برمجيات الفدية وادعاءات سرقة البيانات في فرنسا خلال الأرباع الثلاثة الأولى من عام 2026

الخلاصة

تستعرض الخلاصة خمس نتائج تهم مجالس الإدارة ومسؤولي أمن المعلومات في فرنسا، وكذلك المؤسسات التي تعمل في فرنسا والخليج.

1. في متابعتنا، تُظهر فرنسا أكثر من ضعف ادعاءات الأسواق الخليجية الست مجتمعة. رصدنا 185 ادعاءً مرتبطًا بفرنسا في الأشهر التسعة الأولى من 2026، مقابل 83 في الأسواق الخليجية الست، بواقع 66 و57 و62 في الأرباع الثلاثة. هذه أحجام مرصودة في مجموعتنا، لا قياس شامل أو قابل للمقارنة المباشرة لحجم الحوادث الفعلي. أما أعداد المتتبع الخام السنوية، قبل إزالة التكرار وعلى سجل غير متكافئ في السنوات الأقدم، فهي 110 لعام 2023 و130 لعام 2024 و187 لعام 2025 و200 حتى الآن في 2026، ولذلك لا تثبت اتجاهًا سنويًا موثوقًا.
2. مجموعتان مسؤولتان عن نحو 41% من الادعاءات المرصودة. قدّمت Qilin 42 ادعاءً (23%) وThe Gentlemen 34 (18%). وتفيد ANSSI، الوكالة الوطنية الفرنسية للأمن السيبراني، بأن Qilin هي السلالة الأكثر تمثيلًا في حوادث الفدية التي عالجتها في 2025 بنسبة 21%، ويشير المصدران إلى حضور بارز لـ Qilin، مع اختلاف الفترة الزمنية ومقياس الرصد ومنهجية العدّ. وخلفهما 40 مجموعة، تظهر 23 منها في فرنسا فقط.
3. تشمل الجهات المستهدفة شركات صغيرة ومكاتب مهنية وجهات محلية. تتصدر الخدمات المهنية بـ 38 ادعاءً، منها تسعة مكاتب محاسبة ومحاماة من تسع مجموعات مختلفة، وتظهر 12 بلدية واتحاد بلديات. ولا تمثل المجموعات المعروفة سوى جزء من القائمة، ويستند عدد من ادعاءاتها إلى أدلة ضعيفة، ومنها ادعاءات مجموعات تسرق البيانات وتسرّبها.
4. المجموعات نفسها تعمل في فرنسا والخليج. ادّعت 19 مجموعة من أصل 42 استهداف منشآت في دول الخليج خلال الفترة نفسها، ونُسب إليها 143 ادعاءً من أصل 185 ادعاءً مرتبطًا بفرنسا (77%). ولدى Krybit ستة ادعاءات مرتبطة بفرنسا وستة في الخليج: خمسة في الإمارات وواحد في السعودية. ويدعم هذا التداخل رصدًا مشتركًا للتهديدات في المنطقتين، لكن تطابق أسماء المجموعات لا يثبت اشتراك الشركاء أو البنية التحتية أو الأساليب، لذا ينبغي أن تتبع الضوابط التقنية كل حملة مرصودة.
5. منشورات المنتديات متشتتة، وتشمل ادعاءات تتعلق بجهات من القطاع العام وخدمات موجهة للمستهلكين. يحصي أحد المتتبعات 1,369 منشورًا في المنتديات يستهدف فرنسا عبر تاريخه، وقدّمت الأسماء الخمسة الأنشط 18% منها. وفي الأيام العشرة الأولى من أكتوبر تعرض المنشورات التي التقطناها عشرات الآلاف من السجلات في كل مرة. وتحذّر ANSSI من أن البيانات المدّعاة قد تأتي من تسريبات قديمة، فكل إدراج مهمة تحقق.

نقيّم مستوى الخطر على الشركات الفرنسية الصغيرة والمتوسطة والجهات المحلية بأنه مرتفع ومستقر. أما على مستشاري المحاسبة والقانون والرعاية الصحية والتعليم فنقيّمه بأنه مرتفع نسبيًا، لأنها تحتفظ بملفات جهات أخرى. وهذه تقييماتنا، المستندة إلى ادعاءات منشورة على مواقع التسريب لم نتحقق من صحتها بصورة مستقلة.

