أكبر هجوم DDoS مسجّل، وبلغ ذروته 29.7 تيرابت في الثانية.

وتبرز هذه القيمة الطبيعة المنقسمة لمشهد DDoS. ففي أحد الطرفين توجد الهجمات الضخمة التي تنطوي على فيضانات هائلة من الحركة على نطاق صناعي. وفي الطرف الآخر توجد الخدمات المُسوّقة التي تجعل قدرة الهجوم متاحة لعملاء أقل تطوراً بكثير. وقد لا تولد هذه الأخيرة دائماً أحجاماً قياسية، لكنها توسع دائرة الأشخاص القادرين على تسليح التعطيل.

وبالنسبة للمنظمات التي تدافع عن البنية التحتية المواجهة للجمهور، فهذا يعني أن التهديد لا يقتصر على الفاعلين النخبة. بل يشمل أيضاً سوقاً جماهيرياً تتيحه خدمات هجوم رخيصة ومعبأة.

جزء من حملة أطول

PowerOFF ليست عملية معزولة. فقد نفذ مكتب التحقيقات الفيدرالي وجهات أخرى عمليات متعددة ضد خدمات DDoS للاستخدام مقابل أجر في السنوات الأخيرة، ويأتي إعلان يوروبول الأخير ضمن هذا النمط من الضغط المستمر عبر الحدود. ويتمثل التحدي المتكرر في أن هذه المنصات تقع عند تقاطع الاستضافة السلعية، وقنوات الدفع، والنطاقات المؤقتة، وقاعدة عملاء يمكن أن تكون موزعة عالمياً.

ولهذا تظل المنسقة الدولية أمراً ضرورياً. فقد تُدار الخدمة في بلد، وتُستضاف في بلد آخر، وتُسوَّق عبر نطاقات مسجلة في مكان ثالث، ويستخدمها عملاء عبر عشرات الولايات القضائية. والاستجابة المجزأة تترك كثيراً من الثغرات. وتُظهر العملية الأخيرة أن السلطات تواصل سد هذه الثغرات عبر التحقيقات المشتركة والضربات المتزامنة.

ما الذي تغيّره العملية

قد لا تكون النتيجة الأبرز هي عدد الاعتقالات أو عدد النطاقات المصادرة، رغم أن كليهما مهم. بل قد تكون سابقة الإخطار واسع النطاق. فمصادرة البنية التحتية أمر معطل. أما تحذير المستخدمين المحددين فهو خطوة نفسية وقانونية واستراتيجية في الوقت نفسه.

• يخبر المشترين المشتبه بهم بأن نشاطهم قد يكون معروفاً بالفعل لدى السلطات.
• يرفع المخاطر القانونية والسمعية لاستخدام هذه الخدمات مستقبلاً.
• يشير إلى أن التحقيقات تتوسع من مشغلي المنصات إلى النظم البيئية الكاملة.

ويبقى أن نرى ما إذا كان ذلك سيقلص الطلب مادياً. فلدى أسواق الجرائم الإلكترونية تاريخ من التكيف. لكن العملية تُظهر أن جهات إنفاذ القانون تتكيف أيضاً، مستخدمةً المعلومات الاستخباراتية المستخلصة من المصادرات ليس فقط لملاحقة المنظمين، بل أيضاً لإضعاف ثقة العملاء التي تُبقي السوق قائماً.

وبالنسبة للشركات والمؤسسات والمنصات الإلكترونية التي لا تزال تواجه فيضانات مرور مُعطِّلة، فإن هذا التحول يستحق المتابعة. فالمعركة ضد إساءة استخدام DDoS لم تعد مجرد مسألة إخراج الخدمات عن الإنترنت. بل أصبحت بشكل متزايد محاولة لإقناع العملاء المحتملين بأن طلب هجوم ليس أمراً خاصاً ولا بلا عواقب.

تعتمد هذه المقالة على تغطية TechCrunch. اقرأ المقال الأصلي.