أصبحت بيانات الاعتماد المسروقة المدخل الرئيسي لهجمات برامج الفدية، وأمن الهوية في المؤسسات بحاجة ماسة إلى التعزيز.

مقدمة

مداخل هجمات برامج الفدية تمر بتحول جذري. وفقًا لأحدث تقرير سنوي لشركة Sophos عن برامج الفدية، 79% من حوادث برامج الفدية التي تم تحليلها تعود إلى مرحلة الاختراق الأولي التي تستخدم هويات مسربة وتسجيلات دخول شرعية للمستخدمين. تشير هذه البيانات إلى أن طبقة الهوية أصبحت نقطة الاختراق المفضلة لمجرمي الإنترنت، وأن استراتيجيات الدفاع التقليدية التي تركز على إصلاح الثغرات تواجه تحديات.

نظرة عامة على الأحداث

• الوقت: يعتمد التقرير على تحقيقات في أحداث حقيقية بين عامي 2025-2026، ويغطي 2158 من قادة الأمن السيبراني.
• السياق: أصبحت هجمات الهوية الطريقة الأكثر شيوعًا للاختراق الأولي، لتحل محل الاعتماد السابق على استغلال الثغرات.
• بيانات رئيسية:
• - 79% من حوادث برامج الفدية تبدأ بهويات مسربة أو إساءة استخدام بيانات اعتماد شرعية.
• - ارتفعت نسبة البريد الإلكتروني الخبيث كمدخل من 19% إلى 26%.
• - تشكل هجمات التصيد 24% (مقارنة بـ 18% في العام السابق).
• - تشكل هجمات القوة الغاشمة 23% (انخفاض طفيف).
• - انخفض استغلال الثغرات بشكل حاد من 32% إلى 18%.
• طرق الاستغلال: 38% عبر التطبيقات/الأنظمة المكشوفة، 30% عبر تسجيل الدخول من أجهزة بعيدة، 21% عبر جدران الحماية، 8% عبر شبكات VPN مكشوفة، 3% عبر أجهزة إنترنت الأشياء.

تحليل تقني ومخاطر

طرق الهجوم وسلسلة الاستغلال

لماذا تحول المهاجمون إلى هجمات الهوية؟ يشير Ross McKerchar، كبير مسؤولي أمن المعلومات في Sophos، إلى أن المجرمين يعتمدون على طرق هجوم "أسهل" – استخدام الهويات المسروقة كناقل وصول أولي. كما يضاعف انتشار الذكاء الاصطناعي من تهديد الهندسة الاجتماعية: يمكن للذكاء الاصطناعي تحسين رسائل التصيد وتصميم حملات ClickFix المعقدة لخداع المستخدمين لتجاوز المصادقة متعددة العوامل.

تشمل سلسلة الهجوم النموذجية: 1. الحصول على بيانات الاعتماد: سرقة بيانات اعتماد صالحة عبر التصيد أو البريد الإلكتروني الخبيث أو القوة الغاشمة. 2. الوصول الأولي: استخدام تسجيل دخول شرعي للدخول إلى تطبيقات مكشوفة أو سطح مكتب بعيد أو جدار حماية. 3. الحركة الجانبية ورفع الصلاحيات: الانتشار داخل الشبكة الداخلية باستخدام هويات شرعية. 4. نشر برامج الفدية: تشفير البيانات في النهاية والمطالبة بفدية.

الأصول المتأثرة

• لا تقتصر هجمات الهوية على أنظمة تكنولوجيا المعلومات. تشمل نقاط الدخول المذكورة في التقرير:
• التطبيقات أو الأنظمة المكشوفة (38%) – مثل تطبيقات الويب ومنصات SaaS.
• تسجيل الدخول من أجهزة بعيدة (30%) – بما في ذلك الأجهزة الشخصية للموظفين ومحطات العمل البعيدة غير المحصنة.
• جدران الحماية (21%) – واجهات الإدارة أو بوابات VPN.
• شبكات VPN (8%) – نقاط الوصول عن بُعد.
• أجهزة إنترنت الأشياء (3%) – أجهزة الحافة ضعيفة الأمان.

