المهاجمون يعيدون كتابة قواعد لعبة الفدية

لسنوات، كانت النصيحة القياسية للنجاة من هجوم فدية بسيطة: احتفظ بنسخ احتياطية جيدة، ويمكنك استعادة أنظمتك دون دفع فدية. لم تعد تلك النصيحة كافية وحدها. تقرير جديد من Helixstorm يسلط الضوء على تحول مقلق في هجمات الفدية التي تستهدف النسخ الاحتياطية: الجهات الفاعلة الخبيثة الآن تطارد البنية التحتية للنسخ الاحتياطي قبل أن تلمس أي ملف إنتاج.

وفقًا للتقرير، يطارد المهاجمون وحدة تحكم النسخ الاحتياطي قبل أن يلمسوا أي ملف، ويقصرون نوافذ الاحتفاظ بالنسخ بدلاً من حذفها بالكامل، ويفسدون بيانات الاسترداد بهدوء بحيث لا يدرك الضحايا أن شبكة الأمان الخاصة بهم قد اختفت حتى فوات الأوان. هذه استراتيجية متعمدة. إذا تمكنت الشركة من استعادة أنظمتها من النسخ الاحتياطي، يفقد طلب الفدية قوته الضاغطة. لذلك تكيف المهاجمون بضمان أن الاسترداد ليس خيارًا متاحًا.

لم يظهر هذا التكتيك بين عشية وضحاها. أمضى مشغلو برامج الفدية سنوات في تحسين أساليب الابتزاز المزدوج، حيث تُستخدم البيانات المسروقة كوسيلة ضغط إضافية حتى بعد التشفير، كما رأينا في حالات مثل نهج الابتزاز المزدوج لبرنامج CRPx0 للفدية. استهداف النسخ الاحتياطية أولاً هو ببساطة الخطوة المنطقية التالية: القضاء على خيارات الضحية قبل أن يصبح الهجوم مرئيًا حتى.

لماذا يهم هذا للخصوصية، وليس فقط لوقت التشغيل

معظم التغطية الإعلامية لبرامج الفدية التي تستهدف النسخ الاحتياطية تركز على استمرارية الأعمال: كم من الوقت تبقى الأنظمة معطلة، كم تكلف الفدية، مدى سرعة استئناف العمليات. لكن هناك بُعدًا للخصوصية يستحق مزيدًا من الاهتمام.

عندما يخترق المهاجمون وحدة تحكم النسخ الاحتياطي، فهم لا يهددون فقط قدرتك على استرداد الملفات. غالبًا ما يحصلون على وصول إلى نسخ تاريخية من البيانات الحساسة، بما في ذلك سجلات العملاء، والتفاصيل المالية، والمعلومات الصحية، أو البيانات الشخصية للموظفين التي ربما تم حذفها من الأنظمة الحية ولكنها لا تزال موجودة في أرشيفات النسخ الاحتياطي. يمكن أن يكشف النسخ الاحتياطي التالف أو المسرَّب عن أشهر أو سنوات من المعلومات الشخصية المحتفظ بها دفعة واحدة، أكثر بكثير مما قد يوجد على خادم إنتاج واحد.

هذا جزء من نمط أوسع لتكيف مجموعات الفدية مع نماذج أعمالها لتعظيم القوة الضاغطة. تحذير مكتب التحقيقات الفيدرالي الأخير حول توسع برنامج Gunra للفدية إلى نموذج كامل للفدية كخدمة يُظهر كيف تنتشر هذه التكتيكات بسرعة بمجرد إثبات فعاليتها. عندما تجد مجموعة واحدة نجاحًا في مهاجمة أنظمة الاسترداد أولاً، يتم تعبئة التقنية وبيعها للشركاء التابعين، مما يضاعف عدد المؤسسات التي تواجه نفس التهديد.

المؤسسات الأصغر ليست مستثناة. الأبحاث حول ارتفاع اكتشافات برامج الفدية بين الشركات الصغيرة والمتوسطة، بما في ذلك النتائج من الهند في أوائل 2026، تشير إلى أن المهاجمين يلقون شبكة واسعة بدلاً من التركيز فقط على المؤسسات الكبيرة. البنية التحتية للنسخ الاحتياطي في الشركات الأصغر غالبًا ما تكون أقل مراقبة وأقل تقسيمًا، مما يجعلها هدفًا أسهل لهذا التكتيك بالذات.

