دانشگاه ساگا در ژاپن روز ۳۰ اکتبر ۲۰۲۶ اعلام کرد که پس از یک حملهٔ باج‌افزاری، اطلاعات شخصی حدود ۸۰٬۰۰۰ نفر از دانشجویان، کارکنان، دانشجویان و کارکنان سابق و افراد مرتبط ممکن است بیرون رفته باشد. فیلدهای درز کرده میتواند شامل نام، تاریخ تولد، نشانی، شمارهٔ تلفن، نشانی ایمیل و رمز عبور باشد. حمله به یک دستگاه ذخیره‌سازی شبکه‌ای رسید که واحد اداری از آن استفاده می‌کرد. دانشگاه ساعت ۸:۴۲ صبح ۲۴ سپتامبر متوجه شد و رایانه‌های اداری ساعت ۱۱:۰۳ روز ۲۷ سپتامبر دوباره به کار افتادند.
یک ماه پیش از آن، EDUCAUSE فهرست ده مسئلهٔ اول فناوری اطلاعات آموزش عالی برای ۲۰۲۷ را منتشر کرد (به گزارش Campus Technology در ۱ اکتبر ۲۰۲۶). مورد سوم این فهرست «ایجاد توازن میان مرزهای امنیت سایبری با استقلال و اعتماد» است.
اگر این دو سند را کنار هم بگذارید، یک شکاف دیده می‌شود. متن EDUCAUSE دربارهٔ فرهنگ، ارتباط و اعتماد است. اطلاعیهٔ ساگا با هشداری دربارهٔ ایمیل، پیامک و تماس تلفنی جعلی به نام دانشگاه تمام می‌شود. کسانی که به این تماس‌ها جواب می‌دهند، و کسانی که تماس‌گیرندهٔ جعلی خود را جای آنها جا می‌زند، معمولاً در یک تیم نشسته‌اند: میز خدمت (سرویس‌دسک). این مقاله مورد سوم را به تغییرهایی تبدیل میکند که میز خدمت یک دانشگاه در کشورهای حوزهٔ خلیج فارس میتواند پیش از شروع ترم بعد انجام دهد، با تکیه بر دو حادثهٔ سال ۲۰۲۶ و یک هشدار دولتی.
EDUCAUSE دربارهٔ مورد سوم چه نوشته است
خلاصهٔ این مورد در صفحهٔ ده مسئلهٔ اول ۲۰۲۷ در EDUCAUSE می‌گوید: «تیم‌های امنیت می‌توانند از فرهنگی سازمانی حمایت کنند که هم برای مرزهای امنیتی روشن و شفاف ارزش قائل است و هم برای مسئولیت و قضاوت فردی.» متن اصلی با جمله‌ای شروع می‌شود که حال‌وهوای کل بخش را نشان می‌دهد: «همیشه تعجب‌آور است وقتی امنیت سایبری مسئلهٔ شمارهٔ یک فهرست EDUCAUSE نیست.» سپس از «رویکردهای چابک‌تر، مشارکتی‌تر و غیرمتمرکزتر» دفاع میکند و افراد هر مؤسسه را بزرگ‌ترین نقطهٔ آسیب‌پذیری آن می‌نامد.
مارک مک‌کورمک، معاون موقت پژوهش، بینش و تحلیل در EDUCAUSE، در گفت‌وگو با EdTech Magazine صریح‌تر گفت: «می‌دانیم که کاربر فردی یکی از بزرگ‌ترین نقاط آسیب‌پذیری یک مؤسسه است.» به گفتهٔ او، مؤسسه‌ها باید «فرد را توانمند کنند، آموزش دهند و تجهیز کنند تا در لحظه‌ای که مدیر امنیت اطلاعات بالای سرش نیست، تصمیم‌گیرنده‌ای هوشیار و مطمئن باشد.»
