برمجيات الفدية وادعاءات سرقة البيانات في مصر خلال الأرباع الثلاثة الأولى من عام 2026

الملخص التنفيذي

تتضمن نتائج هذا التقرير خمسة مؤشرات رئيسية تستحق اهتمام مجالس الإدارة ومسؤولي أمن المعلومات في مصر، وكذلك الشركات التي تتعامل مع مورّدين مصريين أو تمارس أنشطة في السوق المصرية.

1. سجّلت مصر أعلى عدد من الادعاءات المرصودة ضمن مجموعة البيانات التي جمعناها. فقد رصدنا 36 ادعاءً مرتبطًا بمصر خلال الأشهر التسعة الأولى من عام 2026، توزعت على الأرباع الثلاثة بواقع 9 و17 و10 ادعاءات على التوالي. ويعادل هذا العدد نحو ضعف الادعاءات الـ19 المسجلة في دول المغرب العربي الخمس مجتمعة، ويمثل 43% من الادعاءات الـ83 المرصودة في أسواقنا الخليجية الستة. وتعكس هذه الأرقام نتائج الرصد الذي أجريناه، لا الحجم الفعلي للحوادث. ونظرًا إلى احتمال اختلاف نطاق التغطية وآليات تصنيف الدول وإزالة التكرارات من سوق إلى أخرى، فلا يمكن اعتبار هذا الترتيب مقياسًا لمعدل وقوع الهجمات أو مدى انتشارها على المستوى الوطني.
2. تُعد المجموعات الصناعية والتجارية متوسطة الحجم من أبرز الجهات الواردة في الادعاءات. فقد سجل قطاع الصناعة والأغذية 8 ادعاءات، والعقارات والإنشاءات 7، والتجزئة والتوزيع 4، والضيافة والسفر 4. وتمثل هذه القطاعات مجتمعة 23 ادعاءً من أصل 36، أي ما نسبته 64%. كما تشير خمسة ادعاءات (14%) إلى جهات حكومية أو شركات مملوكة للدولة، من بينها وزارة للزراعة، وموزّع وطني للوقود، وشركة المطارات المملوكة للدولة.
3. وردت أسماء ثلاث شركات في قطاع النفط والغاز خلال 15 أسبوعًا. ففي 8 أبريل، نشرت مجموعة Payload ادعاءً يستهدف شركة لإنتاج الغاز؛ وفي 27 أبريل، أدرجت مجموعة APT73 شركة تكرير مملوكة للدولة؛ ثم أدرجت مجموعة Krybit موزّعًا وطنيًا للوقود في 23 يوليو. ثلاث مجموعات مختلفة، وقطاع واحد.
4. قد تؤدي مرشحات الدول إلى التقليل من عدد الادعاءات المرتبطة بمصر. يُظهر المتتبع الرئيسي 28 إدخالًا موسومًا بمصر حتى 30 سبتمبر. لكن بعد مراجعة البيانات وإزالة التكرارات، ارتفع العدد إلى 36 ادعاءً. ويعود ذلك جزئيًا إلى أن خمسة من أصل ست جهات مصرية أدرجتها مجموعة Krybit صُنّفت تحت الولايات المتحدة أو السعودية أو الهند أو كينيا، أو لم تُسند إلى دولة محددة. كما أظهر متتبع ثانٍ خمسة ادعاءات إضافية. وبذلك، فإن الاعتماد على مرشح الدولة وحده قد يؤدي إلى إغفال أكثر من ربع الادعاءات المرصودة.
5. شهد أكتوبر ظهور الجامعات ضمن الجهات الواردة في الادعاءات، بالتزامن مع اقتراب انتهاء المهلة الانتقالية المتعلقة بحماية البيانات في 31 أكتوبر. ففي الفترة بين 7 و10 أكتوبر، نشرت مجموعة Umbra ادعاءات تستهدف ثلاث جامعات مصرية وشركة تقدم خدمات تقنية المعلومات. وتشير ملخصات قانونية منشورة إلى أن أحكام اللائحة التنفيذية لقانون حماية البيانات الشخصية، بما فيها متطلبات إخطار الجهة التنظيمية المختصة خلال 72 ساعة، ستدخل حيز التطبيق الكامل بعد 31 أكتوبر 2026.

