اس مضمون میں
2 ستمبر 2026 کو Palo Alto Networks کی Unit 42 نے ایک کاروباری نیٹ ورک میں دراندازی کی تحقیقات کی تفصیلات شائع کیں۔ رپورٹ کا مرکزی عدد یہ تھا: حملہ آور نے عوامی طور پر قابل رسائی ایک ویب سروس سے آغاز کیا اور دس گھنٹے سے کم میں پورے ماحول پر root سطح کی رسائی حاصل کر لی، جبکہ انسانی ٹیم کو یہی کام کرنے میں تقریباً دو ہفتے لگتے ہیں۔
زیادہ اہم بات یہ ہے کہ اس میں کیا شامل نہیں تھا۔ کوئی زیرو ڈے نہیں۔ کوئی نایاب طریقہ نہیں۔ اس دراندازی میں MITRE ATT&CK فریم ورک میں پہلے سے درج 50 سے زیادہ تکنیکیں استعمال ہوئیں، یعنی دستاویزی اور شائع شدہ تکنیکیں جنہیں دفاع کرنے والے جانتے ہیں۔ جو بدلا وہ طریقہ نہیں بلکہ رفتار تھی۔ ہر مرحلہ ہاتھ سے چلانے کے بجائے، آپریٹر نے AI ایجنٹس کو ہدایت دی جو ایک ہی مسلسل لوپ میں نگرانی کرتے، جائزہ لیتے، کارروائی کرتے اور دوبارہ منصوبہ بندی کرتے رہے، نہ کبھی رکے اور نہ کبھی سوئے۔
ان دس گھنٹوں میں کیا ہوا
رپورٹ کے مطابق واقعات کی ترتیب:
- داخلہ۔ عوامی طور پر قابل رسائی ایک ویب سروس میں نقب لگائی گئی، پھر اندرونی نیٹ ورک تک سرنگ بنائی گئی۔
- جاسوسی۔ ایک خودکار ایجنٹ نے کسی انسانی مداخلت کے بغیر اندرونی مائیکرو سروسز کا نقشہ تیار کیا۔
- سیکرٹس کی چوری۔ ذیلی ایجنٹس نے براہ راست کوڈ میں لکھے گئے ایکسیس ٹوکنز اور سروس پاس ورڈز کی تلاش میں کوڈ ریپوزیٹریز کھنگالیں۔
- اختیارات میں اضافہ۔ ان ٹوکنز نے سیکرٹس مینجمنٹ سسٹم کھول دیا، جس سے ماسٹر انتظامی اسناد ملیں جو پورے ماحول پر root رسائی دیتی تھیں۔
- پائپ لائنز۔ بلڈ اور ڈیپلائے پائپ لائنز کو حسب ضرورت ورک فلوز کے ذریعے ہائی جیک کیا گیا تاکہ کلاؤڈ ایکسیس کلیدیں باہر نکالی جا سکیں۔
- الٹ پھیر۔ ان کلیدوں کو متاثرہ ادارے کے اپنے AI اینڈ پوائنٹس کو حملہ آور کے لیے دراندازی کے بعد کے انفراسٹرکچر میں بدلنے کے لیے استعمال کیا گیا۔
اس آخری قدم کو دوبارہ پڑھیے۔ کمپنی کی اپنی AI سبسکرپشن اندر گھسنے والے کے ہاتھ میں ایک آلہ بن گئی، جو کمپنی کے ہی اکاؤنٹ پر اور کمپنی کے ہی بل پر چل رہی تھی۔ یہ ایک نیا رجحان ہے جسے اپنے خطرات کے رجسٹر میں شامل کرنا چاہیے: کسی AI ماڈل کی ہر API کلید بیک وقت ایک آپریشنل اثاثہ بھی ہے اور اخراجات کی ایک مد بھی۔
آپ کے لیے اہم عدد دس گھنٹے نہیں ہے
دس گھنٹے ایک چونکا دینے والا عدد ہے، لیکن یہ صرف ایک واقعے سے آیا ہے۔ جو عدد واقعی آپ کی منصوبہ بندی بدلنا چاہیے وہ CrowdStrike 2026 Global Threat Report میں ہے، جو بریک آؤٹ ٹائم کی پیمائش کرتی ہے: حملہ آور کی پہلی رسائی اور اس لمحے کے درمیان کا وقفہ جب وہ نیٹ ورک کے اندر دوسرے سسٹمز کی طرف بڑھنا شروع کرتا ہے۔
- eCrime کا اوسط بریک آؤٹ ٹائم کم ہو کر 29 منٹ رہ گیا ہے، یعنی سال بہ سال رفتار میں 65% اضافہ۔
- اب تک کا تیز ترین ریکارڈ شدہ واقعہ: 27 سیکنڈ۔
