تُتيح الثغرة الأمنية تجاوز عملية المصادقة العادية. أحيانًا تكون مُتعمّدة، حيث يُضيفها المُطوّر لأغراض الصيانة أو تصحيح الأخطاء. وأحيانًا أخرى، يزرعها المُهاجم بعد حصوله على صلاحيات الوصول. في كلتا الحالتين، تُتيح هذه الثغرة لشخص ما الدخول دون المرور عبر البوابة الرئيسية. قد تكون الثغرة الأمنية حسابًا مخفيًا بكلمة مرور مُضمّنة، أو أمرًا سريًا يفتح واجهة سطر أوامر، أو أداة وصول عن بُعد تتصل بخادم المُهاجم.

تُعدّ الثغرات الأمنية الخلفية خطيرة لأنها غير مرئية لأنظمة الحماية القياسية. فجدار الحماية يرصد حركة البيانات العادية، وقد لا يكشف فحص مكافحة الفيروسات عن وجود برمجيات خبيثة مُصممة خصيصًا. بدأ اختراق شركة Target عام 2013 بسرقة بيانات اعتماد من مُورّد لأنظمة التدفئة والتهوية وتكييف الهواء، ثم قام المهاجمون بتثبيت ثغرات أمنية خلفية للحفاظ على الوصول طوال أشهر من الاستكشاف. تُزرع الثغرات الأمنية الخلفية في تحديثات البرامج خلال هجمات سلسلة التوريد، ما يدفع آلاف المؤسسات إلى تثبيتها طواعيةً. وهذا ما حدث بالفعل في اختراق SolarWinds عام 2020. يتطلب اكتشاف هذه الثغرات مراقبة السلوكيات الشاذة، والاتصالات الصادرة غير المعتادة، ونشاط الحسابات غير المتوقع. وغالبًا ما يعني إزالتها إعادة بناء النظام المُتأثر من الصفر. فلا يُمكن الوثوق بجهاز يتحكم به شخص آخر.

أنواع الأبواب الخلفية

• بيانات اعتماد مُضمّنة في التعليمات البرمجية - حسابات مخفية مُدمجة في البرامج
• برامج التجسس التي تتيح الوصول عن بُعد - برامج ضارة تمنح المهاجم السيطرة
• واجهات الويب - نصوص برمجية يتم تحميلها إلى خادم للوصول الدائم
• زرعات سلسلة التوريد - برمجيات خبيثة يتم إدخالها في التحديثات المشروعة

لا تكون الثغرات الأمنية خبيثة المنشأ دائمًا. فبعضها بقايا من عمليات التطوير لم تتم إزالتها، وهي لا تقل خطورة.