فقدان نطاق الشركة: الخطر الذي لا ينظر إليه أحد

تخيّل أنك تستيقظ يوم ثلاثاء وموقع شركتك لا يفتح. والبريد أيضًا لا يعمل. تدخل إلى لوحة جهة التسجيل وكلمة المرور لا تنفع. شخص ما اتصل بالدعم، وقال إنه أنت، فصدّقه الموظف. فقدان نطاق الشركة بهذه الطريقة ليس فيلمًا، بل قصة ظهرت مؤخرًا على Hacker News: مستخدم روى أن Namecheap نقلت التحكم بحسابه إلى طرف ثالث لم يجتز حتى تحققًا كاملًا.

التفصيل القاسي هو هذا. لا اختراق. لا كلمة مرور مسرّبة. لا برمجية خبيثة. فقط إنسان على الطرف الآخر من المحادثة ضغط على "موافقة".

ما الذي حدث، بلغة واضحة

كان لدى الشخص حساب قديم لدى جهة تسجيل نطاقات. تواصل طرف ثالث مع الدعم مدّعيًا أنه المالك. قدّم معلومات جزئية. طلب الدعم مستندات، فوصله شيء بدا معقولًا، فمنحه الوصول.

على الجهة الأخرى، بقي المالك الحقيقي بلا شيء. النطاق، وسجلات DNS، والبريد المرتبط بالنطاق، كل شيء. ثم بدأ الجزء الأسوأ: أن تثبت أنك أنت لشركة قررت بالفعل أن شخصًا آخر هو أنت.

المصادقة الثنائية لا تنقذك في هذا السيناريو. كلمة المرور القوية لا تنقذك. مدير كلمات المرور لا ينقذك. لأن الهجوم لم يمر من الباب الأمامي. مرّ من شبّاك خدمة العملاء.

أمنك الرقمي قويٌّ بقدر أكثر موظفي دعم مورّدك إرهاقًا.

لماذا هذه مشكلة صاحب العمل، لا مشكلة تقنية المعلومات

لأن النطاق ليس تفصيلًا تقنيًا. هو عنوان شركتك.

فكّر بما هو معلّق عليه:

• الموقع، بديهيًا.
• البريد المؤسسي (contato@, financeiro@, você@).
• استعادة كلمة المرور لكل خدمة SaaS تقريبًا تستخدمها. البنك، CRM، نظام الفوترة، Google Workspace، Meta Business.

هذا البند الأخير هو القاتل. من يتحكم ببريدك يتحكم بـ "نسيت كلمة المرور" لكل شيء. فقدان النطاق ليس فقدان موقع. هو فقدان المفتاح الرئيسي.

رأيتُ شركة بإيرادات جيدة تكتشف أن النطاق مسجّل باسم متدرّب غادر في 2019. وبريد التواصل الخاص بالنطاق كان حساب Hotmail شخصيًا له. لم ينم أحد جيدًا ذلك الأسبوع.

أنت لا تتحكم بدعمهم، لكنك تتحكم بثلاثة أشياء

لا يمكنك تدقيق تدريب فريق الدعم لدى كل مورّد. فتتغير اللعبة: بدل محاولة منع الخطأ، تقلّل حجم الضرر حين يقع.

1. افصل بريد الاستعادة عن النطاق.

إن كان البريد المسجّل لدى جهة التسجيل هو você@suaempresa.com.br، وفقدت الشركة النطاق، فقدت البريد الذي كنت ستستخدمه لاستعادة النطاق. عقدة مغلقة. يجب أن يكون بريد التواصل لدى جهة التسجيل عند مزوّد آخر، وبنطاق آخر. حساب Gmail مخصص لهذا الغرض وحده يحل المسألة.

2. اقفل النطاق.

كل جهة تسجيل جادّة توفر "registrar lock" أو قفل النقل. بعضها يوفر قفلًا لمدة 60 يومًا بعد أي تغيير. فعّله. نقرة واحدة تمنع خروج النطاق تلقائيًا إلى جهة تسجيل أخرى.

3. احتفظ بالدليل على أن النطاق لك.

فاتورة الشراء الأصلية، بريد تأكيد التسجيل، إيصال الدفع، السجل التجاري في البيانات. ملف PDF في مجلد. حين يأتي اليوم السيئ، لن تكون تبحث عن هذا في الثالثة فجرًا.

اختبار العشر دقائق الذي لا يفعله أحد تقريبًا

اجلس مع قهوة وأجب كتابةً:

• أين سُجّل نطاق شركتك؟ أي شركة، وأي حساب دخول.
• من يملك الوصول إلى تلك اللوحة اليوم؟ اسم واسم، لا "فريق التقنية".
• هل البريد المسجّل هناك ما زال موجودًا وهل يقرأه أحد؟
• لو اختفى ذلك الشخص غدًا، هل ستستطيع الدخول؟
• من يدفع التجديد؟ بطاقة من؟ وهل ما زالت تلك البطاقة صالحة؟

إن تعثرت في اثنين من هذه الأسئلة، فقد وجدت مشكلة حقيقية. وهي مشكلة رخيصة الحل اليوم وباهظة جدًا لاحقًا.