نقيّم مستوى المخاطر بأنه مرتفع بالنسبة إلى المجموعات الصناعية والتجارية المصرية، وشركات العقارات والإنشاءات، والشركات المملوكة للدولة في قطاعَي الطاقة والنقل. ونقيّمه بأنه مرتفع نسبيًا بالنسبة إلى شركات التمويل الاستهلاكي وقطاعات الضيافة والرعاية الصحية. أما الجامعات والجهات الحكومية، فنقيّم مستوى المخاطر لديها بأنه مرتفع، في ضوء النشاط المرصود على المنتديات. وتمثل هذه التصنيفات تقديرات تحليلية تستند إلى النشاط المرصود والأثر المحتمل، وليست احتمالات إحصائية مقيسة. كما أنها تستند إلى ادعاءات منشورة على مواقع تسريب البيانات ومنشورات في المنتديات لم تُتحقق صحتها بصورة مستقلة.

1. النطاق وحدود ما تكشفه الأرقام

يغطي هذا التقرير الادعاءات التي تذكر منشآت يقع مقرها في مصر والمنشورة على مواقع تسريب البيانات بين 1 يناير و30 سبتمبر 2026. أما الادعاءات المؤرخة في أكتوبر فنوردها منفصلة بوصفها تطورًا لاحقًا. جمعنا بين متتبعين عامين هما ransomware.live وRansomLook، واعتمدنا الأول مصدرًا رئيسيًا للتواريخ، ونسبنا كل ادعاء بحسب مقر الجهة المستهدفة ونطاقها لا بحسب وسم الدولة في المتتبع. واستبعدنا الشركات غير المصرية التي لها مكاتب في مصر، والإدخالات ذات الأسماء المحجوبة أو التي يتعذر التحقق منها، وتكرارات الضحية نفسها خلال 14 يومًا.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• تُظهر مواقع تسريب البيانات، وهي المواقع التي تنشر عليها المجموعات البيانات المسروقة، الضحايا الذين لم يدفعوا أو لم يتفاوضوا سرًا. وقد يكون العدد الفعلي للحوادث أكبر.
• ادعاء المجموعة ليس دليلًا على الاختراق. نستخدم كلمة «ادعاء» لإدراج لم يُتحقق منه، ولا نستخدم «حادثة» إلا لواقعة ثابتة. ولم نتحقق باستقلالية من أي ادعاء، وقد يؤرخ المتتبعان الإدراج نفسه بفارق أيام أو أسابيع.
• تندرج كل عبارة في أحد ثلاثة أنواع: إدراج مرصود (ادعاء موجود في متتبع)، أو نتيجة تدعمها جهة خارجية (مسماة في النص)، أو تقدير تحليلي منا (مُشار إليه بذلك). وتعكس المقارنات بين الدول مجموعتنا وحدها، ولا ننشر قائمة بالضحايا ادعاءً بادعاء لأن الادعاءات لم يُتحقق منها.
• تأتي إدراجات المنتديات وتيليغرام من أداة رصد تجارية واحدة تعرض معاينة فقط لكل منشور. ولذلك نصفها بحسب الفئة ولا نذكر اسم أي ضحية. ولا نذكر جنسية أي جهة أو راعيها إلا إذا ذكرتها تقارير عامة.

المصطلحات المستخدمة. برمجيات الفدية كخدمة (RaaS): نموذج يوفّر فيه مطوّرو برمجيات الفدية الأدوات والبنية التحتية لشركاء ينفذون الهجمات، مقابل تقاسم العائدات. الكشف والاستجابة عند نقطة النهاية (EDR): تقنيات أمنية تراقب الأنشطة على الأجهزة والخوادم. وسيط الوصول الأولي (IAB): جهة تبيع وصولًا جاهزًا إلى شبكة مخترقة. PDPC: مركز حماية البيانات الشخصية في مصر.

2. التسلسل الزمني: ذروة في الربيع واستمرار النشاط خلال الربع الثالث

يبلغ متوسط التدفق أربعة ادعاءات في الشهر. ويُعد أبريل أنشط الأشهر بثمانية ادعاءات، يليه فبراير ومايو بستة لكل منهما، ثم سبتمبر بخمسة. وتأتي ذروة الربع الثاني من أربع مجموعات معًا: Payload وThe Gentlemen في أبريل، وLamashtu وNightSpire في مايو ويونيو. والانخفاض من 17 إلى 10 عودة إلى النمط المعتاد لا تعافٍ، لأن Krybit وحدها صنعت ستة من ادعاءات الربع الثالث العشرة. ويختلف تاريخ خمسة ادعاءات بين المتتبعين بفارق يصل إلى أسبوعين (موزّع سيارات وفندق ومجموعة هندسية ومنتج كيماويات ومطوّر عقاري)، ولا يُنقل أي منها بين ربعين.

