يتيح نظام التشغيل ويندوز 10 للمستخدمين تخصيص أسطح المكتب الخاصة بهم باستخدام الـThemes ، حيث يمكنهم إنشاء هذه السِمات والتبديل بينها، ومشاركتها مع الآخرين بسهولة، ولكن يمكن للقراصنة أيضًا استغلالها لسرقة بيانات تسجيل الدخول من خلال هجوم يُسمى Pass-the-Hash.
تتيح الثغرة ميزة إنشاء السِمات Themes فى ويندوز 10 للهاكرز تعديلها لتخدع المستخدمين بمجرد تثبيتها لإدخال بيانات حساب مايكروسوفت – عنوان البريد الإلكترونى وكلمة المرور – عبر صفحات تسجيل دخول مزيفة، كما لا تُظهر هذه الطريقة بالضرورة أى علامات تحذيرية للشخص العادى، حيث إن بعض سِمات ويندوز 10 الشرعية تجعلك تقوم بتسجيل الدخول بعد التثبيت.
لا يؤدى هجومPass-the-Hashإلى سرقة كلمة المرور حرفيًا، بل يسرق كلمة المرور المشفرة ،Hash passwordوهى نسخة مختلطة ومبهمة من كلمة المرور، حيث تقوم الشركات بتشفيرها بهذه الطريقة لتأمينها عند تخزينها فى خوادم بعيدة، ولكن يمكن للقراصنة فك تشفيرها باستخدام البرامج المتاحة بسهولة. وفى بعض الحالات يمكن فك تشفير كلمات المرور الضعيفة خلال بضع ثوانٍ فقط.
اكتشفَ هذه الثغرة الباحثُ الأمنى جيمى باين الذى كشف النتائج علنًا فى سلسلة تغريدات عبر تويتر، ونبه جيمى باين شركة مايكروسوفت إلى المخاطر الأمنية لهذه الثغرة، لكن الشركة ردت عليه قائلة: "إنها لا تخطط لتغيير ميزة السِمة لأن تمرير بيانات تسجيل الدخول ميزة مقصودة"، ولم ترد الشركة بأى بيان رسمى حتى الآن.
ومع عدم اتخاذ أى إجراء رسمى حتى الآن، فإن الأمر متروك للمستخدمين للحفاظ على بياناتهم، ويجب التفكير فى مخاطر الأمر قبل البدء بتثبيت سمات ويندوز 10 المخصصة.
يقول جيك مورخبير الأمن الإلكترونى فى شركةESET: من الواضح أن هذه السِمات Themes لم يتم إنشاؤها مع وضع الأمان فى الاعتبار، وفى ظل خطر الكشف عن كلمات المرور والبيانات الحساسة الأخرى، أقترح على المستخدمين التفكير مرتين عند تثبيتها”.
كيف يمكنك حماية بياناتك من هذه الثغرة؟
تتمثل الخطوة الأولى لحماية بياناتك فى تجنب استخدام السِمات المخصصة تمامًا، ولكن إذا واصلت استخدامها فتأكد من تنزيل السِمات الرسمية فقط من مصادر آمنة، مثل: متجر ويندوز.
سواء ستستمر فى استخدام السمات المخصصة أم لا فى جهازك، يجب عليك تغيير كلمات مرور حساباتك بأخرى قوية وفريدة من خلال تطبيق لإدارة كلمات المرور.
كما يجب عليك تفعيل ميزة المصادقة الثنائية فى حساب مايكروسوفت الخاص بك؛ لمنع الوصول إليه عن بُعد من قبل القراصنة إذا سرقوا بياناتك.