آن لحظه به‌ندرت نزدیک مدیر امنیت اتفاق می‌افتد. وقتی رخ می‌دهد که دانشجویی نیمه‌شب پیامکی دربارهٔ «حساب مسدودشده» می‌گیرد، یا کارشناس میز خدمت تماسی از کسی دریافت میکند که صدایش درست مثل استادی مضطرب است که یک ساعت پیش از امتحان پشت در سیستم مانده.
دو حادثهٔ ۲۰۲۶، دو در متفاوت
در ساگا، مهاجمان به یک محل ذخیرهٔ فایل رسیدند. دانشگاه ناتینگهام از راه دیگری دادههای سامانهٔ پروندهٔ دانشجویی‌اش را از دست داد. این دانشگاه می‌گوید روز ۹ ژوئن ۲۰۲۶ فعالیت غیرمجاز را در پلتفرم Campus Solutions پیدا کرد و مهاجم «از یک آسیب‌پذیری در Oracle WebLogic سوءاستفاده کرد» که اجرای کد از راه دور را ممکن می‌کرد. دستههایی که دانشگاه احتمال دسترسی به آنها را اعلام کرده شامل اطلاعات تماس، شمارهٔ دانشجویی و پرسنلی، سوابق پرداخت شهریه و اطلاعات ویزا است.
هیچ‌کدام از این دو نشت از میز خدمت شروع نشد، اما هر دو به آن رسیدند. ناتینگهام از دانشجویان خواست رمز هر حسابی را که با سامانه‌های دانشگاه رمز مشترک دارد عوض کنند، آنها را به مرکز پاسخ‌گویی دانشجویی ارجاع داد و یک خط تلفن پشتیبانی ویژه راه انداخت. ساگا از اعضای دانشگاه خواست لینک‌ها و پیوست‌های پیام‌های غیرمنتظره را باز نکنند. هر یک از این دستورها تیکت، تماس و مراجعهٔ حضوری می‌سازد. هر کدام هم یک جملهٔ شروع باورپذیر به دست مجرم می‌دهد: «سلام، از واحد فناوری اطلاعات تماس می‌گیرم، دربارهٔ حادثهٔ اطلاعاتی.»
میز خدمت هدفی است که نامش برده شده
هشدار مشترک CISA، FBI و نهادهای همکار دربارهٔ گروه Scattered Spider که آخرین بار در ۲۹ ژوئیهٔ ۲۰۲۵ به‌روز شده، مهاجمانی را توصیف میکند که «با تماس تلفنی یا پیامک خود را کارکنان فناوری اطلاعات یا میز خدمت شرکت جا می‌زدند تا از کارمندان اطلاعات ورود بگیرند». به‌روزرسانی ۲۰۲۵ حرکت معکوس را هم اضافه میکند: مهاجمانی که خود را کارمند جا میزنند تا «کارکنان فناوری اطلاعات یا میز خدمت را قانع کنند اطلاعات حساس بدهند، رمز کارمند را بازنشانی کنند و احراز هویت چندمرحلهای او را به دستگاهی که در اختیار مهاجم است منتقل کنند». همین هشدار دامنه‌های مشابه‌سازی‌شده‌ای مثل targetsname-helpdesk[.]com و targetsname-servicedesk[.]com را فهرست کرده است.
دانشگاه‌ها اینجا یک ضعف ساختاری دارند. شمارهٔ دانشجویی روی کارت چاپ می‌شود، در برنامهٔ کلاسی ارسال می‌شود و همان‌طور که فهرست ناتینگهام نشان می‌دهد، در همان پرونده‌هایی است که نشت می‌کنند. اگر دانستن شمارهٔ دانشجویی برای بازنشانی رمز کافی باشد، خود نشت کلید ورود می‌شود.
هفت تغییر برای میز خدمت دانشگاه در خلیج فارس
هیچ‌کدام بودجهٔ تازه نمی‌خواهد. بیشترشان یک روال مکتوب و چند فیلد در تیکت است.