أعمدة السنوات هذه أعداد خام لوسم مصر في المتتبع الرئيسي، وليست الادعاءات الـ36 المنقّاة. ويضم عمود 2026 ثمانية وعشرين إدخالًا حتى 30 سبتمبر وستة في أكتوبر، وهو يتجاوز بالفعل مجموع 2025 كله. ولأن السنوات الأقدم جُمعت بصورة أضعف، نقرأ الأعمدة بوصفها إشارة صعود لا معدل نمو مقيسًا.

3. لمحة عن مجموعات برمجيات الفدية

نُسبت الادعاءات الـ36 إلى 13 مجموعة. تتصدر The Gentlemen بثمانية ادعاءات (22%)، وصنعت Krybit ستة، وPayload خمسة، وتمثل هذه المجموعات الثلاث 19 ادعاءً، أي 53% من الإجمالي. وصنعت NightSpire أربعة، وLockBit 5.0 ثلاثة، وDragonForce وLamashtu اثنين لكل منهما، وصنعت ست مجموعات ادعاءً واحدًا لكل منها. وخلافًا للمغرب العربي حيث قادت دفعة واحدة في يوم واحد الربع الثاني، يتوزع السجل المصري على مجموعات كثيرة ذات نشاط متكرر، وهذا يشير إلى سوق تعود إليها الجهات المنفذة.

الادعاءات في الفترة من 1 يناير إلى 30 سبتمبر 2026. اقرأ تقرير المغرب العربي · اقرأ تقرير الخليج

4. الجهات المستهدفة

تصنيفنا للادعاءات الـ36 باستخدام وسوم القطاعات في المتتبعين مع تصحيح ما تبيّن لنا أنه خاطئ. يُحتسب كل ادعاء مرة واحدة.

يتصدر التصنيع والأغذية بنسبة 22%، تليه العقارات والإنشاءات والهندسة بنسبة 19%. ومع التجزئة والتوزيع والضيافة، يشكّل الاقتصاد التجاري معظم القائمة. وتجذب الخدمات المالية 3 ادعاءات (8%)، جميعها ضد جهات تمويل غير مصرفية وشركات تمويل أصغر، ولا تحظى التقنية إلا بادعاء واحد. وهذا يختلف عن صورة «Positive Technologies» لعام 2025 التي تشمل كل أنواع الهجمات وتضع القطاع المالي أولًا بنسبة 19% والتقنية ثانيًا بنسبة 14% والقطاع العام والاتصالات بنسبة 10% لكل منهما. ولا يتناقض المنظوران: فحالات بيع البيانات والاختراق تميل إلى القطاع المالي والتقنية، بينما تميل مواقع تسريب برمجيات الفدية إلى شركات لديها عمليات يمكن تعطيلها.

في مصر غالبًا ما تكون الجهة المدرجة مجموعة عائلية أو مدرجة في البورصة لديها مصانع ومواقع وموظفون: نوع الأعمال الذي لا يحتمل التوقف.

5. دراسات حالة

تُظهر الأعداد شكل المشكلة، وتُظهر الحالات الفردية كيف تعمل. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. The Gentlemen: ثماني جهات مصرية في سبعة أشهر

الادعاءات. أدرجت The Gentlemen ثماني جهات مصرية بين 13 فبراير و7 سبتمبر. وجاء اثنان منها في اليوم نفسه، 13 فبراير: شركة للزجاج وشركة طيران. أما الباقي فمكتب استشارات هندسية ومجموعة هندسة وإنشاءات معدنية ومنتج للكيماويات ومجموعة أجهزة منزلية ومطوّر عقاري وشركة قابضة للتجارة والتجزئة تستورد الإطارات وعلامات الأزياء. ويقع خارج إحصائنا مكتب استشارات هندسية سعودي له مكاتب في مصر أُدرج في 31 أغسطس.
القراءة. الإيقاع نحو ادعاء واحد كل أربعة إلى خمسة أسابيع من دون فجوة طويلة، وهو ما يبدو عملية منتظمة للجهات المنفذة تستهدف مجموعات متوسطة وكبيرة راسخة لها مواقع متعددة. وغالبًا ما تملك مثل هذه المجموعات شركات تابعة وأنظمة تقنية مشتركة وموردين يوسّعون أثر اختراق واحد. وهذا استنتاج منا لا نتيجة مثبتة. ولم نجد بيانًا علنيًا من أي من الجهات الثماني.
مستوى الثقة. مرتفعة في وجود الإدراجات. متوسطة في النمط. منخفضة في ما جرى سحبه من بيانات.

