في أواخر مارس وبداية أبريل 2025، استهدفت موجة من هجمات Credential Stuffing عددًا من أكبر صناديق التقاعد الأسترالية. لم تكن الحادثة، في جوهرها، اختراقًا تقليديًا لقواعد بيانات الصناديق أو استغلالًا لثغرة Zero-Day؛ بل اعتمد المهاجمون على بيانات تسجيل دخول سُرقت أو تسرّبت سابقًا من مصادر أخرى، ثم جرّبوها آليًا على حسابات أعضاء صناديق التقاعد.
الحادثة أصبحت لاحقًا نقطة تحول تنظيمية في قطاع التقاعد الأسترالي. فقد أكدت هيئة التنظيم الاحترازي الأسترالية APRA أن عددًا صغيرًا من الأعضاء تكبد خسائر مالية، ثم اتخذت إجراءات لفرض مراجعة ضوابط المصادقة على مستوى القطاع. وفي فبراير 2026 قالت الهيئة إن صناديق متضررة من هجمات 2025 كانت مطالبة باستكمال رفع مستوى ضوابط المصادقة بحلول أبريل 2026.
هذه الصفحة تعيد بناء ما حدث استنادًا إلى المعلومات التي ظهرت بعد انتهاء المرحلة الأولى من الحادثة، وتوضح الفرق بين التقارير الأولية والنتائج التنظيمية اللاحقة، ولماذا يمثل Credential Stuffing مشكلة مختلفة عن اختراق خوادم المؤسسة نفسها.
ماذا حدث لصناديق التقاعد الأسترالية في 2025؟
تركز النشاط الذي أصبح علنيًا في بداية أبريل 2025 على محاولات دخول غير مصرح بها إلى حسابات أعضاء في عدة صناديق تقاعد أسترالية. وأكدت Association of Superannuation Funds of Australia (ASFA) في 4 أبريل أن مهاجمين حاولوا تجاوز دفاعات عدد من الصناديق خلال عطلة نهاية الأسبوع السابقة، وأن غالبية المحاولات صُدت، لكن عددًا من الأعضاء تأثر.
ظهرت أسماء AustralianSuper وAustralian Retirement Trust وRest وHostplus ومنصة Expand التابعة لـInsignia Financial ضمن الجهات التي أعلنت أو أقرت بوجود نشاط مرتبط بالحملة. ومع تقدم التحقيقات اتضح أن من المهم عدم استخدام كلمة "اختراق" بمعنى واحد لوصف جميع الحالات، لأن درجة التأثير اختلفت بين صندوق وآخر.
في حالة AustralianSuper، أوضح التقرير السنوي للصندوق لعام 2025 أن أنظمته نفسها لم تتعرض للاختراق، وإنما استخدم المحتالون بيانات اعتماد مسروقة من مصادر أخرى لمحاولة الدخول إلى حسابات بعض الأعضاء. وأغلق الصندوق الحسابات المتأثرة مؤقتًا وفرض قيودًا أمنية إضافية على تغييرات البيانات البنكية وبيانات الاتصال.
أما Insignia Financial فأعلنت في إفصاحها الرسمي بتاريخ 4 أبريل 2025 رصد نشاط مشبوه على نحو 100 حساب في منصة Expand، وقالت في ذلك الوقت إنها لم ترصد أثرًا ماليًا على العملاء. كما قالت Hostplus في بيانها الأولي إنها تحقق في الحادث ولم تكن قد رصدت خسائر لأعضائها.
هل سُرقت أموال فعلًا؟
نعم. إحدى المعلومات التي أصبح من الضروري تصحيحها مقارنة بالتغطية المبكرة للحادث هي أن الخسائر المالية لم تكن مجرد خطر نظري.
أفادت تقارير موثوقة في أبريل 2025 بأن أربعة أعضاء في AustralianSuper خسروا مجتمعين نحو 500 ألف دولار أسترالي بعد الوصول غير المصرح به إلى حساباتهم. وفي تقريرها السنوي اللاحق، أكدت APRA بصورة رسمية أن عددًا صغيرًا من أعضاء صناديق التقاعد تكبد خسائر مالية نتيجة حملة Credential Stuffing، وأضافت أن المتضررين جرى تعويضهم لاحقًا.