۱. بنویسید کارشناس پیش از هر بازنشانی چطور هویت تماسگیرنده را تأیید میکند
روش‌هایی را که میز خدمت می‌پذیرد انتخاب و رتبه‌بندی کنید. تماس برگشتی به شماره‌ای که از قبل در پروندهٔ دانشجویی یا منابع انسانی ثبت شده، از هر چیزی که تماسگیرنده می‌گوید معتبرتر است. کارت شناسایی عکسدار در باجهٔ خدمت از هر دو بهتر است. برای کارکنانی که دسترسی مدیریتی دارند، تأیید نفر دوم را الزامی کنید. سپس روش تأیید را همراه با نام کارشناس در هر تیکت بازنشانی ثبت کنید. وقتی مهاجمی بالاخره رد شود، همین خط در تاریخچهٔ تیکت اولین چیزی است که تحقیقات دنبالش می‌گردد.
۲. هرگز با یک تماس تلفنی احراز هویت چندمرحلهای را جابهجا نکنید
انتقال روش احراز هویت چندمرحلهای به دستگاه جدید دقیقاً همان درخواستی است که هشدار CISA توصیف میکند. آن را نوع تیکت جداگانه‌ای کنید که کندتر از بازنشانی رمز پیش می‌رود: به شمارهٔ قبلی زنگ بزنید، به دستگاه قبلی و ایمیل شخصی ثبتشده اطلاع دهید و برای حسابهای دارای دسترسی ویژه زمان انتظار بگذارید. همین هشدار احراز هویت چندمرحلهای مقاوم در برابر فیشینگ را توصیه میکند و موفقیت یا توقف اجرای آن در میز خدمت رقم می‌خورد.
۳. پاسخ‌های هفتهٔ نشت را از همین حالا به عربی و انگلیسی آماده کنید
وقتی اطلاعیه‌ای مثل اطلاعیهٔ ساگا منتشر می‌شود، چند سؤال ثابت بارها و بارها می‌رسد. آیا اطلاعات من هم بوده؟ باید رمزم را عوض کنم؟ این ایمیل واقعاً از طرف شماست؟ با چه کسی تماس بگیرم؟ سوابق شهریه‌ام چه می‌شود؟ این پاسخ‌ها را از قبل به‌صورت پاسخ آماده به هر دو زبان بنویسید، آنها را به یک صفحهٔ وضعیت عمومی پیوند دهید و یک دستهٔ تیکت برای پرسشهای مربوط به حادثه بسازید تا بتوانید آنها را بشمارید. کارشناسی که یک پاسخ را تمام روز از صفر تایپ میکند خطا میکند و بعضی از این خطاها امنیتی خواهند بود.
۴. به همه بگویید میز خدمت هرگز چه چیزی نمی‌پرسد
ساگا بعد از حادثه دربارهٔ پیام‌های جعلی هشدار داد. شما پیش از حادثه این کار را بکنید. یک جملهٔ کوتاه را در پورتال، در امضای ایمیل و در بستهٔ خوش‌آمدگویی دانشجویان بگذارید: میز خدمت هرگز رمز عبور یا کد تأیید شما را از راه تلفن، پیامک، واتس‌اپ یا ایمیل نمی‌خواهد. تنها نشانی و شمارهٔ تلفن واقعی میز خدمت را کنارش منتشر کنید. این همان نیمهٔ «مرزهای امنیتی روشن و شفاف» در مورد سوم است، به زبان عمل، و به دانشجو چیزی مشخص می‌دهد تا وقتی پیامی مشکوک به نظر می‌رسد آن را بسنجد.
۵. بازنشانی اجباری رمزها را پیش از نیاز برنامه‌ریزی کنید
در فهرست فیلدهای افشاشدهٔ ساگا رمز عبور هم هست. اگر همین اتفاق در هفتهٔ اول ترم برای شما بیفتد، می‌توانید همهٔ حساب‌ها را بازنشانی کنید بی‌آنکه میز خدمت زیر بار برود؟ بازنشانی خودخدمت با عامل دوم ثبتشده باید بیشتر بار را بکشد. آن را بر اساس دانشکده مرحله‌بندی کنید، از مهلت‌های ثبت‌نام دور نگه دارید و کارشناسان را برای استثناها نگه دارید: دانشجویانی که خارج از کشورند و شمارهٔ قبلی را ندارند، کارکنان تازه‌ای که هرگز عامل دوم ثبت نکرده‌اند و حسابهای مشترک آزمایشگاه.