الحالة 2. Krybit: ستة ادعاءات مصرية يخفيها مرشح الدولة

الادعاءات. أدرجت Krybit موزّع وقود وطنيًا في 23 يوليو، ومصدّرًا للأغذية المجمّدة في 26 أغسطس، وثلاث جهات أخرى في 1 سبتمبر (شركة قابضة حكومية للإنشاءات ومصنع أعلاف ومستشفى خاص)، وشركة المطارات المملوكة للدولة في 12 سبتمبر. وفي المتتبع الرئيسي يحمل موزّع الوقود وحده وسم مصر، بينما وُسمت الجهات الأخرى بالولايات المتحدة أو السعودية أو الهند أو كينيا أو من دون دولة، في حين يصف المتتبع الثاني كلًا منها بأنها مصرية. وفي 4 أكتوبر أدرجت Krybit أيضًا مركزًا مصريًا لعلاج الخصوبة نطاقه هو نفسه نطاق ادعاء لـ Gunra سُجّل في أبريل 2025.
القراءة. تنشر Krybit في دفعات كبيرة تمتد على دول كثيرة: ففي 1 سبتمبر أدرجت 14 جهة حول العالم، ثلاث منها مصرية. وأي متتبع يضع الوسم بحسب دولة الأغلبية في الدفعة أو بحسب موقع الاستضافة سيخطئ في بعضها. والدرس عملي للمدافعين: طابق بالاسم والنطاق لا بوسم الدولة. ويبين إدراج علامة صحية واحدة في 2025 ثم في 2026 أن الظهور مرة واحدة لا ينهي التعرض.
مستوى الثقة. مرتفعة في وجود الإدراجات وأنها مصرية. منخفضة في البيانات وفي كون نطاق أكتوبر يخص الجهة نفسها في 2025.

الحالة 3. النفط والغاز: ثلاث شركات وثلاث مجموعات في 15 أسبوعًا

الادعاءات. أدرجت Payload في 8 أبريل شركة مصرية لإنتاج الغاز والمكثفات تعمل في دلتا النيل وشمال سيناء. وأدرجت APT73 في 27 أبريل شركة تكرير مملوكة للدولة في الإسكندرية، وهو اليوم نفسه الذي أدرجت فيه دفعة من أربع مؤسسات مغربية (انظر تقرير المغرب العربي). وأدرجت Krybit موزّع الوقود الوطني في 23 يوليو. ويسجّل أحد المتتبعين شركة الغاز تحت ليبيا، ونحن نحتسبها مصرية وقد صحّحنا تقرير المغرب العربي وفق ذلك.
القراءة. الطاقة شريحة صغيرة من القائمة (8%)، لكنها القطاع الوحيد الذي ظهرت فيه ثلاث مجموعات منفصلة خلال أشهر قليلة، واثنتان من الشركات الثلاث مملوكتان للدولة. وتحتفظ الشركات الحكومية ببيانات تشغيلية عن الحقول والمستودعات وعقود التوريد تهم جهات أخرى غير مشتري الابتزاز. ولا تتوفر لدينا أدلة على ما سُرق، ولم نجد ردًّا علنيًا من أي من الثلاث.
مستوى الثقة. مرتفعة في وجود الإدراجات. منخفضة في البيانات والدافع وأي صلة بينها.