كما ذكرت APRA في تقريرها السنوي 2024-2025 أن ثمانية أمناء لصناديق تقاعد وأعضاءهم تعرضوا للاستهداف باستخدام Credential Stuffing خلال فترة قصيرة.
وهذا أكثر دقة من التعامل مع الأرقام التي ظهرت في الساعات الأولى للحادث باعتبارها رقمًا نهائيًا لعدد الحسابات التي استولى عليها المهاجمون. فقد تحدثت تقارير أولية عن أكثر من 20 ألف حساب متأثر، لكن مصطلحات مثل "مستهدف" و"متأثر" و"تم الدخول إليه" و"تعرض لخسارة مالية" لا تصف الحالة الأمنية نفسها.
ما هو Credential Stuffing بالضبط؟
Credential Stuffing هو هجوم آلي يستخدم فيه المهاجم أزواجًا من أسماء المستخدمين أو عناوين البريد الإلكتروني وكلمات المرور التي حصل عليها من تسريب أو اختراق سابق، ثم يجربها على خدمات أخرى على أمل أن يكون أصحابها قد أعادوا استخدام كلمة المرور نفسها.
تعرّفه OWASP بأنه إدخال آلي لبيانات اعتماد مسروقة في نماذج تسجيل الدخول بهدف الاستيلاء على حسابات أخرى.
فإذا استخدم شخص البريد الإلكتروني وكلمة المرور نفسيهما في متجر إلكتروني وفي حساب مالي، فإن تسريب بيانات المتجر يمكن نظريًا أن يمنح المهاجم مفتاحًا جاهزًا لتجربة الدخول إلى الحساب المالي، حتى لو لم يتعرض النظام المالي نفسه لأي تسريب.
وهذا أحد الأسباب التي تجعل استخدام كلمات مرور فريدة وتفعيل المصادقة متعددة العوامل أكثر أهمية من مجرد اختيار كلمة تبدو معقدة.
Credential Stuffing أم Brute Force أم Password Spraying؟
| الهجوم | ما الذي يجربه المهاجم؟ | الفكرة الأساسية |
|---|---|---|
| Credential Stuffing | اسم مستخدم وكلمة مرور مسروقان مسبقًا | استغلال إعادة استخدام بيانات الدخول بين خدمات مختلفة |
| Brute Force | عدد كبير من كلمات المرور ضد حساب أو حسابات | محاولة تخمين كلمة المرور |
| Password Spraying | كلمة مرور شائعة واحدة أو عدد قليل منها ضد حسابات كثيرة | تفادي القفل السريع الناتج عن كثرة المحاولات ضد حساب واحد |
| Phishing | خداع المستخدم نفسه | إقناعه بتسليم كلمة المرور أو رمز المصادقة أو معلومات أخرى |
لذلك لا يعني نجاح Credential Stuffing بالضرورة أن المهاجم فك تشفير كلمة مرور أو اكتشف ثغرة في التطبيق المستهدف. قد تكون بيانات الاعتماد صحيحة بالفعل لأنها سُرقت من مكان آخر.
ولفهم الفروق بين هذه المصطلحات وغيرها دون تحويل هذه الصفحة إلى قاموس أمني، يشرح دليل مصطلحات الأمن السيبراني الأساسية التصيد والبرمجيات الخبيثة وأنواع الهجمات الشائعة بصورة منفصلة.
لماذا نجحت بعض محاولات الهجوم؟
إعادة استخدام كلمات المرور
Credential Stuffing يصبح فعالًا عندما يستخدم الشخص بيانات الدخول نفسها في أكثر من خدمة. بمجرد تسريبها من موقع واحد، تتحول إلى بيانات يمكن تجربتها في مواقع أخرى.
ولهذا لا يكفي أن تكون كلمة المرور "قوية" إذا كانت مستخدمة في عشرة حسابات. كلمة مرور طويلة جدًا لكنها معاد استخدامها تظل نقطة فشل مشتركة بين تلك الحسابات.
ضعف ضوابط المصادقة
أصبحت المصادقة تحديدًا محور رد APRA بعد الحادث. ففي 10 يونيو 2025 قالت الهيئة إن الهجمات كشفت عن نقاط ضعف مستمرة في ممارسات المصادقة داخل قطاع التقاعد.