1. النطاق، وما تحتمله الأرقام

يغطي هذا التقرير الادعاءات التي تسمّي منشآت فرنسية والمنشورة على مواقع التسريب بين 1 يناير و30 سبتمبر 2026. وتُذكر الادعاءات المؤرخة في أكتوبر بصورة منفصلة بوصفها تطورًا لاحقًا. ويعرض المتتبع 200 إدخال من هذا النوع. وبعد استبعاد التكرارات والمنشآت التي يقع مقرها في مكان آخر يبقى 185. ونحتسب النطاق أو اسم المنشأة نفسه المدرج مجددًا خلال 14 يومًا، من المجموعة نفسها أو من أخرى، مرة واحدة. وقد تدمج هذه القاعدة حوادث منفصلة فعلًا لدى المنشأة نفسها، لذا يُحتسب الإدراج المتكرر ادعاءً واحدًا لا دليلًا على حادثة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، استنادًا إلى نطاقها وملفها العام، فلا تُحتسب الشركة متعددة الجنسيات في فرنسا إلا إذا كان مقرها أو عملياتها الأساسية فيها. وقد تكون بعض أوصاف الشركات في المتتبع مولّدة آليًا، ولم نتحقق بصورة مستقلة من دقتها. وتختلف الرؤية من دولة إلى أخرى، فالأعداد ليست إجماليات كاملة للحوادث.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع التسريب، وهي المواقع التي تنشر عليها المجموعات البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر، وأعداد الحوادث لدى ANSSI مقياس مختلف أيضًا.
• ادعاء المجموعة ليس دليلًا على الاختراق. نستخدم «ادعاء» للإدراج غير الموثق و«حادثة» للحدث المثبت فقط. لم نتحقق بصورة مستقلة من صحة أي مجموعة من البيانات المنشورة، وتنشر عدة علامات في هذا التقرير ادعاءات بأدلة ضعيفة أو معدومة.
• إسناد الضحية إلى دولة بعينها ليس دقيقًا دائمًا، وبعض الشركات تعمل في أنحاء أوروبا. لذا ينبغي التعامل مع أرقامنا بوصفها أعدادًا للحالات التي رصدناها، لا تقديرًا شاملًا لجميع الحوادث.

مصطلحات. RaaS (برمجيات الفدية كخدمة): نموذج يتيح لمطوري برمجيات الفدية توفير أدواتهم وبنيتهم التحتية لشركاء تابعين ينفذون الهجمات مقابل تقاسم العائد. EDR (أنظمة الكشف والاستجابة عند نقطة النهاية): تقنيات أمنية ترصد الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والاستجابة لها. وسيط الوصول الأولي: جهة تبيع وصولًا جاهزًا إلى شبكة مخترقة أو إلى حسابات تتيح الدخول إليها. البلدية (commune): أدنى مستويات الحكم المحلي الفرنسي.

2. الخط الزمني: تدفق مستمر وذروة في مارس

يُظهر الخط الزمني تدفقًا مستمرًا بمتوسط يقارب 20 ادعاءً شهريًا، مع ذروة بلغت 34 ادعاءً في مارس وارتفاع آخر إلى 25 في أغسطس. ويدعم مارس أربعة ادعاءات ضد علامات كبيرة في 1 مارس من جهة واحدة لسرقة البيانات وأربعة ادعاءات من Qilin في 3 مارس، ويدعم أغسطس ثلاثة ادعاءات من Krybit في 7 أغسطس. وشهدت الأيام السبعة الأولى من أكتوبر ستة إدراجات إضافية استهدفت خمس منشآت، ما يشير إلى استمرار النشاط.

رؤية ANSSI نفسها أكثر ثباتًا. إذ تقول «نظرة عامة على التهديد السيبراني 2025» التي نشرتها في مارس 2026 إن 128 اختراقًا ببرمجيات الفدية أُبلغت بها الوكالة في 2025، بانخفاض طفيف عن 141 في 2024، بينما ارتفعت حوادث تسريب البيانات إلى 196 من 130. وتقيس السلسلتان أمرين مختلفين: فالوكالة تحصي الحوادث المبلَّغ بها، ومواقع التسريب تحصي الادعاءات العلنية. وتُظهران اتجاهين متزامنين: انخفاض طفيف في اختراقات الفدية المبلَّغ بها إلى ANSSI، وارتفاع في حوادث تسريب البيانات.