الحالة 4. NightSpire: التمويل الاستهلاكي والضيافة مرة أخرى

الادعاءات. في 24 مايو أدرجت NightSpire شركة تمويل استهلاكي والامتياز المصري لسلسلة بيتزا دولية، وفي 26 مايو شركة تمويل أصغر، وفي 15 يونيو فندقًا منتجعيًا من فئة الخمس نجوم على ساحل البحر الأحمر. وفي 2025 أدرجت المجموعة نفسها مستشفى مصريًا (مارس) وشركة استثمار (أبريل) وجمعية تمويل أصغر (يونيو) وإدراج رابع في نوفمبر. وتفيد «Positive Technologies» بادعاء يستهدف جمعية التمويل الأصغر في مايو 2025 مع عرض 8 جيجابايت من البيانات للبيع، بينما يؤرخ متتبعنا الثاني الإدراج في 7 يونيو.
القراءة. هذه ثمانية ادعاءات مصرية في عامين، وموضوعها المتكرر التمويل والعلامات الاستهلاكية. وتحتفظ جهات التمويل غير المصرفية وشركات التمويل الأصغر ببيانات هوية المقترضين ودخلهم، وغالبًا ما تكون ميزانيات الأمن لديها أخف من البنوك. وهذه قراءتنا، وأحجام البيانات المزعومة غير معلنة في معظمها.
مستوى الثقة. مرتفعة في وجود الإدراجات. متوسطة في نمط القطاع. منخفضة في الأحجام وفي تواريخ 2025.

6. مجموعات التهديد النشطة: الحضور والدوافع والتكتيكات

اخترنا ثلاث مجموعات لعرضها بالتفصيل، بناءً على أهميتها للمدافعين لا على الحجم وحده، وتُنسب إليها 19 من الادعاءات الـ36. وتستند المعلومات التقنية العامة إلى تقارير عن حوادث وعمليات نُفذت على مستوى العالم، وليست أدلة على أن الأساليب نفسها استُخدمت ضد الجهات المستهدفة في مصر. لذلك ينبغي فهمها بوصفها أساليب منسوبة إلى المجموعات عمومًا، لا إثباتًا لما حدث في كل حالة محلية. تشير معرّفات التقنيات إلى إطار MITRE ATT&CK.

تُعرض خمس جهات لديها تقارير تقنية عامة كافية، لكل منها ادعاءان مصريان على الأقل. ولا يوجد عمود لـ Krybit لأن التقارير التقنية العامة عنها شحيحة. العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث في مصر. وتعني الخلية الفارغة أن التقنية غير موثقة في المصادر التي راجعناها، لا أن المجموعة لا تستخدمها.

ملفات مجموعات التهديد

مجموعات أخرى تستحق المعرفة

• NightSpire (4) وLockBit 5.0 (3) وDragonForce (2) وLamashtu (2). انظر القسمين 3 و5. أدرجت LockBit 5.0 وزارة زراعة في 23 فبراير وموزّع سيارات في أبريل وفندقًا في منتجع العلمين على الساحل الشمالي في مايو. وأدرجت DragonForce شركة أدوية في 4 أبريل وكازينو في شرم الشيخ في 16 يوليو. وأدرجت Lamashtu مجموعة أدوية ومستحضرات تجميل في 4 مايو وشركة أغذية في 17 يونيو.
• Tengu وThe Green Blood Group وCrypto24 وPear وAPT73 وOrova (واحد لكل منها). وكالة سفر في 27 يناير (Tengu)، ومصنع مواد بناء في منطقة قناة السويس في 4 فبراير (The Green Blood Group)، وشركة هندسة في 5 مارس (Crypto24)، وشركة خدمات تقنية في 6 مارس (Pear)، وشركة تكرير نفط مملوكة للدولة في 27 أبريل (APT73)، وشركة رعاية صحية في القاهرة في 4 أغسطس (Orova). وThe Green Blood Group وOrova وPear علامات أحدث وتقاريرها العامة محدودة.
• مجموعات سابقة في سجل 2025. تذكر «Positive Technologies» مجموعة BlackShrantac التي ادعت سرقة 6 تيرابايت من شركة تأجير تمويلي تابعة للبنك الأهلي المصري، وDragonForce التي أدرجت مزوّد خدمات تقنية ومطوّر برمجيات وطنيًا في ديسمبر 2025، وFunkSec التي ادعت سرقة بيانات من جهة نقل بحري ولوجستيات، وGunra التي أدرجت مزوّدًا طبيًا.

7. ما وراء مواقع تسريب البيانات: المنتديات وتيليغرام

تنشر مجموعات برمجيات الفدية بيانات ضحاياها عادةً على مواقع تسريب البيانات الخاصة بها. أما الجهات الأخرى، فتستخدم المنتديات الإجرامية وتيليغرام: بائعو البيانات ووسطاء الوصول والهاكتيفيست والباحثون عن الشهرة. وتعرض أداة رصد تجارية واحدة 73 منشورًا موسومًا بمصر، وتُظهر المعاينة 12 منها مؤرخة بين 15 سبتمبر و16 أكتوبر، ولذلك فما يلي عينة لا إحصاء.