وطلبت APRA من جميع أمناء صناديق التقاعد الخاضعين لإشرافها إجراء تقييم ذاتي لضوابط أمن المعلومات، ومراجعة ما إذا كانت المصادقة متعددة العوامل أو وسائل مكافئة مستخدمة في الأنشطة مرتفعة الخطورة والوصول ذي الامتيازات، والإبلاغ عن نقاط الضعف الجوهرية عند وجودها.
يمكن الاطلاع على المتطلبات بالتفصيل في خطاب APRA الرسمي بشأن Information Security Obligations and Critical Authentication Controls.
الأتمتة وتوزيع محاولات الدخول
محاولات Credential Stuffing يمكن تنفيذها على نطاق واسع وبسرعات يصعب تحقيقها يدويًا. كما يستطيع المهاجمون توزيع المحاولات على مصادر متعددة، ما يجعل الاعتماد على حظر عنوان IP واحد أو وضع حد بسيط للمحاولات دفاعًا غير كافٍ بمفرده.
ولهذا توصي OWASP في دليل منع Credential Stuffing بنهج متعدد الطبقات يجمع بين MFA، ورصد السلوك غير الطبيعي، واكتشاف كلمات المرور المسربة، وضوابط مكافحة الأتمتة، وإشعارات الأحداث الأمنية الحساسة.
ما الذي تغيّر بعد هجمات 2025؟
القيمة الأهم للحادثة اليوم ليست إعادة سرد خبر أبريل 2025، بل معرفة ما حدث بعده.
APRA رفعت الضغط التنظيمي على صناديق التقاعد
بعد الحملة، لم تكتف APRA بتوصية عامة للمستخدمين بتغيير كلمات المرور. طلبت من أمناء الصناديق مراجعة ضوابط أمن المعلومات نفسها، وربطت نقاط الضعف المحتملة بالتزامات CPS 234 Information Security.
وحددت الهيئة 31 أغسطس 2025 موعدًا لاستكمال الإجراءات المطلوبة في خطابها الموجه إلى أمناء الصناديق، بينما خضعت بعض الجهات المتأثرة مباشرة لمراجعات أكثر تخصيصًا لضوابط المصادقة.
سبعة صناديق متضررة خضعت لرفع مستوى ضوابط المصادقة
في فبراير 2026 قدمت APRA تحديثًا أكثر تحديدًا. ففي بيانها أمام لجنة الاقتصاد في مجلس الشيوخ قالت إن سبعة صناديق تقاعد تأثرت بهجمات Credential Stuffing في العام السابق كانت مطالبة برفع مستوى ضوابط المصادقة لديها بحلول أبريل 2026.
هذه نقطة مهمة لأن الاستجابة انتقلت من معالجة حادث منفرد إلى إصلاح ضوابط الوصول والمصادقة التي جعلت الاستيلاء على بعض الحسابات ممكنًا.
لكن مخاطر الاحتيال في قطاع التقاعد لم تختفِ
رفع مستوى المصادقة لا يعني أن جميع مخاطر الاحتيال والهندسة الاجتماعية حُلّت. ففي 2026 قالت ASIC، بعد مراجعة محتوى مكافحة الاحتيال لدى 47 صندوق تقاعد، إن هناك فجوات ملحوظة في وضوح المعلومات المقدمة للأعضاء وسهولة الوصول إلى قنوات الوقاية والإبلاغ والمساعدة.
وبالتالي فإن الدرس الأوسع من حادثة Credential Stuffing هو أن تأمين حساب مالي لا يعتمد على كلمة المرور وحدها؛ بل يحتاج إلى مصادقة قوية، ورصد للمعاملات والسلوك، وآليات استجابة واضحة عندما يظهر نشاط غير طبيعي.
كيف تحمي حساباتك من Credential Stuffing؟
1. لا تستخدم كلمة المرور نفسها في حسابين
هذه هي الخطوة الأساسية. إذا كان كل حساب يستخدم كلمة مرور مختلفة، فإن تسريب بيانات موقع واحد لا يمنح المهاجم مباشرة بيانات صالحة لخدمة أخرى.