3. المجموعات في لمحة

قدّمت 42 مجموعة 185 ادعاءً. وقدّمت المجموعتان الأوليان 76 (41%)، والسبع التالية 45، وقدّمت 33 مجموعة 64 ادعاءً بينها، منها 22 بادعاء أو اثنين. ويتسم التوزيع بتركّز الادعاءات لدى عدد قليل من المجموعات، مقابل عدد كبير من المجموعات ذات النشاط المحدود. وتمثل المجموعتان الأوليان أربعة ادعاءات من كل عشرة، وهذه حصة من الادعاءات المرصودة لا من الاختراقات أو المؤشرات، ويتنوع بقية الميدان أكثر من أن تكفيه قائمة واحدة.

المجموعات الناشطة في فرنسا والخليج

ادّعت 19 مجموعة من أصل 42 استهداف منشآت في دول الخليج خلال الفترة نفسها، وقدّمت 143 من الادعاءات الفرنسية. ويعرض الجدول الاثنتي عشرة الأكثر ادعاءات فرنسية.

تستند الأرقام الخاصة بدول الخليج إلى تقاريرنا القُطرية الستة وتقريرنا الموجز عن المنطقة. اقرأ ملخص الخليج

4. من هو المستهدف

تصنيفنا للادعاءات الـ 185 باستخدام وسوم القطاعات في المتتبع، مع تجميع القطاع العام. يُحتسب كل ادعاء مرة واحدة.

تتصدر الخدمات المهنية القائمة بنسبة 21%. وتسعة منها مكاتب محاسبة ومحاماة، نُسب كل ادعاء منها إلى مجموعة مختلفة، ما يوحي بغياب حملة واحدة وبوجود شهية مستمرة تجاه شركات تحتفظ بملفات مالية لجهات أخرى. ويأخذ القطاع العام والتعليم 17، منها 12 بلدية واتحاد بلديات. وتشير بيانات ANSSI لعام 2025 إلى أن الشركات الصغيرة والمتوسطة شكّلت 48% من الجهات المتضررة من برمجيات الفدية التي عالجتها الوكالة، فيما بلغت حصة الجهات المحلية 11%. وتتوافق هذه الصورة عمومًا مع التوزيع الذي نرصده، مع اختلاف مصادر البيانات ومنهجيات العدّ. والمزيج الخليجي مختلف: موردو طاقة وطيران أكثر، وبلديات قليلة.

الضحية المعتادة ليست بالضرورة مؤسسة معروفة، بل قد تكون شركة صغيرة تعمل في القطاع نفسه إلى جانب مؤسسات أكبر شهرة.

5. ملفات الحالات

تُظهر الأعداد شكل المشكلة، وتُظهر الحالات الفردية كيف تعمل. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. Qilin، تدفق يومي مستمر (42 ادعاءً)

الادعاءات. من 7 يناير إلى 24 سبتمبر نشرت Qilin 42 منشأة فرنسية. وجاءت أربع منها في 3 مارس وحده. ويضم المزيج مكاتب محاماة واستشارات وفنادق ووكالة سفر ومصنّعًا صناعيًا أُدرج في 1 مارس وموزّع تقنية في 27 أبريل ونادٍ رياضي في 5 أغسطس وثلاث بلديات وعدة تعاونيات غذائية وزراعية.
القراءة. ويتسق تنوع القطاعات والأحجام والتواريخ مع علامة RaaS يختار شركاؤها التابعون أهدافهم بحسب الوصول لا الصناعة. وتسمّي ANSSI Qilin السلالة الأكثر تمثيلًا في فرنسا عام 2025 بنسبة 21%، فالنمط يسبق هذا العام. وفي 9 أكتوبر أفادت الصحافة بأن اليابان أكدت توقيف مواطن روسي عمره 28 عامًا يُتهم بأنه عضو رئيسي في Qilin. وقد أُوقف في أوساكا في مايو، وسُلّم إلى ألمانيا في 2 أكتوبر بحسب التقارير. وتربطه التقارير بهجمات على شركات ألمانية لا بضحايا فرنسيين. ومن المبكر قراءة أثر ذلك في النشاط الفرنسي: فقد استمرت ادعاءات Qilin بعد توقيفه في مايو، وآخر ادعاء مرتبط بفرنسا في بياناتنا مؤرخ في 24 سبتمبر.
الثقة. مرتفعة في الأعداد والتواريخ. منخفضة في كيفية اختيار الشركاء التابعين للأهداف.

