بدأت القصة بطلب بسيط في صباح أحد أيام الثلاثاء.

كانت ليلى حسن، منسّقة مشاريع في شركة تسويق متوسطة الحجم، بحاجة إلى مشاركة ملخّص حملة إعلانية مع وكالة تصميم خارجية. كانت العملية المعتادة تمرّ عبر بوابة داخلية معقّدة تستلزم من الوكالة إنشاء حساب جديد. وضيقاً من هذا التأخير، اقترح زميلها طارق حلاً أسرع.

"غيّري إعدادات المشاركة على مجلد Google Drive إلى 'أي شخص لديه الرابط'،" قال وهو يميل نحو شاشتها. "بهذه الطريقة يمكنهم الوصول إليه فوراً. الجميع يفعل ذلك."

ترددت ليلى للحظة، ثم نقرت على القائمة المنسدلة واختارت الخيار. تمت مشاركة الملخص، وكان الوكيل سعيداً، وسارت بقية الصباح دون انقطاع. لم تدرك ليلى ولا طارق أن المجلد الذي أشار إليه لم يكن يحتوي على الملخص فحسب، بل كان مجلداً رئيسياً يضم ثلاث سنوات من عقود العملاء، والمقترحات المالية، ومعايير الرواتب الداخلية، وجدول بيانات يحتوي على معلومات شخصية للموظفين بما فيها أرقام الهوية الوطنية.

لمدة أحد عشر يوماً، ظل ذلك المجلد مفتوحاً أمام الإنترنت.

جاء الاكتشاف من مصدر غير متوقع. كانت ريم، محللة مبتدئة، تُجري بحثاً اعتيادياً على Google عن اسم الشركة، حين صادفت معاينةً مخزّنة لوثيقة بدت مألوفة جداً. كان عليها شعار الشركة، وأسماء عملاء تعرفهم، وكانت مفهرسةً في نتائج بحث Google العامة.

أحسّت ريم بالقلق الشديد. توجّهت فوراً إلى مكتب أمن تقنية المعلومات ووضعت حاسوبها المحمول أمام مسؤول الأمن، فيصل.

"وجدت هذا أثناء البحث على الإنترنت،" قالت بهدوء. "هل من المفترض أن يكون هذا متاحاً للعموم؟"

تحوّل تعبير فيصل من الارتباك إلى القلق في غضون ثوانٍ. استعرض سجلات التدقيق في Google Drive وفهم ما جرى. كان المجلد قد تم ضبطه على الوصول العام قبل أحد عشر يوماً. وخلال تلك الفترة، أظهرت سجلات الوصول أن 47 عنوان IP خارجياً فريداً قد فتح ملفات من المجلد — وبعضها تكرر أكثر من مرة.

سارع فريق الأمن إلى إلغاء أذونات المشاركة وبدأ إجراءات الاستجابة للحوادث. غير أن تقييم الأضرار كان مُقلِقاً. من بين الملفات المكشوفة كانت جدول بيانات يستخدمه قسم الموارد البشرية يحتوي على عناوين البريد الإلكتروني الشخصية وأرقام الهواتف لجميع الموظفين البالغ عددهم 200 موظف. وفي غضون 48 ساعة من نشر المجلد علناً، كان موظفان قد تلقّيا بالفعل رسائل إلكترونية مشبوهة لإعادة تعيين كلمات المرور لحساباتهم في Microsoft 365 — وهو ما يشير إلى أن شخصاً ما قد حصد تلك البيانات وبدأ بالفعل في محاولة الاستيلاء على الحسابات.

أحد هؤلاء الموظفين كان عمر، مدير المبيعات، الذي نقر على رابط إعادة التعيين قبل أن يدرك أن ثمة أمراً غير طبيعي. وقد تم الوصول إلى تطبيقات SaaS الخاصة به — بما فيها نظام إدارة علاقات العملاء — من عنوان IP في دولة أخرى في تمام الساعة 2:14 صباحاً.

كان الاختراق قد بدأ فعلاً.

في الاجتماع الطارئ الذي عُقد لاحقاً، شرح كبير موظفي أمن المعلومات للفريق ما جرى. لم يكن السبب الجذري هجوماً إلكترونياً متطوراً، ولا برامج فدية، ولا ثغرة يوم الصفر. كان مجرد نقرة على قائمة منسدلة دون إدراك عواقبها.

"الأمر لا يتعلق بتحديد المسؤولية،" قال كبير موظفي أمن المعلومات بحزم. "بل يتعلق بالوعي. كل واحد منّا يتعامل مع أدوات سحابية كل يوم. وكل إعداد نغيّره، وكل صلاحية نمنحها، لها تداعيات يجب أن نفهمها."

أحسّت ليلى بثقل اللحظة، لكنها أحسّت أيضاً بشيء آخر — امتنانٌ لأن ريم قد اكتشفت الأمر أصلاً، وعزمٌ على ألّا تنقر على إعداد مشاركة مرة أخرى دون أن تفهم تماماً ما الذي تفتحه ولمن.

أمضت الشركة الأسبوعين التاليين في إجبار جميع الموظفين على إعادة تعيين كلمات المرور عبر جميع منصات SaaS، وتفعيل المصادقة متعددة العوامل لكل حساب، ومراجعة كل مجلد مشترك على Drive يعود لخمس سنوات ماضية. وتبيّن أن ثلاثة مجلدات خاصة بموردين خارجيين كانت تعاني من إشكاليات مماثلة في الإعدادات. وقد كلّف العمل على المعالجة فريق تقنية المعلومات أكثر من 200 ساعة — وكل ذلك بسبب اختصار واحد بُنيت عليه نية حسنة.

إن قوة الأدوات السحابية تكمن تحديداً في أنها تجعل المشاركة سهلة وسلسة. لكن المشاركة السهلة لا تبعد عن الكشف العرضي سوى إعداد واحد — وحين تخرج البيانات للعلن، لا يمكنك التراجع عنها أو حذفها من ذاكرة الإنترنت أو استعادتها.