• التعليم والمالية في صدارة العينة المرئية. تذكر أربعة من الاثني عشر جامعات أو كليات، واثنان الهيئة المنظمة للقطاع المالي غير المصرفي (مرة على منتدى في 28 سبتمبر ومرة على تيليغرام في اليوم التالي من اسمين)، واثنان شركات أو فعاليات تقنية، وواحد شركة عقارية. وثلاثة غير مصنفة: نطاق لشركة وعلامة سوق إلكترونية وعنوان يذكر 60 مليون مصري.
• تتكرر بعض الأسماء. تمثل الأسماء الخمسة الأنشط في هذا العرض وفق الأداة 20 من أصل 73 منشورًا (27%): INT3X وCrowStealer بخمسة لكل منهما، وRevesky بأربعة، وBIGBROTHER وKeymous بثلاثة لكل منهما. ويظهر BIGBROTHER وKeymous أيضًا في بياناتنا عن المغرب العربي، فالأسماء نفسها تعمل عبر شمال أفريقيا.
• عدة منتديات وسوق واحدة. تذكر الأداة مصادر على pwnforums (11 منشورًا) وbreachforums (8) وثلاثة نطاقات لـ darkforums (8 و7 و6). وإعادة النشر عبر المنتديات شائعة، فالمنشورات الـ73 لا تعني 73 اختراقًا.
• متسق مع الصورة الأوسع. وجدت «Positive Technologies» أن 39% من إدراجات الويب المظلم التي راجعتها عن مصر في 2025 كانت مبيعات و31% توزيعًا مجانيًا، وأن قواعد البيانات شكّلت 59% من المبيعات والوصول إلى الشبكات 29%، وأن التجزئة (14%) والعلوم والتعليم (12%) كانتا الأكثر ذكرًا. وتتجه عينتنا الغنية بالتعليم في الاتجاه نفسه.

وكما في غيرها، قد تأتي البيانات التي ينشرها المهاجمون من تسريبات أقدم أو من عدة مصادر، وعلى الجهات المتضررة تقييمها قبل التصرف. مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في أن أيًّا منها يرتبط بحادثة برمجيات فدية: منخفضة.

8. مستجدات خارج نطاق الفترة المشمولة: أكتوبر 2026

بين 4 و15 أكتوبر يعرض المتتبعان ستة ادعاءات مصرية أخرى. أدرجت Umbra، وهي مجموعة رُصدت أول مرة في 6 أكتوبر، جامعة تكنولوجية في بني سويف في 6 أو 7 أكتوبر (900 جيجابايت مزعومة)، وشركة خدمات تقنية وبرمجيات في القاهرة في 7 أكتوبر (6 تيرابايت)، وكلية الفنون والموسيقى والإعلام في جامعة حكومية بالقاهرة في 8 أكتوبر (163 جيجابايت)، وجامعة تكنولوجية في حلوان في 10 أكتوبر (481 جيجابايت). وأدرجت Krybit مركز الخصوبة في 4 أكتوبر (الحالة 2)، وأدرجت مجموعة تُدعى N0n أكاديمية لتدريب الحاسوب في 15 أكتوبر. واستبعدنا إدخالين آخرين: إدراجًا لـ LockBit 5.0 في 15 أكتوبر لنطاق ينتهي بـ .com.eg، وإدراجًا لـ NightSpire في 8 أكتوبر لنطاق لم نتمكن من ربطه بشركة مصرية. والأحجام المذكورة هي ما تدعيه المجموعات نفسها ولم يُتحقق منها، ولا يتوفر لدينا تأكيد من الجامعات أو الشركة بسرقة بيانات فعلًا. وتجعل إدراجات Umbra الأربعة في أسبوع التعليم محور أكتوبر الأول الجدير بالمتابعة.

9. أساليب الوصول الأولي

تُظهر مواقع تسريب البيانات الضحايا لا عمليات الاختراق، ولذلك يستند هذا القسم إلى تقارير عامة من شركات متخصصة وإلى دراسة «Positive Technologies» لعام 2025 وإلى عناوين إدراجات المنتديات.