الحالة 2. The Gentlemen، نشر على دفعات (34 ادعاءً)

الادعاءات. بدأت المجموعة في 20 يناير وقدّمت 34 ادعاءً، مع دفعات من ثلاثة في 18 يونيو وأربعة في 30 يونيو وثلاثة في 23 يوليو. وتشمل الضحايا تعاونية موزّعين مستقلين لأدوات البناء وشركة غسيل وتأجير مفروشات وجهة لتحصيل حقوق الأداء ولجنة مؤسسة ومزارع نبيذ وعيادة عيون. ووصل ادعاءان آخران في الأسبوع الأول من أكتوبر.
القراءة. قد يشير النشر على دفعات إلى أن المجموعة تنشر عدة إدراجات في وقت واحد، بدلًا من نشر كل إدراج فور انتهاء المفاوضات المرتبطة به. وتبدو أوصاف الشركات في هذه الإدراجات مستمدة من قواعد بيانات تجارية، وربما لهذا تذكر شركات لا تقول مواقعها الكثير. وفرنسا أكبر أسواقها في مجموعتي بياناتنا، بـ 34 ادعاءً هنا مقابل 16 في الخليج، فالقائمة الفرنسية هي الأوضح في إظهار وتيرتها.
الثقة. مرتفعة في الأعداد والتواريخ. منخفضة في سبب هذه الحصة الكبيرة لفرنسا.

الحالة 3. اثنتا عشرة جهة محلية، ثماني مجموعات

الادعاءات. أُدرجت اثنتا عشرة بلدية واتحاد بلديات بين يناير وسبتمبر: ثلاث من Qilin واثنتان من The Gentlemen واثنتان من Kairos وواحدة لكل من DragonForce وLynx وMedusaLocker وPayload وKrybit. وكانت دنكيرك بينها في 5 يناير، وتبعتها بلديات في الجنوب والشمال ومنطقة باريس. وأُضيف إليها ادعاء ضد شبكة مدارس في مايو وادعاء ضد وزارة في 1 مارس.
القراءة. قدّمت ثماني مجموعات مختلفة الادعاءات الاثني عشر، فهذه ليست حملة واحدة. وتحتفظ البلديات بسجلات الحالة المدنية وبيانات وجبات المدارس والرواتب، وكثيرًا ما تدير تقنية المعلومات عبر مزوّدين صغار أو نقابات مشتركة، فقد يؤدي اختراق مزوّد واحد ضعيف الحماية إلى تعريض عدة بلديات للخطر. وهذه فرضية لا نتيجة. وتقول ANSSI إن الجهات الإقليمية شكّلت 11% من الجهات المتضررة من برمجيات الفدية التي عالجتها الوكالة في 2025، بانخفاض طفيف عن العام السابق.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في السبب.

الحالة 4. علامات سرقة البيانات والأسماء الكبيرة

الادعاءات. تضم القائمة بعض الأسماء الفرنسية المعروفة ضمن ادعاءات مجموعات تبيع البيانات المسروقة أو تسرّبها دون استخدام واضح لبرمجيات التشفير. أدرجت جهة تسمي نفسها Lapsus$ أربعة أسماء كبيرة دفعة واحدة في 1 مارس: وزارة وجامعة ودار أزياء ومجموعة بنية تحتية. وقدّمت Coinbase Cartel سبعة ادعاءات، منها مجموعة طاقة وبائع برمجيات وناشر برمجيات، ثلاثة منها خلال خمسة أيام في أبريل. وأدرجت Clop مزوّد مساحات مكتبية ونطاقًا واحدًا غير محدد ونقابة عمالية. وادّعت ShinyHunters شركة خدمات ملكية فكرية في 1 أغسطس، ويذكر المتتبع أن البيانات المعروضة تشمل أكثر من 21 مليون سجل مرتبط بـ Salesforce.
القراءة. تأتي هذه الادعاءات بأوصاف شركات مولّدة آليًا وقليل من الإثبات. وتلاحظ ANSSI أن البيانات المدّعاة قد تأتي من تسريبات أقدم أو من عدة مصادر، وأن حوادث التسريب ارتفعت إلى 196 في 2025 من 130. وبالنسبة لشركة مسمّاة فالخطوة الأولى هي تأهيل البيانات: مصدرها وعمرها ومطابقتها لسجلات الشركة.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في أن أيًّا منها يصف اختراقًا جديدًا.

