تنفيذي سابق في IBM يتهم الشركة بالتستر على اختراقات بيانات حكومية متعددة

في تطور قانوني مهم، خرج مسؤول تنفيذي سابق للأمن السيبراني في شركة IBM كـ "مُبلّغ عن المخالفات"، متهمًا عملاق التكنولوجيا بالتستر المنهجي على اختراقات بيانات متعددة نفذتها حكومات أجنبية على مدى العقد الماضي. ويليام بارلو، الذي شغل منصب نائب رئيس استخبارات التهديدات في IBM حتى أغسطس 2019، رفع دعوى قضائية في عام 2020، تم الكشف عنها هذا الأسبوع، يزعم فيها أن الشركة أخفت ما لا يقل عن ثلاث حوادث أمنية كبرى، بما في ذلك هجوم متطور من قبل متسللين صينيين مرتبطين بالدولة. تثير هذه الاتهامات تساؤلات جدية حول شفافية الشركات ونزاهة ممارسات الأمن السيبراني، خاصة لشركة تقدم خدمات أمنية حيوية للحكومة الفيدرالية الأمريكية. وفقًا لشكوى بارلو، تعرضت شبكة IBM الأساسية للاختراق بين عامي 2013 و2016 من قبل مجموعة APT 10، وهي مجموعة قرصنة صينية سيئة السمعة مرتبطة بالحكومة. وتفصل الدعوى أن تحالف الاستخبارات "العيون الخمس" – الذي يضم مسؤولين من أستراليا وكندا ونيوزيلندا والولايات المتحدة والمملكة المتحدة – حذر IBM من الاختراق في مارس 2017، مما أدى إلى تحقيق داخلي. وذكر هذا التحقيق أن مجموعة APT 10 اخترقت شبكة IBM أكثر من 56 ألف مرة، مما أثر على أربعة خوادم، وما يقرب من 400 حساب، وحوالي 200 نظام عبر 18 دولة ومنتجات IBM متعددة. والأهم من ذلك، أن التحقيق قد تعرقل بسبب فشل IBM المزعوم في الاحتفاظ بسجلات أمنية أساسية، وهي ممارسة جوهرية للكشف عن الهجمات السيبرانية والاستجابة لها. وزعم بارلو كذلك أن شبكة IBM الأساسية كانت "تتعرض للاختراق بشكل روتيني من قبل جهات فاعلة أجنبية وغيرها"، مع سرقة البيانات بشكل متكرر و"عدم إبلاغ" الوكالات الحكومية مطلقًا. وبصرف النظر عن حادثة APT 10 الرئيسية، تزعم الدعوى أن اثنتين من الشركات التابعة لـ IBM، وهما Trusteer (شركة ناشئة في مجال الأمن السيبراني استحوذت عليها IBM في عام 2013) وTruven (شركة ناشئة لبيانات الرعاية الصحية استحوذت عليها IBM في عام 2016)، قد تعرضتا للاختراق أيضًا في عام 2018 وعدة مرات بعد الاستحواذ، على التوالي. في كلتا الحالتين، يؤكد بارلو أن IBM فشلت في التحقيق بشكل صحيح والكشف عن هذه الحوادث الأمنية، مما يرسم صورة للتستر المنهجي بدلاً من الحوادث المعزولة. وتصف الشكوى شبكات IBM وAT&T الأساسية بأنها "عتيقة"، مما سمح للمتسللين "بالتجول في أي مكان تقريبًا دون اكتشاف". وردًا على هذه المزاعم، صرحت ميكي كارفر، المتحدثة باسم IBM، قائلة: "تم رفع هذه الشكوى قبل ست سنوات، ورفضت وزارة العدل الأمريكية التدخل. IBM واثقة من أن إجراءاتنا اتبعت نص القانون". ومع ذلك، فإن توقيت الكشف عن الدعوى القضائية له أهمية كبيرة، حيث يأتي وسط تدقيق متزايد وإقرار العديد من قوانين الإبلاغ عن خروقات البيانات التي تهدف إلى إجبار الشركات على الكشف عن مثل هذه الحوادث. ويعد التستر المزعوم أمرًا مثيرًا للقلق بشكل خاص نظرًا لدور IBM الكبير كمورد للأمن السيبراني للحكومة الفيدرالية الأمريكية، وهي علاقة تتطلب أعلى مستويات الثقة والشفافية. وأكد جيسون براون، المحامي الذي يمثل ويليام بارلو، على خطورة الاتهامات، مشيرًا إلى أنه "لا يمكنك بيع الأمن السيبراني للحكومة الفيدرالية بينما تزعم أن لديك هذه المشاكل الأمنية داخل شركتك الخاصة". وتتطلع شركته "إلى التقاضي بقوة في هذه المسألة". تؤكد هذه القضية الضغط المتزايد على الشركات لتكون شفافة بشأن الحوادث السيبرانية، ليس فقط لحماية بيانات العملاء ولكن أيضًا للحفاظ على الأمن القومي، خاصة عند التعامل مع التهديدات التي ترعاها الدول. ويمكن أن تشكل نتيجة هذه الدعوى سابقة للمساءلة الشركاتية في مجال الكشف عن الأمن السيبراني.