- AI استعمال کرنے والے حملہ آوروں سے منسوب حملوں میں 89% اضافہ۔
- 2025 میں 82% نشاندہیاں میلویئر کے بغیر تھیں، یعنی حملہ آور وائرس داخل کرنے کے بجائے درست اسناد کے ساتھ لاگ اِن کرتا ہے۔
- ریاست سے منسلک عناصر کی جانب سے کلاؤڈ کو نشانہ بنانے والی دراندازیوں میں 266% اضافہ۔
عملی طور پر 29 منٹ کا مطلب: ایسا ردعمل منصوبہ جو یہ فرض کرتا ہے کہ کوئی صبح الرٹ دیکھے گا اور ٹیم دوپہر کے کھانے کے بعد اکٹھی ہوگی، ایک ختم ہو چکے دور کا منصوبہ ہے۔ اور 82% کا عدد اس سے بھی سخت بات کہتا ہے۔ آپ کا اینٹی وائرس حملے کو نہیں دیکھ پاتا کیونکہ حملے میں اس کے دیکھنے کے لیے کچھ ہوتا ہی نہیں۔ جدید دراندازی کسی نقصان دہ فائل کا آنا نہیں، بلکہ ایک جائز اکاؤنٹ کا غلط استعمال ہے۔
یہ کامیاب کیوں ہوا: کوڈ میں لکھے سیکرٹس
ایجنٹس نے نہ کوئی انکرپشن توڑی اور نہ کوئی کمزوری ایجاد کی۔ انہیں پاس ورڈز وہاں لکھے ملے جہاں پاس ورڈز کبھی نہیں ہونے چاہئیں، یعنی پروجیکٹ کی فائلوں کے اندر۔ ایک درست ٹوکن نے سیکرٹس مینیجر کھولا، اور سیکرٹس مینیجر نے سب کچھ کھول دیا۔
یہ مسئلہ صرف بڑے اداروں تک محدود نہیں۔ اس فہرست کو اپنے پروجیکٹس پر آزمائیں:
- پیمنٹ گیٹ وے یا میسجنگ سروس کی کلیدیں جو کوڈ کے ساتھ محفوظ کی گئی کنفیگریشن فائل میں پڑی ہیں۔
- ایک پرانی ڈیپلائمنٹ اسکرپٹ میں ڈیٹا بیس پاس ورڈ جسے کوئی نہیں کھولتا۔
- ایک سال پہلے جا چکے کسی ملازم یا بیرونی ڈیولپر کے ایکسیس ٹوکنز جو اب بھی درست ہیں۔
- ایک ریپوزیٹری جو نجی تھی اور منتقلی یا اکاؤنٹ کی تبدیلی کے بعد عوامی ہو گئی۔
- کسی کے لیپ ٹاپ پر کنفیگریشن فائل کی بیک اپ کاپی۔
یہاں ایجنٹ اور انسانی حملہ آور میں فرق ذہانت کا نہیں بلکہ صبر اور کام کی رفتار کا ہے۔ ایجنٹ پوری ریپوزیٹری پڑھتا ہے، ہر برانچ اور تاریخ کا ہر پرانا ورژن، کوئی فائل نہیں چھوڑتا اور منٹوں میں کام ختم کر لیتا ہے۔ کوئی بھی سیکرٹ جو آپ نے ایک بار محفوظ کیا اور بعد میں حذف کر دیا، وہ ریپوزیٹری کی تاریخ میں اب بھی زندہ ہے، اور وہی تاریخ ٹھیک وہ جگہ ہے جہاں وہ تلاش کرتا ہے۔
اس ہفتے کیا کریں
پانچ قدم۔ پہلے کے لیے نہ بجٹ چاہیے اور نہ کوئی بیرونی وینڈر:
- اپنی ریپوزیٹریز کو سیکرٹس کے لیے اسکین کریں۔ سیکرٹ اسکیننگ کے ٹولز دستیاب ہیں اور بڑے کوڈ پلیٹ فارمز میں پہلے سے موجود ہیں۔ انہیں صرف موجودہ ورژن پر نہیں، پوری تاریخ پر چلائیں۔
- کلیدوں کی تبدیلی کو ہنگامی اقدام نہیں، معمول بنائیں۔ جو کلید دو سال سے نہیں بدلی وہ ایک لیک شدہ کلید ہے جس کا آپ کو ابھی پتا نہیں چلا۔ اور لیک کے بعد جب تبدیل کریں تو اسے ہر اس جگہ تبدیل کریں جہاں وہ استعمال ہوتی تھی، صرف ایک جگہ نہیں۔
- منسوخی کی ایک واحد پلے بک تیار کریں۔ یہ Unit 42 کی براہ راست سفارش ہے: ایسی ہم آہنگ روک تھام کر سکنا جو اسناد، OAuth سیشنز، CI/CD پائپ لائنز اور کلاؤڈ اکاؤنٹس کو ایک ساتھ منسوخ کرے۔ صرف آدھے کو منسوخ کریں گے تو حملہ آور کو باقی آدھے سے دوبارہ داخل ہونے کا وقت دے دیں گے۔