۶. حساب کسانی را که رفته‌اند ببندید
دوباره به عدد ساگا نگاه کنید. این عدد علاوه بر افراد فعلی، دانشجویان و کارکنان سابق را هم در بر می‌گیرد. حساب‌ها و فایل‌های کسانی که سال‌ها پیش رفته‌اند هنوز یک ریسک است. تاریخ فارغ‌التحصیلی و پایان قرارداد باید خودکار تیکت خروج باز کند، با یک چک‌لیست ثابت: غیرفعال کردن ورود، نگه‌داشتن یا حذف محتوای صندوق ایمیل طبق سیاست نگه‌داری، حذف عضویت در گروه‌ها و دسترسی به پوشه‌های مشترک. پوشه‌های اشتراکی قدیمی واحدها به یک مسئول مشخص و تاریخ بازبینی نیاز دارند، چون حادثهٔ ساگا از محل ذخیرهٔ فایلی شروع شد که یک واحد اداری از آن استفاده می‌کرد.
۷. گزارش دادن فیشینگ را سریع‌تر از پاک کردنش کنید
نیمهٔ «استقلال» در مورد سوم یعنی اعتماد به افراد برای اینکه خودشان تصمیم بگیرند. این اعتماد فقط وقتی جواب می‌دهد که گزارش دادن آسان باشد و کسی به خاطر پرسیدن احساس حماقت نکند. دکمه یا نشانی «گزارش پیام مشکوک» باید تیکت بسازد و هر گزارش در چارچوب SLA شما پاسخی از یک انسان بگیرد، حتی اگر دو خط باشد. کسی که تشکر می‌شنود دوباره گزارش می‌دهد. کسی که جوابی نمی‌گیرد دیگر گزارش نمی‌دهد.
جایی که اصطکاک و امنیت به هم می‌رسند
مورد دهم همین فهرست، «کاهش اصطکاک برای تجربهٔ فناوری روان‌تر»، شاید در جهت مخالف به نظر برسد. مثال مک‌کورمک در گفت‌وگو با EdTech دانشجویی بود که باید جداگانه وارد چند سامانه شود و راه‌حل آن «یک نقطهٔ دسترسی واحد» بود. این یک دستاورد امنیتی هم هست: یک ورود قوی با احراز هویت چندمرحلهای را راحت‌تر از پنج ورود ضعیف می‌شود محافظت و توضیح داد. این موازنه را در مقالهٔ پنج ورود در برابر یک SSO بررسی کرده‌ایم. بخش فیشینگ، از جمله اینکه چرا کدهای پیامکی و اپلیکیشنی جلوی کیت‌های مرد میانی را نمی‌گیرند، در یادداشت ما دربارهٔ گزارش دفاع دیجیتال ۲۰۲۶ مایکروسافت آمده است. برای موارد مربوط به هوش مصنوعی در همین فهرست EDUCAUSE، چک‌لیست حکمرانی هوش مصنوعی دانشگاه را ببینید.