الحجة لصالح الاسترداد غير القابل للتغيير والمعزول هوائيًا

يشير تقرير Helixstorm إلى أنظمة النسخ الاحتياطي غير القابلة للتغيير والمعزولة هوائيًا كأقوى دفاع ضد هذا الاتجاه. النسخ الاحتياطية غير القابلة للتغيير لا يمكن تعديلها أو حذفها، حتى من قبل شخص لديه بيانات اعتماد إدارية، لفترة احتفاظ محددة. النسخ الاحتياطية المعزولة هوائيًا معزولة فيزيائيًا أو منطقيًا عن الشبكة الرئيسية، مما يعني أن المهاجم الذي يخترق أنظمة الإنتاج لا يمكنه ببساطة الانتقال إلى بيئة النسخ الاحتياطي.

معًا، تسد هاتان الطريقتان الفجوة التي تعلمت مجموعات الفدية استغلالها. إذا لم يتمكن المهاجمون من الوصول إلى النسخ الاحتياطي أو تعديله، فإن تقصير نوافذ الاحتفاظ أو إفساد نقاط الاسترداد يصبح أصعب بكثير. هذا لا يلغي المخاطر تمامًا، لكنه يزيل المسار الأسهل الذي يستخدمه المهاجمون حاليًا لتجريد الضحية من قوتها الضاغطة.

على مستوى الصناعة، هذه علامة على أن برامج الفدية لم تتباطأ، بل تطورت فقط. التحليلات الأخيرة التي تظهر أن نشاط الفدية أعيد ترتيبه بدلاً من أن يتراجع في 2025 تدعم هذه الفكرة. المهاجمون لا يختفون؛ إنهم يصقلون أي أجزاء من البنية التحتية للمؤسسة يستهدفونها أولاً.

ماذا يعني هذا بالنسبة لك

إذا كنت تدير البنية التحتية لتقنية المعلومات لشركة، أو حتى تشرف فقط على النسخ الاحتياطية لفريق صغير، فإن هذا التحول يغير ما تعنيه "النظافة الجيدة للنسخ الاحتياطي". لم يعد كافيًا تشغيل نسخ احتياطية منتظمة. تحتاج إلى التحقق من أن تلك النسخ محمية فعليًا من العبث، وأن الوصول إلى وحدات تحكم النسخ الاحتياطي مقيد ومراقب بشدة، وأن نقاط الاسترداد تُختبر بانتظام بدلاً من افتراض أنها تعمل.

للمستهلكين العاديين، الخلاصة غير مباشرة أكثر لكنها لا تزال مهمة. عندما تعاني شركة تتعامل معها من هجوم فدية يؤثر أيضًا على نسخها الاحتياطية، يمكن أن يكون نطاق البيانات الشخصية المكشوفة أكبر مما تم الإبلاغ عنه في البداية. يجدر الانتباه إلى إشعارات الاختراق التي تذكر أنظمة النسخ الاحتياطي أو الأرشيفية تحديدًا، لأن ذلك غالبًا ما يشير إلى كشف بيانات أوسع من اختراق نظام واحد نموذجي.

النقاط الرئيسية

تمثل هجمات الفدية على النسخ الاحتياطية تحولًا مهمًا في كيفية عمل هذه التهديدات، والآثار تتجاوز وقت التوقف ومدفوعات الفدية. يجب على المؤسسات مراجعة ما إذا كانت نسخها الاحتياطية غير قابلة للتغيير ومعزولة حقًا عن الشبكة الرئيسية، والتحقق من هوية الأشخاص الذين لديهم وصول إلى وحدات تحكم إدارة النسخ الاحتياطي، واختبار إجراءات الاسترداد بجدول زمني منتظم بدلاً من التعامل مع النسخ الاحتياطية كشبكة أمان تُضبط وتُنسى. يجب على المستهلكين البقاء يقظين تجاه كيفية وصف الشركات لنطاق أي اختراق، خاصة عند ذكر أنظمة النسخ الاحتياطي، لأن ذلك غالبًا ما يشير إلى حجم أكبر من البيانات الشخصية المكشوفة مما يوحي به العنوان الرئيسي الأولي.