- AI کو بنیادی انفراسٹرکچر کی طرح منظم کریں۔ زیر استعمال ہر ماڈل اور ہر کلید کی فہرست رکھیں، ریٹ کی حدیں مقرر کریں، کم سے کم اختیارات کا اصول لاگو کریں اور تشخیصی لاگنگ آن کریں۔ رپورٹ واضح طور پر اس کی سفارش کرتی ہے، اور یہی چیز اوپر والے واقعے کو خاموش تباہی سے ابتدائی انتباہ میں بدلتی ہے۔
- کئی افراد کے ذریعے کوڈ ریویو اور برانچ کے تحفظ کو لازمی بنائیں۔ خاص طور پر انفراسٹرکچر ایز کوڈ ریپوزیٹریز پر، کیونکہ یہی وہ دروازہ ہے جس سے ایک سطر کی تبدیلی بیک ڈور نصب کر دیتی ہے۔ ساتھ ہی دستخطوں کے بجائے رویے پر نظر رکھیں: API درخواستوں کے اچانک ریلے اور حالت کی تیز تبدیلیاں خودکار ایجنٹ کے انگلیوں کے نشان ہیں۔
سعودی تناظر میں یہ اقدامات اختیاری اچھی روایت نہیں ہیں۔ قومی سائبر سکیورٹی اتھارٹی (NCA) کے بنیادی سائبر سکیورٹی کنٹرولز میں شناخت اور رسائی کے انتظام اور تبدیلی و ڈیولپمنٹ کی سکیورٹی کے لیے واضح شعبے شامل ہیں، اور ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) کے تحت ذاتی ڈیٹا کے تحفظ کی ذمہ داری ادارے پر ہے۔ سورس کوڈ میں لکھی ایک کلید سے شروع ہونے والی دراندازی اس ذمہ داری کو ذرا بھی کم نہیں کرتی۔
Origami کا نقطۂ نظر
ہم اس واقعے کو ایک تصور کے خاتمے کے طور پر دیکھتے ہیں: یہ کہ سکیورٹی خریدے جانے والے ٹولز کا مجموعہ ہے۔ یہاں حملہ آور کا کبھی کسی فائر وال سے سامنا نہیں ہوا اور اس نے کبھی کسی اینٹی وائرس کو چکمہ نہیں دیا، کیونکہ دونوں میں سے کوئی بھی اس کے راستے میں نہیں تھا۔ وہ ایک درست کلید کے ساتھ اندر آیا جو اسے لکھی ہوئی ملی، اور ان اجازتوں کے ساتھ کام کیا جو واقعی دی گئی تھیں۔ آپ جو بھی پروڈکٹ خریدیں، وہ اسے ٹھیک نہیں کرتی۔ اسے ٹھیک کرتا ہے نظم و ضبط: کوڈ کیسے لکھا جاتا ہے، سیکرٹس کیسے محفوظ کیے جاتے ہیں، اور اجازتیں کیسے دی اور واپس لی جاتی ہیں۔
ایک رجحان جو ہم کلائنٹس کے ہاں بار بار دیکھتے ہیں: سب سے خطرناک سیکرٹس شاذ و نادر ہی مرکزی سسٹم میں ہوتے ہیں۔ وہ ضمنی پروجیکٹس میں ہوتے ہیں، ایک بار لکھی گئی ڈیٹا منتقلی کی اسکرپٹ، کسی ٹھیکیدار کا بنایا ہوا اندرونی رپورٹنگ ڈیش بورڈ، ایک عارضی سپلائر انٹیگریشن جو دو سال سے چل رہی ہے۔ یہ کبھی سکیورٹی جائزے میں نہیں آتے کیونکہ کوئی انہیں سسٹم شمار نہیں کرتا۔ حملہ آور ایسا کوئی فرق نہیں کرتا۔ جب ہم کسی کلائنٹ کے ماحول کا جائزہ لیتے ہیں تو ٹھیک یہیں سے شروع کرتے ہیں: کلیدیں کہاں ہیں، کس کے پاس کون سی اجازت ہے، اور اگر آج رات ایک کلید لیک ہو جائے تو کیا ہوگا۔ اگر آپ اس زاویے سے جائزہ چاہتے ہیں تو ہم آپ کو رابطے کے صفحے پر ملیں گے۔
نتیجہ