السؤال الأخير فخّ لطيف. رأيتُ نطاقًا ينتهي لأن بطاقة الشريك الذي غادر أُلغيت وبريد التنبيه كان يذهب إلى صندوق لا يفتحه أحد. لم يحتج الأمر إلى هجوم أصلًا. الشركة فعلتها بنفسها.

"لكن هذا نادر، لن أضيّع وقتي فيه"

نادر فعلًا. وهنا الخدعة.

الأشياء النادرة ذات الأثر الهائل هي تحديدًا ما لا يستعد له أحد، لأن ضآلة الاحتمال تبدو مبررًا للكسل. لكن التكلفة ليست متناسبة. خسارة يوم من الموقع أمر مزعج. خسارة النطاق ثلاثة أسابيع بينما تتجادل مع دعم في منطقة زمنية أخرى تعني خسارة إيرادات، وخسارة عملاء، وشرحًا للجميع بأن "لا، نحن لم نغلق".

وهناك أثر جانبي لا يذكره أحد: خلال تلك الأيام، من يملك نطاقك يمكنه إرسال بريد باسمك. إلى عملائك. يطلب الدفع إلى حساب آخر.

لا أقول لك أن تعيش في خوف. أقول إن نصف ساعة من التنظيم تشتري لك تأمينًا لن تستخدمه على الأرجح أبدًا. مثل النسخ الاحتياطي. مملّ حتى اليوم الذي يصبح فيه أفضل قرار في حياتك.

النمط الأكبر: من يملك حساباتك؟

النطاق هو الحالة الأكثر دراماتيكية، لكن المنطق نفسه ينطبق على بقية خدمات SaaS لديك.

اصنع قائمة بالحسابات التي، لو اختفت، لتوقفت العمليات. عادةً تكون ستة إلى عشرة: جهة تسجيل النطاق، مزوّد البريد، الاستضافة، بوابة الدفع، CRM، أداة الحملات البريدية، مدير الإعلانات، النظام الضريبي.

لكل واحدة، ثلاثة أعمدة: من هو المالك، ما بريد الدخول، ومن يستطيع الاستعادة إن اختفى المالك. جدول بسيط. يستغرق بعد ظهر واحد.

ما ستجده متوقّع ومزعج دائمًا: نصف الحسابات باسم شخص لم يعد يقرر شيئًا في الشركة، وثلاثة منها تستخدم البريد الشخصي نفسه من 2017. هذا الجدول وحده يساوي أكثر من كثير من استشارات الأمن.

بعد ذلك يأتي الجزء الجيد. حسابات حرجة مسجّلة باسم الشركة. بُرُد دخول على عناوين الشركة، مع عنوان خارجي للطوارئ. وصول بحسب الدور، لا بـ "كلمة مرور مشتركة في مجموعة واتساب الفريق". لا شيء من هذا مكلف. هو فقط مملّ بما يكفي ليبقى خارج الأولويات دائمًا.

إن قرأت حتى هنا وشعرت بذلك الانزعاج: "أظن أننا مكشوفون"، فأنت على الأرجح كذلك. هذا نوع الأمور التي أحب حلّها مع العميل قبل لمس أي سطر برمجي، لأنه لا فائدة من موقع جميل يعمل فوق أساس يمكن لأي موظف دعم شارد أن يسقطه.

تريد رأيًا ثانيًا عن تنظيم حساباتك الحرجة؟ كلّمني.

فقدتُ عدّ الشركات التي اكتشفت أن النطاق مسجّل باسم متدرّب غادر في 2019.

حدثت قصة على Hacker News: رجل فقد نطاقه لأن شخصًا اتصل بدعم جهة التسجيل، وقال إنه هو، فوافق الموظف. بلا اختراق. بلا كلمة مرور مسرّبة.

المصادقة الثنائية لا تنقذك هنا. لأن الهجوم لم يمر من الباب الأمامي، بل من شبّاك خدمة العملاء.

والنطاق ليس تفصيلًا تقنيًا. هو المفتاح الرئيسي: من يتحكم ببريدك يتحكم بزر "نسيت كلمة المرور" في البنك وفي CRM وفي Google Workspace، في كل شيء.

اختبار من 10 دقائق: هل تعرف أين سُجّل النطاق، ومن يملك الدخول إلى لوحة التحكم اليوم، وبطاقة من تدفع التجديد؟ إن تعثرت في اثنين منها، فقد وجدت مشكلة حقيقية.

حلّها اليوم رخيص. وباهظ جدًا لاحقًا.

إن شعرت بذلك الانزعاج: "أظن أننا مكشوفون"، كلّمني. هذا نوع الحديث الذي أفضّل أن يحدث قبل الحادثة.

#الأمن_الرقمي #إدارة_تقنية_المعلومات #الشركات_الصغيرة #تكنولوجيا #استمرارية_الأعمال