يتيح نظام التشغيل ويندوز 10 للمستخدمين تخصيص أسطح المكتب الخاصة بهم باستخدام الـThemes ، حيث يمكنهم إنشاء هذه السِمات والتبديل بينها، ومشاركتها مع الآخرين بسهولة، ولكن يمكن للقراصنة أيضًا استغلالها لسرقة بيانات تسجيل الدخول من خلال هجوم يُسمى Pass-the-Hash.
تتيح الثغرة ميزة إنشاء السِمات Themes في ويندوز 10 للهاكرز تعديلها لتخدع المستخدمين بمجرد تثبيتها لإدخال بيانات حساب مايكروسوفت – عنوان البريد الإلكتروني وكلمة المرور – عبر صفحات تسجيل دخول مزيفة، كما لا تُظهر هذه الطريقة بالضرورة أى علامات تحذيرية للشخص العادي، حيث إن بعض سِمات ويندوز 10 الشرعية تجعلك تقوم بتسجيل الدخول بعد التثبيت.
لا يؤدي هجوم Pass-the-Hash إلى سرقة كلمة المرور حرفيًا، بل يسرق كلمة المرور المشفرة ،Hash password وهي نسخة مختلطة ومبهمة من كلمة المرور، حيث تقوم الشركات بتشفيرها بهذه الطريقة لتأمينها عند تخزينها في خوادم بعيدة، ولكن يمكن للقراصنة فك تشفيرها باستخدام البرامج المتاحة بسهولة. وفي بعض الحالات يمكن فك تشفير كلمات المرور الضعيفة خلال بضع ثوانٍ فقط.
اكتشفَ هذه الثغرة الباحثُ الأمني جيمي باين الذي كشف النتائج علنًا في سلسلة تغريدات عبر تويتر، ونبه جيمي باين شركة مايكروسوفت إلى المخاطر الأمنية لهذه الثغرة، لكن الشركة ردت عليه قائلة:
“إنها لا تخطط لتغيير ميزة السِمة لأن تمرير بيانات تسجيل الدخول ميزة مقصودة”، ولم ترد الشركة بأي بيان رسمي حتى الآن.
ومع عدم اتخاذ أي إجراء رسمى حتى الآن، فإن الأمر متروك للمستخدمين للحفاظ على بياناتهم، ويجب التفكير في مخاطر الأمر قبل البدء بتثبيت سمات ويندوز 10 المخصصة.
يقول جيك مور خبير الأمن الإلكتروني في شركة ESET:
من الواضح أن هذه السِمات Themes لم يتم إنشاؤها مع وضع الأمان فى الاعتبار، وفي ظل خطر الكشف عن كلمات المرور والبيانات الحساسة الأخرى، أقترح على المستخدمين التفكير مرتين عند تثبيتها”.
كيف يمكنك حماية بياناتك من هذه الثغرة؟
تتمثل الخطوة الأولى لحماية بياناتك في تجنب استخدام السِمات المخصصة تمامًا، ولكن إذا واصلت استخدامها فتأكد من تنزيل السِمات الرسمية فقط من مصادر آمنة، مثل: متجر ويندوز.
سواء ستستمر في استخدام السمات المخصصة أم لا فى جهازك، يجب عليك تغيير كلمات مرور حساباتك بأخرى قوية وفريدة من خلال تطبيق لإدارة كلمات المرور.
كما يجب عليك تفعيل ميزة المصادقة الثنائية في حساب مايكروسوفت الخاص بك؛ لمنع الوصول إليه عن بُعد من قبل القراصنة إذا سرقوا بياناتك.