حملے کا طریقہ نہیں بدلا۔ اس کی رفتار بدلی ہے۔ 50 سے زیادہ معروف تکنیکیں دس گھنٹے سے کم میں چلیں کیونکہ خودکار ایجنٹس نے انہیں بغیر رکے چلایا، اور نیٹ ورک کے اندر اوسط بریک آؤٹ ٹائم اب 29 منٹ ہے۔ ایسا دفاع جو اس پر منحصر ہو کہ کوئی بروقت نوٹس لے، اب کافی نہیں۔ سب سے سادہ اور سب سے مشکل سوال سے آغاز کیجیے: کیا آپ جانتے ہیں کہ اس وقت آپ کی کلیدیں کہاں ہیں، اور انہیں کون پڑھ سکتا ہے؟
ماخذ
- Unit 42 — An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation، Palo Alto Networks، 2 ستمبر 2026: دراندازی کا دورانیہ، حملے کا سلسلہ، MITRE ATT&CK تکنیکوں کی تعداد اور دفاعی سفارشات۔
- CrowdStrike 2026 Global Threat Report: 29 منٹ کا بریک آؤٹ ٹائم اور 27 سیکنڈ کا ریکارڈ، AI استعمال کرنے والے حملہ آوروں کے حملوں میں 89% اضافہ، اور میلویئر کے بغیر نشاندہیوں کا 82% کا عدد۔
- Check Point AI Security Report 2026: حقیقی دراندازیوں میں AI کا معاون سے آپریٹر بننا۔
- قومی سائبر سکیورٹی اتھارٹی (NCA) — بنیادی سائبر سکیورٹی کنٹرولز، اور سعودی اتھارٹی برائے ڈیٹا و مصنوعی ذہانت (SDAIA) — ذاتی ڈیٹا کے تحفظ کا قانون (PDPL)۔
عام سوالات
کیا یہ حملہ کسی نئی، نامعلوم کمزوری پر منحصر تھا؟
نہیں۔ Unit 42 کی رپورٹ واضح طور پر کہتی ہے کہ یہ دراندازی کسی زیرو ڈے یا غیر معمولی طور پر پیچیدہ طریقے پر منحصر نہیں تھی، بلکہ MITRE ATT&CK فریم ورک میں پہلے سے درج 50 سے زیادہ تکنیکوں پر مبنی تھی۔ رفتار AI ایجنٹس کو مسلسل لوپ میں چلانے کی آپریشنل کارکردگی سے آئی، نہ کہ خود تکنیکوں میں کسی تکنیکی برتری سے۔
حملہ آور اتنی جلدی root رسائی تک کیسے پہنچا؟
عوامی طور پر قابل رسائی ایک ویب سروس میں نقب لگانے کے بعد، ذیلی ایجنٹس نے کوڈ ریپوزیٹریز کھنگالیں اور کوڈ میں لکھے ہوئے ایکسیس ٹوکنز اور سروس پاس ورڈز ڈھونڈ نکالے۔ ان ٹوکنز کے ذریعے سیکرٹس مینجمنٹ سسٹم میں داخلہ حاصل کیا گیا، جس سے ماسٹر انتظامی اسناد ملیں جو پورے ماحول پر root سطح کی رسائی دیتی تھیں۔
چھوٹی یا درمیانی کمپنی کے لیے پہلا عملی قدم کیا ہے؟
اپنی کوڈ ریپوزیٹریز کو ان میں محفوظ کیے گئے سیکرٹس کے لیے اسکین کریں، صرف موجودہ ورژن نہیں بلکہ ریپوزیٹری کی پوری تاریخ میں، کیونکہ حذف کیا گیا سیکرٹ بھی لاگ میں باقی رہتا ہے۔ سیکرٹ اسکیننگ کے ٹولز بڑے کوڈ پلیٹ فارمز میں پہلے سے موجود ہیں اور ان کے لیے کسی بجٹ کی ضرورت نہیں۔ اس کے بعد ہر اس کلید کو تبدیل کریں جو طویل عرصے سے نہیں بدلی گئی۔
کیا اینٹی وائرس سافٹ ویئر اور فائر وال کافی ہیں؟
اکیلے نہیں۔ CrowdStrike کی رپورٹ کے مطابق 2025 میں 82% نشاندہیاں میلویئر کے بغیر تھیں، یعنی حملہ آور درست اسناد کے ساتھ داخل ہوتا ہے اور کوئی ایسی فائل نہیں چھوڑتا جسے روایتی ٹولز پکڑ سکیں۔ یہاں مؤثر تحفظ رسائی کے انتظام، کلیدوں کی باقاعدہ تبدیلی اور غیر معمولی رویے کی نگرانی سے آتا ہے۔
گوگل میں اوریگامی کو فالو کریں
اوریگامی کو پسندیدہ ذریعہ بنائیں، ہمارے مضامین گوگل سرچ اور اہم خبروں میں آپ کو سب سے پہلے نظر آئیں گے۔