الحالة 5. طبقة المستشارين: تسع شركات، تسع مجموعات

الادعاءات. أُدرجت تسعة مكاتب محاسبة ومحاماة: هيئة إقليمية للمحاسبين القانونيين (Bravox)، ومكتب محاماة (Kairos)، ومكتب محاماة آخر (Qilin)، وشركة محاسبة (Anubis)، ومكتب محاسبة (DragonForce)، وشركة تدقيق (LockBit 5.0)، وشركة محاسبة واستشارات (ZaWoo)، وعلامة استشارات محاسبية (Everest)، ومجموعة كبيرة لخدمات المحاسبة (Lamashtu، 30 سبتمبر). تسع شركات من تسع مجموعات مختلفة.
القراءة. لا تظهر حملة مشتركة. وما تُظهره القائمة أن مجموعات كثيرة غير مترابطة تتجه إلى نوع الهدف نفسه: شركة تغطي ملفاتها عشرات العملاء أو مئاتهم ولديها فريق تقنية معلومات صغير. وبالنسبة للعملاء فالانكشاف ثانوي: دفاترهم وكشوف رواتبهم وعقودهم عند طرف آخر. وعلى الشركات الفرنسية أن تسأل محاسبها ومحاميها ماذا سيفعلان يوم الحادثة، وبأي ترتيب سيبلغان العملاء.
الثقة. مرتفعة في الأعداد. متوسطة في قراءة مخاطر الموردين، فهي استنتاج منا.

الحالة 6. أكتوبر بدأ فعلًا: ستة إدراجات، خمس منشآت

الادعاءات. بين 1 و7 أكتوبر يعرض المتتبع ستة ادعاءات أخرى خارج النافذة: Krybit ثلاث مرات (اثنان ضد مجموعة خدمات اتصالات واحدة في 1 و4 أكتوبر وواحد ضد بلدية في 2 أكتوبر)، وThe Gentlemen مرتين (مكتب مفوّض قضائي ومقاول صناعي، كلاهما في الأسبوع الأول من أكتوبر)، وDragonForce مرة (7 أكتوبر).
القراءة. تجعل ادعاءات Krybit الخمسة في الربع الثالث وثلاثة إدراجات في أربعة أيام من أكتوبر، ضد منشأتين، أسرع الأسماء الفرنسية نموًا بعد المتصدرتين. ويضم سجلها أيضًا خمس شركات إماراتية. وقد تعكس إعادة إدراج المنشأة نفسها من المجموعة نفسها بعد ثلاثة أيام انقضاء مهلة التفاوض، وإن كان ذلك يحتاج إلى تأكيد.
الثقة. مرتفعة في الإدراجات. متوسطة في نمو Krybit، فهو يستند إلى بضعة أسابيع.

6. جهات التهديد النشطة: الحضور والدافع والتكتيكات

خمس مجموعات مختارة لأهميتها للمدافعين لا بحسب الحجم قدّمت 98 من الادعاءات الـ 185 وتُعرض ملفاتها أدناه. وتتقدم Coinbase Cartel وAkira على Krybit بالعدد وتظهران في القائمة التي تليها. معلوماتها التقنية العامة مصدرها تقارير حوادث عالمية لا الحالات الفرنسية، لذا ينبغي فهم التكتيكات على أنها أساليب معروفة عن كل مجموعة عمومًا، لا إثباتًا لما جرى لشركة فرنسية بعينها. تشير معرّفات التقنيات إلى MITRE ATT&CK.

تُعرض أربع جهات لديها تقارير تقنية عامة كافية. العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث فرنسية. وتعني الخلية الفارغة أن التقنية غير موثقة في المصادر التي راجعناها، لا أن المجموعة لا تستخدمها. ولا يوجد عمود لـ Krybit لأن لدينا تقارير تقنية عامة أقل عنها.

