هجمات الفدية تتراجع، لكن التهديد يزداد حدة

تقرير ربع سنوي جديد من شركة الأمن هالسيون يحمل رسالة متضاربة لكل من يتابع اتجاهات برمجيات الفدية: إجمالي حجم الهجمات ينخفض، لكن التقنيات المستخدمة في الهجمات الناجحة تصبح أصعب بكثير في الكشف والإيقاف. النتيجة الرئيسية هي أن مجموعات الفدية تستخدم بشكل متزايد ما يُعرف بتقنيات 'قتل EDR'، وهي طرق لتعطيل برامج الكشف عن التهديدات والاستجابة لها (EDR) قبل نشر البرمجيات الخبيثة التي تشفّر الملفات.

أدوات EDR هي البرامج الأمنية التي تعتمد عليها العديد من المؤسسات لاكتشاف السلوك المريض على أجهزة الكمبيوتر المحمول والخوادم ومحطات العمل قبل أن يتحول إلى اختراق كامل. وعندما يتمكن المهاجمون من إيقاف تشغيل هذا البرنامج أو تعطيله بهدوء أولاً، فإنهم يكسبون وقتًا للتحرك عبر الشبكة وسرقة البيانات وتشفير الأنظمة مع فرصة أقل بكثير للقبض عليهم أثناء الهجوم.

من خدعة متخصصة إلى ممارسة معيارية

وفقًا لبيانات هالسيون للربع الثاني من عام 2026، فإن ما كان يُعتبر في السابق قدرة متخصصة وعالية التقنية حكرًا على أكثر عصابات الفدية تطورًا، أصبح الآن جزءًا روتينيًا من سلسلة الهجوم. لم يعد تعطيل أمن النقاط الطرفية أو تجاوزه استثناءً؛ بل أصبح متوقعًا بشكل متزايد لدى المجموعات التي تدير عمليات فدية حديثة.

هذا التحول مهم لأن EDR كان إحدى الطبقات الدفاعية الأساسية التي تستثمر فيها المؤسسات لاكتشاف الاختراقات مبكرًا. وإذا أصبح تعطيل هذه الطبقة خطوة معيارية وقابلة للتكرار بدلاً من كونها تقنية نادرة ومخصصة، فإن ذلك يخفض حاجز المهارة للمجموعات الأقل تطورًا لتحقيق نفس النتيجة التي يحققها المشغلون من الدرجة الأولى. ويعني ذلك أيضًا أن علامات الاختراق التقليدية، مثل تنبيه EDR، قد لا تظهر أبدًا، مما يترك فرق الأمان مع تحذير أقل قبل سرقة البيانات أو قفل الأنظمة.

السخرية التي يبرزها تقرير هالسيون هي أن هذا يحدث حتى مع انخفاض العدد الإجمالي لهجمات الفدية. قلة الحوادث لا تعني بالضرورة خطرًا أقل. فقد تعني أن الهجمات التي لا تزال تحدث أكثر استهدافًا، وأفضل تمويلاً، وأصعب في الإيقاف بمجرد أن تبدأ، لأن المهاجمين الذين يقفون وراءها قاموا بتكييف حرفتهم خصيصًا لهزيمة الأدوات التي يعتمد عليها المدافعون أكثر من غيرهم.

لماذا يهم هذا الخصوصية، وليس فقط أمن تكنولوجيا المعلومات

من المغري اعتبار تقنيات قتل EDR مسألة فنية بحتة تخص أقسام تكنولوجيا المعلومات في المكاتب الخلفية. لكن العواقب تقع مباشرة على الأشخاص العاديين الذين توجد بياناتهم داخل المؤسسات المستهدفة. نادرًا ما تتوقف هجمات الفدية اليوم عند التشفير؛ فالمجموعات تقوم بشكل روتيني بتسريب الملفات الحساسة أولاً وتهدد بنشرها إذا لم تُدفع الفدية. وعندما يتمكن المهاجمون من تعطيل أدوات الكشف والعمل دون إزعاج لفترة أطول، يكون لديهم المزيد من الوقت لتحديد ونسخ نوع البيانات الأكثر أهمية بالضبط: سجلات العملاء، وملفات الموظفين، والمستندات المالية، ومعلومات الأعمال الخاصة.

تُعد قضية هجوم برمجية Gentlemen Ransomware على Soja de Portugal الأخيرة، والتي أسفرت عن تسريب 491 غيغابايت من بيانات الشركة الحساسة، مثالاً واضحًا على كيفية تحول هذه الهجمات إلى تعرض حقيقي للأفراد والشركات على حد سواء. سواء كان هذا الحادث المحدد قد تضمن تجنب EDR أم لا، فإنه يظهر حجم البيانات التي يمكن جمعها بمجرد أن يحصل المهاجمون على موطئ قدم ويكونون قادرين على العمل بأقل قدر من التدخل.

ماذا يعني هذا لك

بالنسبة لمعظم القراء، هذه ليست دعوة للهلع، بل تذكير بأن الفرضيات الأمنية التي تعتمد عليها العديد من المؤسسات تتغير. إذا كنت تعمل في مجال تكنولوجيا المعلومات أو الأمن، فإن نتائج هالسيون تؤكد أنه لم يعد من الممكن التعامل مع EDR وحده كنظام إنذار مبكر مضمون؛ فالدفاعات متعددة الطبقات، ومراقبة الشبكة، والتخطيط للاستجابة السريعة أصبحت أكثر أهمية من أي وقت مضى. وإذا كنت فردًا تخزن بياناتك الشخصية لدى شركات أو مدارس أو مقدمي رعاية صحية أو منصات خدمات، فإن هذا الاتجاه هو تذكير بأن الاختراق في أي من هذه المؤسسات قد يكشف معلوماتك مع تحذير مسبق أقل مما كان في الماضي، لأن المهاجمين يتحسنون في العمل بصمت.

نصائح عملية قابلة للتنفيذ

بضع خطوات عملية يمكن أن تساعد بغض النظر عن دورك:

  • إذا كنت تدير البنية التحتية الأمنية، فلا تعتمد فقط على تنبيهات EDR؛ بل ادمجها مع مراقبة على مستوى الشبكة وتمارين محاكاة منتظمة تفترض أن أدوات الكشف قد تكون معطلة.
  • ادعم وطالب بسياسات أمنية تتضمن نسخًا احتياطية غير متصلة بالإنترنت، حيث أن مجموعات الفدية التي تنجح في تعطيل EDR غالبًا ما يكون لديها المزيد من الوقت لاستهداف أنظمة النسخ الاحتياطي أيضًا.
  • كفرد، استخدم كلمات مرور فريدة وفعّل المصادقة متعددة العوامل أينما تُخزن بياناتك، بحيث تظل حساباتك الأخرى محمية حتى إذا تعرضت شركة تعتمد عليها لاختراق.
  • تابع إشعارات الاختراق من الشركات التي تتعامل معها، وتصرف بسرعة بناءً على أي توصيات بتغيير كلمات المرور أو عروض مراقبة الائتمان.

قد تكون هجمات الفدية في انخفاض من حيث الأعداد الخام، لكن تطور تقنيات قتل EDR يعني أن الهجمات التي تحدث تحمل مخاطر أكبر على البيانات التي تلامسها. البقاء على اطلاع حول كيفية تطور هذه التهديدات هو أحد أبسط الطرق للبقاء متقدمًا بخطوة.