• البرمجيات الخبيثة والتصيد. تفيد «Positive Technologies» بأن البرمجيات الخبيثة (45%) والهندسة الاجتماعية (26%) كانتا الناقلين الرئيسيين في الهجمات الناجحة على المؤسسات المصرية في 2025، وأن برمجيات الفدية (33%) وبرمجيات التجسس (25%) أبرز أنواع البرمجيات الخبيثة. وتذكر حملات تصيد لـ MuddyWater وUpCrypter أصابت شركات تقنية وصناعية.
• حسابات شرعية وخدمات وصول عن بُعد مكشوفة. يصف المتخصصون عمل شركاء The Gentlemen وDragonForce عبر حسابات الشبكات الخاصة الافتراضية والوصول عن بُعد، غالبًا ببيانات اعتماد اشتُريت أو سُرقت سابقًا، قبل تعطيل أدوات الحماية الأمنية. والمجموعات المتوسطة في قائمتنا هي الهدف المعتاد لهذا المسار.
• الوصول المشترى. وجدت «Positive Technologies» أن الوصول إلى الشبكات المؤسسية شكّل 29% من إدراجات البيع المصرية على الويب المظلم، ومنها الشبكة الداخلية لمزوّد اتصالات عُرضت بـ 12 ألف دولار. ويمكن لشريك في برمجيات الفدية شراء وصول كهذا وتخطي مرحلة الاختراق.
• سلسلة التوريد وهيكل المجموعات. تقول الدراسة نفسها إن مصر شديدة التعرض لهجمات سلسلة التوريد، وتلاحظ انتقال المهاجمين من البنوك المحصّنة إلى الشركات التابعة والمقاولين. وتتفق قائمتنا مع ذلك: شركات التأجير والتمويل الاستهلاكي والتمويل الأصغر وشركة قابضة تجارية وشركة المطارات الحكومية، يقع كل منها داخل مجموعة أو شبكة عامة أكبر.

10. الإطار التنظيمي

نعتمد على ملخصات قانونية عامة لا على النصوص الرسمية. يضع قانون حماية البيانات الشخصية رقم 151 لسنة 2020 واجبات على المتحكمين والمعالجين. أما لائحته التنفيذية، وهي قرار وزير الاتصالات رقم 816 لسنة 2025، فصدرت في 1 نوفمبر 2025. وتفيد الملخصات بأنها تشترط إخطار مركز حماية البيانات الشخصية خلال 72 ساعة من العلم بالانتهاك مع وصف الانتهاك وعدد السجلات المقدّر وما اتُّخذ من إجراءات، وإخطار أصحاب البيانات خلال ثلاثة أيام من إخطار المركز. كما تستحدث متطلبات ترخيص وتعيين مسؤول لحماية البيانات. وتشير الملخصات إلى مهلة سماح مدتها عام تنتهي في 31 أكتوبر 2026، ويُتوقع بعدها أن يفرض المركز التطبيق الكامل، ويحسن التحقق من الوضع الحالي مع مستشار قانوني. وانتهاء مهلة السماح ليس التزامًا جديدًا بالإخطار: فمهلتا الـ72 ساعة والأيام الثلاثة مصدرهما اللائحة نفسها، ويجدر التحقق مع مستشار قانوني من الجهات التي تشملها. ويضيف قانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018 وقانون تنظيم الاتصالات رقم 10 لسنة 2003 الذي يعمل بموجبه الجهاز القومي لتنظيم الاتصالات وفريق الاستجابة EG-CERT وقانون التكنولوجيا المالية لعام 2022 واجبات قطاعية. وتشير «Positive Technologies» إلى أن مصر بلغت الفئة العليا في المؤشر العالمي للأمن السيبراني للاتحاد الدولي للاتصالات في 2024، وتغطي الاستراتيجية الوطنية للأمن السيبراني الفترة 2023–2027. ويُذكر أن مصر تتبع سياسة عدم دفع الفدية بوصفها عضوًا في مبادرة مواجهة برمجيات الفدية.

11. التوقعات للربع الرابع من عام 2026 والربع الأول من عام 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات الواردة أعلاه.