ملفات مجموعات التهديد

مجموعات أخرى تستحق المعرفة

• Coinbase Cartel (7) وLapsus$ (4). علامات سرقة بيانات بأدلة ضعيفة وأوصاف شركات مولّدة آليًا. راجع الحالة 4.
• Akira (6). أربعة في الربع الأول ولا شيء في الثالث: شركة تأجير ومصنّع مكونات ومصنّع موصلات وشركة هندسة وشركة تشخيص ومصنّع معدات ألبان.
• Lamashtu (5) وNova (4) وMedusaLocker (4) وAnubis (4) وKairos (4) وZaWoo (4). علامات متوسطة بحفنة ادعاءات لكل منها، تمزج مصنّعين صغارًا ومدارس وبلديات ومكاتب محاسبة، ولدى Kairos مركز خبرة مستشفيات في 30 سبتمبر. وتنشر Anubis ادعاءات صياغتها «اختراق بيانات» لدى شركة مسمّاة، وكثير منها مكاتب محاسبة أو هندسة.
• Lynx (3) وClop (3) وALP-001 (3) وBravox (3) وPanzer (3). ثلاثة ادعاءات لكل منها. وأدرجت Lynx ثلاث منشآت في يوم واحد، 5 يناير، منها مدينة وشركتان خاصتان.

7. ما بعد مواقع التسريب: ادعاءات المنتديات

تنشر عصابات برمجيات الفدية ضحاياها على مواقعها الخاصة. أما بقية الجهات فتنشر في المنتديات الإجرامية: بائعو البيانات ووسطاء الوصول والهاكتيفيست وطالبو الشهرة. ويحصي أحد المتتبعات 1,369 منشورًا في المنتديات يستهدف فرنسا عبر تاريخه كله، لا نافذة هذا التقرير فقط. ورصدنا 19 إدراجًا خلال الفترة من 4 إلى 10 أكتوبر، وتكفي هذه العينة لإظهار طبيعة النشاط، لكنها لا تكفي لقياس حجمه الإجمالي. لا نذكر أسماء الضحايا هنا، لأن الادعاءات غير مؤكدة وقد تؤدي تسمية الجهة المستهدفة إلى تضخيم ادعاء غير مثبت.

كيف تبدو السوق

• أسماء مركّزة. تستحوذ الأسماء الخمسة الأنشط في المتتبع على 251 منشورًا (18%): ChimeraZ 122 وHexDex 52 وmisere 34 وDumpSec 22 وX-VDP-X 21. وتصنع ChimeraZ وحدها 9% وتظهر أيضًا في عيّنتنا الكويتية، بعرض لشركة طيران في 11 سبتمبر، وفي إدراجات موسومة سويسريًا.
• منابر مركّزة. يحمل أكبر مصدر منفرد، وهو منتدى واحد، 459 منشورًا (34%)، وتحمل المصادر الأربعة التالية 174 و117 و116 و95.
• عناوين بعدد السجلات. يذكر معظم الإدراجات الملتقطة عدد السجلات في العنوان، من نحو 7,000 إلى نحو 1.4 مليون. وتغطي بوابات قطاع عام وخدمة وزارة عدل ووكالة دفع وسجل محكمة تجارية وجهة مياه وصندوق إجازات وبرنامج ولاء لمتجر تجزئة وجمعية كشافة وطنية ومدرسة ووسيط تأمين.
• إعادة النشر. نشر اسم واحد إدراج جهة المياه نفسه في 8 و9 أكتوبر، وهذا تكرار لا اختراق ثانٍ.

تحذّر ANSSI من أن البيانات التي ينشرها المهاجمون قد تأتي من تسريبات أقدم أو من عدة مصادر، وأن على الضحايا تأهيلها قبل اتخاذ إجراء. ونطبق القاعدة نفسها. فبالنسبة لجهة عامة أو متجر تجزئة، يعني ذلك فحص تطابق العينة مع السجلات الحالية، وعمر الحقول، وهل يعيد صاحب المنشور بيع ما هو عام أصلًا.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. ولا يمكننا ربط أي إعلان بأي ادعاء ولا نفعل.