وإذا كان من الصعب حفظ كلمات كثيرة، فإن Australian Cyber Security Centre توصي باستخدام مدير كلمات مرور لإنشاء بيانات دخول قوية وفريدة وتخزينها.
2. فعّل MFA أو Passkeys حيثما كانت متاحة
المصادقة متعددة العوامل تضيف متطلبًا آخر بجانب كلمة المرور. وبالتالي فإن امتلاك المهاجم كلمة المرور وحدها لا يكون كافيًا في كثير من السيناريوهات.
وتوضح الإرشادات الرسمية الأسترالية للمصادقة متعددة العوامل أن MFA تساعد تحديدًا في الحماية من Credential Stuffing. وعندما تدعم الخدمة Passkeys أو وسائل مصادقة مقاومة للتصيد، فهي تستحق الأفضلية على الاعتماد الكامل على كلمات المرور.
3. أمّن بريدك الإلكتروني أولًا
البريد الإلكتروني ليس مجرد حساب آخر؛ فهو غالبًا قناة إعادة تعيين كلمات المرور لبقية حساباتك. اختراق البريد قد يسمح للمهاجم بطلب إعادة تعيين بيانات الدخول أو إخفاء بعض إشعارات الأمان.
استخدم له كلمة مرور فريدة، وفعّل MFA، وراجع الأجهزة والجلسات المسجلة في الحساب بصورة دورية.
4. راقب التغييرات الحساسة وليس الرصيد فقط
توصي Moneysmart التابعة لـASIC بالتواصل فورًا مع صندوق التقاعد عند ملاحظة نشاط غير معتاد، مثل:
- معاملة لم تنفذها.
- تغيير غير معروف في بيانات الاتصال.
- تغيير الحساب البنكي المرتبط بالحساب.
- محاولات غير مصرح بها لتغيير كلمة المرور.
وتنطبق الفكرة نفسها على الحسابات البنكية والمالية الأخرى؛ فمراقبة علامات اختراق الحساب المالي تساعد على اكتشاف الاستيلاء على الحساب قبل أن يتحول إلى خسارة أكبر.
5. إذا أعدت استخدام كلمة مرور مسربة، غيّرها في كل مكان استخدمتها فيه
تغيير كلمة المرور في الخدمة التي اكتشفت الحادث فقط لا يحل المشكلة إذا كانت كلمة المرور نفسها مستخدمة في حسابات أخرى.
ابدأ بالحسابات الأكثر حساسية: البريد الإلكتروني، الحسابات المالية، الخدمات الحكومية، التخزين السحابي، ثم بقية المواقع التي استخدمت فيها بيانات الدخول نفسها.
6. لا تغيّر كلمات المرور دوريًا لمجرد مرور ثلاثة أشهر
من النصائح القديمة التي تستحق التصحيح فكرة تغيير كل كلمة مرور كل 30 أو 90 يومًا حتى عند عدم وجود أي مؤشر على تعرضها للخطر.
تنص إرشادات NIST SP 800-63B الحالية على عدم فرض تغيير دوري اعتباطي لكلمات المرور، مع وجوب تغييرها عند وجود دليل على تعرض بيانات المصادقة للاختراق.
الأولوية إذن هي أن تكون كلمة المرور فريدة وطويلة وغير معاد استخدامها، وأن تُغيّر فور الاشتباه بتسريبها، بدل تدوير كلمات متشابهة بصورة روتينية.
ماذا يجب على المؤسسات فعله لمنع Credential Stuffing؟
تحميل المستخدم وحده مسؤولية إعادة استخدام كلمة المرور ليس استراتيجية أمنية كافية، خصوصًا عندما تكون الخدمة مسؤولة عن أموال أو بيانات حساسة.
الدفاع الفعال يحتاج عدة طبقات، من أهمها:
- MFA أو مصادقة قوية مكافئة: خصوصًا للحسابات الحساسة والإجراءات مرتفعة الخطورة.
- إعادة التحقق عند العمليات الحساسة: مثل تغيير الحساب البنكي، بيانات الاتصال أو تنفيذ عملية سحب كبيرة.