من الجدير بالذكر أن استغلال الثغرات لم يعد الاتجاه السائد، لكن هذا لا يعني أن التصحيح لم يعد مهمًا. يختار المهاجمون فقط المسار "الأسهل".

تحليل تأثير المؤسسات### مخاطر التشغيل

غالبًا ما يصعب اكتشاف هجمات الهوية لأن المهاجمين يستخدمون بيانات اعتماد شرعية ويبدو سلوكهم طبيعيًا. يؤدي ذلك إلى إطالة زمن الاستجابة للحوادث وربما توسيع نطاق تشفير البيانات. تشير التقارير إلى أن 62% من المؤسسات تعترف بوجود ثغرات أمنية معروفة أو غير معروفة تؤدي إلى عدم اكتشاف الهجمات في الوقت المناسب.

المخاطر المالية

تظهر البيانات أن متوسط الفدية انخفض من 2 مليون دولار قبل عامين إلى 698 ألف دولار، لكن المؤسسات الكبرى لا تزال تواجه طلبات فدية بملايين الدولارات. يميل المهاجمون إلى تخصيص الفدية بناءً على قدرة الضحية على الدفع - فالفدية المرتفعة جدًا قد تدفع المؤسسات إلى رفض الدفع، بينما قد تشجع الفدية "المعقولة" المؤسسات على الدفع. دفع 48% من الضحايا الفدية، واستخدم 66% النسخ الاحتياطية لاستعادة البيانات. دفع الفدية لا يضمن استعادة البيانات، وقد يشجع سلوك الهجوم.

مخاطر الامتثال والعلامة التجارية

عادةً ما تتضمن تسريبات الهوية بيانات شخصية، مما قد يؤدي إلى التزامات الإبلاغ بموجب لوائح مثل GDPR وCCPA. كما تؤدي حوادث برامج الفدية إلى تقويض ثقة العملاء وسمعة العلامة التجارية بشكل كبير، خاصة في الصناعات التي تتعامل مع البيانات الحساسة (مثل المالية والرعاية الصحية والبنية التحتية الحيوية).

مخاطر البيانات

لا تؤدي هجمات برامج الفدية إلى تشفير البيانات فحسب، بل قد تصاحبها سرقة البيانات والابتزاز متعدد المستويات. يسرق المهاجمون البيانات الحساسة قبل التشفير ويهددون بتسريبها لمزيد من الضغط.

ملاحظات حول اتجاهات الصناعة

من إصلاح الثغرات إلى حماية الهوية

على مدى السنوات الخمس الماضية، كان استغلال الثغرات هو المدخل الرئيسي لبرامج الفدية. لكن تقرير 2026 يظهر أن المهاجمين تحولوا بشكل كبير نحو هجمات الهوية. هذا التحول يعني أن المؤسسات يجب أن تحول تركيزها الأمني من إدارة التصحيحات إلى كشف التهديدات والاستجابة للهوية (ITDR) والمصادقة متعددة العوامل (MFA) وإدارة بيانات الاعتماد.

الهندسة الاجتماعية المدعومة بالذكاء الاصطناعي

يجعل الذكاء الاصطناعي رسائل التصيد أكثر واقعية ويمكنها تجاوز اكتشاف الأمان التقليدي للبريد الإلكتروني. توضح حملات ClickFix كيف يستغل المهاجمون إرهاق المستخدمين من MFA لإقناعهم بالموافقة على الطلبات الضارة. هل هذا حادث منفرد أم اتجاه؟ تشير جميع المؤشرات إلى أن هجمات الهوية المدعومة بالذكاء الاصطناعي ستشهد نموًا سريعًا.

تحسين استراتيجية الفدية

انخفاض متوسط الفدية لا يعني تراجع التهديد. يتبنى المهاجمون نموذج ابتزاز أكثر دقة: تحديد مبالغ مختلفة حسب حجم المؤسسة لزيادة احتمالية الدفع. يتطلب ذلك أن تكون المؤسسات أكثر استعدادًا في التفاوض واستراتيجيات النسخ الاحتياطي.