8. تحديث خارج نطاق التقرير: أكتوبر 2026

بين 1 و7 أكتوبر يعرض المتتبع ستة ادعاءات أخرى مرتبطة بفرنسا على مواقع التسريب ضد خمس منشآت (الحالة 6)، وتُظهر لقطتنا من المنتديات إدراجات كل يوم من 4 إلى 10 أكتوبر. وفي 9 أكتوبر أفادت الصحافة باعتقال Qilin الموصوف في الحالة 1. ولا يدخل أي من ذلك في الـ 185.

9. كيف يدخلون

تُظهر مواقع التسريب الضحايا لا الاختراقات، لذا يعتمد هذا القسم على تقارير ANSSI والجهات المتخصصة العامة. الصورة المتسقة:

• وصول عن بُعد مكشوف وحسابات صحيحة. تشير تقارير متخصصة إلى أن الشركاء التابعين لمجموعتي Qilin وLockBit 5.0 قد يستغلون حسابات VPN وخدمات الوصول عن بُعد وأدوات الإدارة الشرعية للاندماج في الأنشطة التشغيلية المعتادة.
• سرقة البيانات دون تشفير. تشير ANSSI إلى تزايد الإبلاغ عن حالات الابتزاز دون نشر برمجيات الفدية، رغم أنها لا تزال محدودة ضمن الحوادث التي عالجتها الوكالة. وارتفع عدد حوادث تسريب البيانات التي علمت بها الوكالة، سواء اقترنت ببرمجيات الفدية أم لم تقترن، من 130 إلى 196 في 2025.
• شراء الوصول وبيانات اعتماد مسروقة. يعرض بائعو المنتديات السجلات والوصول بأسعار زهيدة، وتغذّي قوائم الدمج هجمات حشو بيانات الاعتماد والاستيلاء على الحسابات واختراق البريد الإلكتروني للأعمال.
• مزوّدون يخدمون جهات متعددة. تحتفظ مكاتب المحاسبة ومزوّدو تقنية المعلومات الصغار واتحادات البلديات ببيانات تخص عددًا من العملاء. ويُعدّ احتمال أن يؤدي اختراق أحد هؤلاء المزوّدين إلى تعريض عدة جهات للخطر فرضية تستحق التحقق.

10. الإطار التنظيمي

تطبّق فرنسا اللائحة الأوروبية العامة لحماية البيانات. وتقول سلطة حماية البيانات، CNIL، إن خرق البيانات الشخصية الذي ينشئ خطرًا على الأفراد يجب إخطارها به في أقرب وقت بعد اكتشافه، وخلال 72 ساعة حيثما أمكن، مع تفسير عند فوات المهلة، وأن على المؤسسة أيضًا إبلاغ الأفراد حين يكون الخطر مرتفعًا. وتتم الإخطارات عبر الخدمة الإلكترونية للهيئة. وتضيف نظرة ANSSI العامة أن الضحية التي تتأكد سرقة بياناتها عليها أيضًا الوفاء بواجباتها التنظيمية، ومنها التصريح لدى CNIL. وبالنسبة لقواعد الأمن السيبراني، لا تزال فرنسا تنقل توجيه NIS 2 الأوروبي عبر مشروع قانون الصمود (المشروع رقم 1779). ويقول معلّقون إن مجلس الشيوخ أقرّه، ويُظهر موقع الجمعية الوطنية معالجة تعديلات عليه في أوائل أكتوبر، لذلك نعدّه غير نافذ بعد. ولم نتحقق من مرحلته الدقيقة في الملف الرسمي، ولم نتمكن من إثبات ما قيل عن إحالة إلى محكمة العدل الأوروبية، فلا نعتمد عليه. أما تسلسل الإبلاغ في التوجيه، وهو إنذار مبكر خلال 24 ساعة وإخطار خلال 72 ساعة وتقرير نهائي خلال شهر، فلا ينطبق إلا على الجهات الواقعة ضمن نطاقه بعد نفاذ القانون الوطني. استشر مستشارًا قانونيًا في أي حالة بعينها. لسنا قانونيين.

11. التوقعات للربع الرابع 2026 والأول 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات أعلاه.