تمرینی یک‌ساعته برای هفتهٔ آینده
یک اتاق با دو کارشناس، یک نفر از امنیت اطلاعات و یک نفر از امور دانشجویی رزرو کنید. اطلاعیهٔ ساگا را بلند بخوانید و فرض کنید دربارهٔ دانشگاه خودتان است. سپس سه تماس را مرور کنید. دانشجویی می‌خواهد بداند آیا اطلاعاتش نشت کرده است. تماس‌گیرنده‌ای که می‌گوید رئیس دانشکده است می‌خواهد همین امروز احراز هویت چندمرحله‌ای‌اش به گوشی جدید منتقل شود. یکی از والدین پیامکی با لینک فرم «غرامت نشت اطلاعات» دریافت کرده است. هر جایی را که کارشناس مجبور شد بداهه عمل کند یادداشت کنید. آن فهرست کارهای شما برای تعطیلات بین ترم است و ابزاری که میز خدمت شما را اداره میکند باید بتواند پاسخ‌ها را نگه دارد: ثبت روش تأیید هویت، پاسخ‌های آماده و دستهٔ تیکت حادثه.
پرسشهای متداول
مورد سوم فهرست ده مسئلهٔ اول EDUCAUSE برای ۲۰۲۷ چیست؟
«ایجاد توازن میان مرزهای امنیت سایبری با استقلال و اعتماد.» EDUCAUSE آن را فرهنگی توصیف میکند که هم برای مرزهای امنیتی روشن و هم برای مسئولیت فردی ارزش قائل است و با رویکردهای مشارکتی‌تر و غیرمتمرکزتر پشتیبانی می‌شود.
چرا میز خدمت در امنیت سایبری دانشگاه اهمیت دارد؟
چون میتواند رمز را بازنشانی کند و احراز هویت چندمرحلهای را جابهجا کند و همین آن را به هدف تبدیل میکند. هشدار CISA دربارهٔ Scattered Spider مهاجمانی را توصیف میکند که خود را کارمند جا میزنند تا کارکنان میز خدمت رمز را بازنشانی کنند و احراز هویت چندمرحلهای را به دستگاه مهاجم منتقل کنند.
آیا شمارهٔ دانشجویی برای تأیید هویت تماسگیرنده کافی است؟
نه. شمارهٔ دانشجویی و پرسنلی جزو دستههایی است که دانشگاه ناتینگهام در حادثهٔ ۲۰۲۶ خود احتمال دسترسی به آنها را اعلام کرد. از تماس برگشتی به شمارهٔ ثبتشده، کارت شناسایی عکسدار در باجه یا تأیید نفر دوم برای حسابهای دارای دسترسی ویژه استفاده کنید.
نشت اطلاعات دانشگاه ساگا شامل چه دادههایی بود؟
طبق اطلاعیهٔ ۳۰ اکتبر ۲۰۲۶ دانشگاه، نام، تاریخ تولد، جنسیت، نشانی، شمارهٔ تلفن، نشانی ایمیل و رمز عبور حدود ۸۰٬۰۰۰ نفر از دانشجویان، کارکنان، دانشجویان و کارکنان سابق و افراد مرتبط ممکن است نشت کرده باشد. دادههای بیماران هنوز در دست بررسی بود.
موج تیکتها پس از اطلاعیهٔ نشت را چطور مدیریت کنیم؟
یک دستهٔ تیکت برای پرسشهای حادثه باز کنید، برای رایجترین سؤالها پاسخ آماده به عربی و انگلیسی بنویسید، آنها را به یک صفحهٔ وضعیت پیوند دهید و بازنشانی گروهی رمزها را به سمت خودخدمت ببرید تا کارشناسان فقط به استثناها رسیدگی کنند.
منابع: اطلاعیهٔ دانشگاه ساگا، ۳۰ اکتبر ۲۰۲۶؛ ده مسئلهٔ اول EDUCAUSE برای ۲۰۲۷؛ Campus Technology، ۱ اکتبر ۲۰۲۶؛ EdTech Magazine، ۸ اکتبر ۲۰۲۶؛ صفحهٔ حادثهٔ دانشگاه ناتینگهام، به‌روزشده در ۲۰ سپتامبر ۲۰۲۶؛ خبر دانشجویی دانشگاه ناتینگهام، ۱۰ ژوئن ۲۰۲۶؛ هشدار CISA با شناسهٔ AA23-320A، بازبینی ۲۹ ژوئیهٔ ۲۰۲۵.