توصيات الدفاع والاستجابة

على مستوى المؤسسة - تعزيز أمان الهوية: تنفيذ بنية الثقة الصفرية، والتحقق المستمر من جميع طلبات الوصول، وعدم الثقة ببيانات الاعتماد الافتراضية الصالحة. - نشر MFA بشكل شامل: فرض استخدام MFA مقاوم للتصيد في جميع عمليات الوصول عن بُعد وحسابات المسؤولين والأنظمة الحرجة. - مراجعة بيانات الاعتماد بانتظام: كشف وإزالة الحسابات الخاملة وكلمات المرور الضعيفة وحسابات الامتيازات غير المستخدمة.### المستوى التقني - نشر كشف التهديدات الهوياتية والاستجابة لها (ITDR): مراقبة في الوقت الفعلي لسلوكيات تسجيل الدخول غير الطبيعية، وإساءة استخدام بيانات الاعتماد، والحركة الجانبية. - دمج SIEM/SOAR: ربط سجلات الهوية مع حركة مرور الشبكة وبيانات النقاط الطرفية لتسريع الاستجابة للحوادث. - حماية النقاط الطرفية (EDR/XDR): كشف العمليات الضارة والأنشطة المشبوهة حتى لو كانت بيانات الاعتماد الأولية شرعية.

المستوى الإداري - وضع خطة الاستجابة لحوادث برامج الفدية: تشمل إجراءات استعادة النسخ الاحتياطي، وآليات قرار دفع الفدية، واستراتيجيات الاتصال. - إجراء تدريبات الفريق الأحمر: محاكاة سيناريوهات هجمات قائمة على الهوية لاختبار دفاعات الموظفين والأنظمة. - إدارة مخاطر الطرف الثالث: ضمان التزام الموردين الرئيسيين بمصادقة متعددة العوامل (MFA) صارمة وضوابط الوصول.

رؤية SecurityPost Insight

الدروس الأساسية

يتحول مدخل هجمات برامج الفدية من الثغرات التقنية إلى سلوك الإنسان. 79% من الهجمات تبدأ بهويات مسروقة، مما يعني أن المؤسسة حتى لو قامت بتصحيح جميع الثغرات المعروفة بشكل مثالي، قد تسقط بسبب كلمة مرور ضعيفة أو هجوم تصيد ناجح. لم يعد أمن الهوية مجرد متطلب امتثال، بل أصبح حجر الزاوية في بنية الأمن الحديثة.

الدروس لأمن المؤسسات

• إعادة تعريف "الحدود": الهوية هي الحدود. يجب على المؤسسات رفع مستوى حوكمة الهوية وضوابط الوصول (IGA) إلى مرتبة مساوية للدفاع عن الشبكة.
• الإنسان لا يزال الحلقة الأضعف: لكن يمكننا تقليل المخاطر من خلال التقنيات (مثل MFA المقاوم للتصيد) والتدريب (التوعية الأمنية).
• النسخ الاحتياطي ليس حلاً شافياً: على الرغم من أن 66% من المؤسسات تستعيد البيانات عبر النسخ الاحتياطي، إلا أن 48% لا تزال تدفع الفدية. يجب أن يقترن النسخ الاحتياطي بالتخزين غير المتصل واختبارات الاستعادة.

اتجاهات تستحق المتابعة مستقبلاً

• سرقة بيانات الاعتماد والهندسة الاجتماعية المدعومة بالذكاء الاصطناعي ستصبح أكثر انتشاراً، ويجب على المؤسسات نشر أدوات دفاعية تعتمد على الذكاء الاصطناعي.
• كشف التهديدات الهوياتية والاستجابة لها (ITDR) سيصبح معياراً في مراكز العمليات الأمنية.
• هجمات الهوية عبر سلسلة التوريد: قد يتسلل المهاجمون إلى المؤسسات الكبيرة عبر بيانات اعتماد مزودي الخدمات الخارجيين.

يجب على مسؤولي الأمن في المؤسسات الاستفادة من دروس تقرير Sophos: المهاجمون يسلكون طرقاً مختصرة، وعلى المدافعين سد أوسع هذه الطرق المختصرة - وهي الهوية.