1. يستمر التدفق بمعدل 50 إلى 80 ادعاءً في الربع. أضاف الأسبوع الأول من أكتوبر ستة إدراجات، وبقي السجل الفصلي بين 57 و66. وهذا سيناريو نوعي لا توقع إحصائي. ويفترض ثبات تغطية الرصد وقواعد الإسناد إلى حد كبير، وأي تغير في أحدهما أو فقدان موقع تسريب كبير سيغيّره.
2. تبقى Qilin وThe Gentlemen في الصدارة. فهما معًا تحملان 41% من السجل. ومن غير المرجح أن يغيّر اعتقال في ألمانيا ذلك بمفرده، لأن الشركاء التابعين لا الشخص الموقوف هم من يختارون الأهداف.
3. تواصل Krybit النمو. فقد انتقلت من لا شيء في الربع الأول إلى خمسة في الثالث وثلاثة في أوائل أكتوبر، وهي تعمل في الخليج أيضًا.
4. تبقى الجهات المحلية والمستشارون أهدافًا. فقد جذبت البلديات ومكاتب المحاسبة والمحاماة ادعاءات من مجموعات كثيرة، فتوقع المزيد أيضًا من علامات جديدة.
5. تستمر إدراجات سرقة البيانات ضد الأسماء الكبيرة. فنشرها رخيص وإثباتها ضعيف، فيحتاج كل منها إلى تأهيل قبل الرد.

12. ما يجب فعله هذا الربع

1. ابدأ بحافة شبكتك. احصر كل VPN وجدار حماية وبوابة وصول عن بُعد مواجهة للإنترنت. ضع هدفًا داخليًا مقترحًا لا يتجاوز 48 ساعة لتحديث الثغرات التي يجري استغلالها فعليًا، واعتمد ضوابط تعويضية حيث يتعذر التحديث الفوري، وحدّد الأولوية بحسب تأكيد الاستغلال ودرجة التعرض وأهمية الأصل وإرشادات المورّد.
2. تحقّق من عرض بيانات اعتمادك للبيع. ابحث في سجلات برمجيات سرقة المعلومات وقوائم الدمج وإعلانات الوسطاء عن حسابات الموظفين والموردين، وغيّر كلمات مرور الحسابات التي ظهرت بيانات اعتمادها، وألغِ الجلسات النشطة، وتحقق من إعادة استخدام كلمات المرور.
3. اسأل محاسبك ومحاميك ومزوّد تقنية المعلومات عمّا يحتفظون به وكيف يحمونه. اطلب دليلًا على المصادقة متعددة العوامل وEDR ونسخ احتياطية غير متصلة، واتفق مسبقًا على كيفية إبلاغك بالحادثة وموعده.
4. الجهات المحلية: افصل المزوّدين المشتركين. حدّد النقابة أو المزوّد الذي يستضيف أنظمة الحالة المدنية والرواتب والمدارس لديك، وافحص نسخه الاحتياطية، واختبر استعادتها دون شبكة الإنتاج.
5. أهّل البيانات المدّعاة قبل أن تتفاعل. إن ظهر اسمك مع عدد سجلات، فتحقق من مصدر البيانات المحتمل وعمرها ومطابقتها لسجلاتك، ثم قرر الإخطار مع مسؤول حماية البيانات لديك.
6. استعدّ لاحتمال الابتزاز المزدوج. اعرف من يُخطر CNIL وANSSI، ومن يطلع مجلس الإدارة، ومن يقرر التفاوض. وثّق هذه الإجراءات واختبرها.
7. راقب ظهور اسم مؤسستك. قد تنشر مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بياناتك قبل أن تعلم بالاختراق. وقد يمنحك الاكتشاف المبكر في هذه المصادر بضعة أيام.

المصادر

• ANSSI / CERT-FR, Panorama de la cybermenace 2025 (March 2026)
• CNIL, Notifier une violation de données personnelles
• The Record, Japan confirms arrest of Russian Qilin operative, extradition to Germany
• SecurityWeek, Qilin ransomware suspect arrested in Japan, extradited to Germany
• Check Point Research, The State of Ransomware Q1 2026
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• Proven Data, LockBit 5.0 technical analysis and TTPs
• NIS Solutions, NIS2 in France (secondary source, status of the Résilience bill)

تُعرض المصادر بلغاتها الأصلية.