- كشف كلمات المرور المعروفة بالتسريب: ومنع اختيارها عند إنشاء كلمة مرور جديدة.
- رصد أنماط تسجيل الدخول: بما يشمل تغير الجهاز والموقع والسلوك وعدد الحسابات المستهدفة.
- ضوابط لمكافحة الأتمتة: بدل الاعتماد على معدل طلبات ثابت أو حظر IP فقط.
- إشعارات أمنية مفيدة: عند نجاح تسجيل دخول غير معتاد أو تغيير إعداد حساس.
- إدارة الجلسات: حتى يستطيع المستخدم رؤية الجلسات النشطة وإنهاء الجلسات التي لا يتعرف عليها.
- مراقبة الاحتيال بعد تسجيل الدخول: لأن نجاح المصادقة لا يعني أن المستخدم الحقيقي هو من ينفذ العملية.
ولا ينبغي اعتبار CAPTCHA أو حظر عناوين IP دفاعًا كافيًا بمفردهما. توضح OWASP أن المهاجمين يستطيعون توزيع المحاولات على عدد كبير من العناوين والأجهزة، ولذلك يجب أن تكون الضوابط قائمة على Defense in Depth لا على إشارة واحدة.
هل كانت صناديق التقاعد نفسها مخترقة؟
ليس من الدقة القول إن جميع الجهات المستهدفة تعرضت لاختراق لأنظمة الخوادم أو قواعد البيانات.
في Credential Stuffing قد يدخل المهاجم عبر واجهة تسجيل الدخول العادية مستخدمًا بيانات صحيحة تخص عضوًا حقيقيًا. ولهذا يمكن أن يكون النظام التقني الأساسي سليمًا من ناحية عدم وجود ثغرة برمجية مستغلة، بينما تظل ضوابط المصادقة والحماية من الاستيلاء على الحساب غير كافية أمام بيانات اعتماد صحيحة ومسرّبة.
AustralianSuper أكد في تقريره السنوي أن أنظمته لم تُخترق وأن بيانات الاعتماد جاءت من مصادر أخرى. وفي المقابل، اعتبرت APRA الحادثة دليلًا على وجود نقاط ضعف أوسع في ضوابط المصادقة داخل القطاع.
هاتان المعلومتان لا تتعارضان: عدم اختراق قاعدة البيانات لا يعني أن نظام حماية الحسابات كان قادرًا على منع كل عملية استيلاء باستخدام بيانات دخول صحيحة.
ما الذي نتعلمه من حادثة صناديق التقاعد الأسترالية؟
أهم درس من هجمات 2025 هو أن سرقة كلمة المرور من شركة ما يمكن أن تتحول إلى حادثة مالية في شركة مختلفة تمامًا. Credential Stuffing يستغل العلاقة بين تسريبات البيانات القديمة وسلوك إعادة استخدام كلمات المرور، ثم يضيف إليها الأتمتة وضعف ضوابط المصادقة.
كما أظهرت الحادثة الفرق بين حماية البنية التحتية وحماية الحساب نفسه. يمكن أن تعمل الخوادم والتطبيقات بصورة طبيعية، ومع ذلك يستطيع المهاجم الاستيلاء على حساب إذا كانت لديه بيانات دخول صحيحة ولا توجد طبقة تحقق إضافية فعالة.
أما على مستوى القطاع الأسترالي، فلم تنته القصة في أبريل 2025. فقد تبعتها مراجعات تنظيمية، ومتطلبات من APRA لتقييم ضوابط أمن المعلومات والمصادقة، وإجراءات خاصة للجهات المتأثرة، ثم خطة لرفع مستوى ضوابط المصادقة لدى سبعة صناديق متضررة بحلول أبريل 2026.
بالنسبة للمستخدم، يبقى الإجراء الأكثر فاعلية بسيطًا: لا تعِد استخدام كلمات المرور، أمّن بريدك الإلكتروني، فعّل MFA أو Passkeys متى كانت متاحة، وراجع فورًا أي تغيير غير مألوف في حساب مالي. أما المؤسسات، فلا ينبغي أن تفترض أن كلمة المرور الصحيحة تعني بالضرورة أن صاحب الحساب الحقيقي هو من يقف خلف عملية تسجيل الدخول.