1. يبقى تدفق مواقع التسريب بين 8 و18 ادعاءً في الربع. سجّل الرقم 9 و17 و10، وظهرت ستة ادعاءات في الأيام الخمسة عشر الأولى من أكتوبر. ونتوقع أن يبلغ الربع الرابع مستوى الربع الثالث أو أعلى.
2. التعليم قطاع يستحق المتابعة. تشير أربعة عناصر جامعية أو كلياتية في عينة من 12 منشورًا في المنتديات وإدراجات Umbra الأربعة في أكتوبر سبب لفحص تعرّض الجامعات، لا دليل على حملة مستمرة. وتجعل سجلات الطلاب وبيانات البحث وحسابات العاملين منها أهدافًا ذات قيمة.
3. تواصل The Gentlemen وKrybit نشاطهما. أدرجت The Gentlemen مجموعة مصرية جديدة كل خمسة أسابيع تقريبًا. وتنشر Krybit في دفعات وقد تضيف أسماء مرتبطة بالدولة. ومن المرجح أن تظهر كلتاهما تحت وسوم دولة خاطئة.
4. تبقى الطاقة والنقل المملوكان للدولة معرّضين. أُدرجت ثلاث شركات نفط وغاز وشركة مطارات ووزارة زراعة في 2026. وتحتفظ الجهات المشغّلة للحقول والمستودعات والمطارات ببيانات وأنظمة يترتب على تعطلها آثار عامة.
5. التطبيق الفعلي لحماية البيانات يرفع كلفة الادعاء. اعتبارًا من 1 نوفمبر قد يبدأ إدراج يذكر بيانات شخصية مهلة الـ72 ساعة. ونتوقع أسئلة على مستوى مجلس الإدارة عمّن يقرر ومن يُخطر ومن يتحدث علنًا.

12. الإجراءات ذات الأولوية لهذا الربع

1. ابدأ بحدود شبكتك. أحصِ كل الشبكات الخاصة الافتراضية وجدران الحماية وبوابات الوصول عن بُعد والبريد عبر الويب المواجهة للإنترنت، وحدّث الأنظمة المكشوفة، واشترط المصادقة متعددة العوامل، وراجع من يستطيع الوصول إلى واجهات الإدارة.
2. تحقّق مما إذا كانت بيانات اعتماد مؤسستك معروضة للبيع. ابحث في سجلات برمجيات سرقة المعلومات وقوائم البيانات المجمعة وإعلانات وسطاء الوصول عن حسابات الموظفين والمورّدين، وغيّر كلمات مرور الحسابات التي تظهر، وألغِ الجلسات النشطة، وتحقق من إعادة استخدام كلمات المرور.
3. ارسم خريطة مجموعتك لا شركة واحدة فقط. تقع كثير من الشركات المصرية المدرجة داخل مجموعة تتشارك الأنظمة التقنية والنطاق والموردين. اعزل الشركات التابعة، وقلّل الثقة المتبادلة بينها، واختبر استعادة شركة واحدة من دون إعادة ربط الأخريات.
4. الجامعات والجهات العامة: دقّق قبل أن يفعل منتدى ذلك نيابة عنك. اختبر كل تطبيق ويب عام، وأزل الواجهات الافتراضية والتجريبية، وراجع حسابات العاملين والطلاب، واحتفظ بنسخ احتياطية معزولة لبيانات الطلاب والبحث.
5. تحقّق من صحة البيانات المزعومة قبل اتخاذ القرار. إذا ظهر اسم مؤسستك مع عدد من السجلات، فتحقق من المصدر المحتمل للبيانات وعمرها ومدى تطابقها مع سجلاتك، ثم قرّر الإخطار مع مسؤول حماية البيانات والمستشار القانوني. ولا تفتح الملفات المسرّبة على محطة عمل اعتيادية.
6. تدرّب على مهلة الـ72 ساعة قبل 1 نوفمبر. حدّد من يؤكد الانتهاك، ومن يصيغ الإخطار إلى المركز، ومن يبلغ الأفراد خلال ثلاثة أيام منه، ومن يطلع مجلس الإدارة. ونفّذ تمرينًا نظريًا واحدًا مبنيًا على إدراج في موقع تسريب.
7. راقب بالاسم والنطاق لا بوسم الدولة. تابع مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بحثًا عن شركتك وشركاتها التابعة وعلاماتها وموردّيها، بالإنجليزية والعربية، حتى لا يفلت إدراج موسوم خطأً.

المصادر

• Ransomware.live, country victim records
• RansomLook, group and post records
• Positive Technologies, Shadows of the pyramids: Egypt's cyberthreat landscape in 2025
• Al Tamimi & Co., Egypt issues executive regulations of the Personal Data Protection Law
• Digital Policy Alert, Decision No. 816 of 2025 entered into force
• Wikipedia, Nile Air (headquarters and ownership)
• ClairSec_، تقرير برمجيات الفدية في المغرب العربي

خلاصة المنتديات التي عاينّاها خدمة تجارية ولذلك لا نرفق رابطها.