مجموعة برمجيات فدية تتنكّر في زي تنكري
من بين عمليات برمجيات الفدية التي يتابعها باحثو الأمن مع اقتراب عام 2026، تبرز مجموعة واحدة باختيار تسويقي يميزها عن عصابات الابتزاز النموذجية. تقدّم Rhysida نفسها باعتبارها "فريقاً للأمن السيبراني"، مدّعية أن هجماتها تساعد الضحايا على تحديد نقاط الضعف في شبكاتهم. ويصف الباحثون الذين يدرسون هذه المجموعة هذا التأطير بأنه مبرر واهٍ يغطي كتاباً قياسياً للابتزاز المزدوج: سرقة البيانات، ثم تشفير الأنظمة، ثم المطالبة بدفع فدية لمنع كلٍّ من الفقدان الدائم للبيانات والكشف العلني عنها.
ليست استراتيجية العلامة التجارية هذه جديدة في عالم الجريمة السيبرانية الأوسع. فجهات التهديد تستعير بشكل متزايد لغة وصوراً من صناعات شرعية لجعل عملياتها تبدو أقل إجرامية بشكل صريح، سواء أكان ذلك بانتحال شخصية باحثين أمنيين أو مستشاري تكنولوجيا معلومات، أو، كما شوهد في حملات حديثة أخرى، بإساءة استخدام أسماء علامات تقنية موثوقة لتوزيع أدوات خبيثة. في الواقع، إن تكتيك استغلال علامات تجارية مألوفة لخفض حذر الهدف هو نمط يظهر عبر أنواع متعددة من التهديدات هذا العام، بما في ذلك كيفية إساءة استخدام المهاجمين لعلامة ChatGPT لتوزيع برمجيات خبيثة تُجمَّع مباشرة في متصفح الضحية. والخيط المشترك هو ذاته: تزيين عملية خبيثة بمصطلحات مألوفة وموثوقة السمع حتى يتردد الضحايا وحتى بعض المراقبين قبل التعامل معها كفعل إجرامي مباشر.
كيف يعمل نموذج الابتزاز لدى Rhysida
بعيداً عن اللغة التسويقية، تتبع عملية Rhysida بنية معروفة وموثّقة لبرمجيات الفدية. تدير المجموعة موقع تسريب مستضافاً على شبكة Tor، مما يجعل بنيتها التحتية أصعب في التتبع والإسقاط من موقع ويب تقليدي. وعندما تخترق Rhysida مؤسسة ما، فإنها تستخرج البيانات الحساسة قبل نشر التشفير، ثم تنشر مذكرة فدية، غالباً بصيغة PDF، على موقع التسريب الخاص بها.
يُمنح الضحايا خياراً، وهو ليس خياراً عادلاً. إما دفع الفدية المطلوبة بالبيتكوين، أو مشاهدة الملفات المسروقة، التي قد تشمل سجلات العملاء أو الاتصالات الداخلية أو بيانات الأعمال الخاصة، تُنشر علناً. هذا هو جوهر الابتزاز المزدوج: فحتى المؤسسات التي تمتلك نسخاً احتياطية قوية وخططاً لاستعادة الكوارث لا تزال تواجه ضغطاً للدفع، لأن التشفير لم يعد الرافعة الوحيدة التي يملكها المهاجمون. فتهديد النشر العلني للبيانات يضيف مخاطر سمعة وقانونية وتنظيمية فوق الاضطراب التشغيلي.
أصبح هذا النموذج المعيار الصناعي بين مجموعات برمجيات الفدية النشطة تحديداً لأنه ناجح. فقد تحسنت أنظمة النسخ الاحتياطي بما يكفي لدرجة أن التشفير وحده غالباً ما يفشل في إجبار الضحايا على الدفع، لذا أصبح استخراج البيانات والتشهير العلني هي الرافعة الثانية الموثوقة. ومجموعات مثل Rhysida تكتفي بصقل طريقة العرض حول تكتيك أثبت فعاليته في منظومة برمجيات الفدية بأكملها.
لماذا يهم تأطير "فريق الأمن السيبراني"
يجدر التوقف عند سبب تكبّد مجموعة برمجيات فدية عناء تقديم نفسها كخدمة أمنية في المقام الأول. أولاً، قد يقلل ذلك من الاحتكاك الداخلي: فقد يكون الموظفون أو المدراء التنفيذيون داخل مؤسسة مخترقة أكثر ميلاً للتعامل مع مهاجم يزعم أنه يشير إلى ثغرات بدلاً من مهاجم عدائي بشكل صريح. كما يمكن أن يعقّد الروايات العامة أثناء الحادث وبعده، إذ قد يجد الصحفيون والضحايا وحتى بعض الباحثين صعوبة في البداية في تصنيف نية المجموعة.
لكن الباحثين يدركون بوضوح ما يمثله هذا التأطير فعلاً. لا يوجد دليل على أن اهتمام Rhysida المعلن بمساعدة المؤسسات على فهم نقاط ضعفها يغيّر النتيجة بالنسبة للضحايا. فالمطالب، وهيكل الدفع بالبيتكوين، وتهديد الإفراج العلني عن البيانات، تبقى مطابقة للتكتيكات التي تستخدمها مجموعات برمجيات الفدية التي لا تتظاهر بذلك. فالعلامة التجارية استراتيجية تواصلية، وليست تغييراً في السلوك.
ما الذي يعنيه هذا لك
بالنسبة لمعظم الأفراد، لا تشكل مجموعات برمجيات الفدية مثل Rhysida تهديداً يومياً مباشراً بالطريقة التي قد يشكلها بريد تصيّد أو تطبيق مخترق. تستهدف هذه المجموعات في المقام الأول المؤسسات: الشركات، ومقدمو الرعاية الصحية، والوكالات الحكومية، وغيرها من الكيانات التي تمتلك بيانات قيّمة وموارد تمكنها من دفع فدية محتملة. لكن الآثار التالية تصل إلى الناس العاديين بسرعة. فإذا تعرضت شركة تتعامل معها للهجوم، فقد تنتهي معلوماتك الشخصية، من تفاصيل الحساب إلى السجلات الصحية، مكشوفة على موقع تسريب، بغض النظر عما إذا كانت المجموعة تسمي نفسها عصابة إجرامية أو فريق أمني منتحل.
الدرس العملي هو التعامل مع أي إشعار خرق تتلقاه بجدية، حتى لو بدت اللغة الواردة من المجموعة المسؤولة هادئة أو احترافية بشكل غير معتاد. فالتأطير لا يشير إلى ضبط النفس. وهو أيضاً تذكير بأن الشركات التي تقيّم وضعها الأمني الخاص يجب ألا تخلط بين "إفصاحات الثغرات" غير المطلوبة من أطراف مجهولة وبين البحث المشروع، خاصة عندما تأتي مرفقة بمطالب دفع.
النقاط الرئيسية
تواصل مجموعات برمجيات الفدية التي يُتابَع نشاطها مع اقتراب عام 2026 الاعتماد على تكتيكات الابتزاز المزدوج بصرف النظر عن طريقة تقديمها لنفسها علناً. إن تقديم Rhysida لنفسها كفريق للأمن السيبراني هو تمرين على العلامة التجارية، وليس دليلاً على حسن النية، والتهديد الكامن، من مواقع التسريب المستضافة على Tor، والبيانات المسروقة، ومطالب الفدية بالبيتكوين، يبقى قياسياً لهذه الفئة. إذا تلقيت إشعار خرق مرتبطاً بأي حادث برمجيات فدية، فغيّر كلمات المرور المتأثرة، وراقب حساباتك ورصيدك الائتماني بحثاً عن أي نشاط غير معتاد، وكن متشككاً في أي تواصل من مهاجم يقدّم نفسه كطرف مساعد. وينبغي للمؤسسات أن تفترض أن أي مجموعة تدّعي تقديم "إرشادات أمنية" من خلال اختراق غير مطلوب تدير عملية ابتزاز قياسية، وأن تتعامل عبر قنوات الاستجابة للحوادث وإنفاذ القانون بدلاً من التفاوض المباشر القائم على تأطير المهاجم.
