برمجيات الفدية وادعاءات سرقة البيانات في الخليج: حصيلة الأرباع الثلاثة الأولى من 2026

الخلاصة

خمس نتائج تهمّ مجالس الإدارة ومسؤولي أمن المعلومات في أي مكان في الخليج. ولكل دولة تقريرها الخاص، مرتبط في الأسفل.

1. تستحوذ الإمارات والسعودية على ثلاثة أرباع الادعاءات. من أصل 83 ادعاءً مرصودًا، يسمّي 45 منشآت إماراتية و17 منشآت سعودية، أي 75%. ويبلغ مجموع الأسواق الأربعة الأخرى 21. وتختلف الرؤية من دولة إلى أخرى، وتعكس هذه الأرقام ما يظهر على مواقع التسريب، ولا تمثل ترتيبًا لمستويات الخطر الوطني.
2. تنشط المجموعات عبر الحدود. تظهر ثلاث عشرة مجموعة من أصل 28 في سوقين أو أكثر، وقدّمت مجتمعة 66 من الادعاءات الثلاثة والثمانين. وتظهر The Gentlemen وحدها في أربعة أسواق بـ 16 ادعاءً، أي 19% من الإجمالي. وقائمة مؤشرات مبنية على حوادث دولة واحدة تحمي جزئيًا في الدولة التالية.
3. لا توجد موجة مشتركة. توزعت الادعاءات على الأرباع الثلاثة بواقع 30 و23 و30 عبر الأسواق الست، لكن الأسواق تحركت بصورة مختلفة. بلغت السعودية ذروتها في الربع الثالث، وهدأت الكويت والبحرين بعد الربع الثاني، وجاءت قطر وعُمان على دفعات. ولم تُنتج الحرب التي بدأت في 28 فبراير ارتفاعًا موحدًا في ادعاءات الابتزاز.
4. الضحايا في الغالب شركات متوسطة الحجم وموردون، وتقع البنية التحتية على الأطراف. موردو طاقة في السعودية، وشركات بناء وتجارة في الإمارات، وجهات استشارية تعمل لصالح الدولة في قطر، وشركات متوسطة ومستشفى في الكويت، ومقاولون ومجموعة لوجستية في عُمان، ومستشفى ومجموعة تجزئة سيارات في البحرين. وتظهر البنوك على المنتديات لا على مواقع التسريب في الأسواق التي فحصناها.
5. النشاط على المنتديات أوسع نطاقًا من النشاط على مواقع التسريب، كما ينشط البائعون في أسواق متعددة عبر الحدود. راجعنا 116 منشورًا على منتديات الإنترنت. أدرج اسم مستعار واحد بنوكًا كويتية وقطرية في اليوم نفسه، ويظهر بائع واحد في الكويت والبحرين، ونُشر العرض نفسه عن جهة أمن بحرينية مرتين بفارق سبعة أشهر. تعامل مع عروض المنتديات بوصفها مهام تحقق لا حوادث مؤكدة.

نقيّم مستوى الخطر الخليجي من المجموعات ذات الدافع المالي بأنه مرتفع ومستقر في الإمارات والسعودية، ومتوسط مع جيوب مرتفعة في غيرهما: بيانات الحكومة والمواطنين والبنوك والرعاية الصحية واللوجستيات والطيران. وهذه تقييماتنا، المستندة إلى ادعاءات منشورة على مواقع التسريب لم نتحقق من صحتها بصورة مستقلة.

1. النطاق والمنهج

يلخص هذا التقرير تقاريرنا الستة عن الدول. يحصي كل منها الادعاءات التي تسمّي منشآت في الدولة المعنية والمنشورة على مواقع التسريب بين 1 يناير و30 سبتمبر 2026، ويتعامل مع الادعاءات المؤرخة في أكتوبر بوصفها تطورات لاحقة. وتُحتسب الشركة المدرجة مرتين عن الحادثة نفسها مرة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، فلا تُحتسب الشركات التي يقع مقرها في مكان آخر ولها مكتب محلي. وخمسة من الادعاءات الثلاثة والثمانين سياسية أو تدميرية لا ابتزازية، ونحتسبها بصورة منفصلة حيث يهم الفرق. وتؤرّخ المتتبعات الادعاء نفسه أحيانًا بتواريخ مختلفة بفارق أيام إلى أسابيع، ويعرض كل تقرير قُطري التواريخ التي اعتمدها.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع التسريب، وهي المواقع التي تنشر عليها المجموعات البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر.
• ادعاء المجموعة ليس دليلًا على الاختراق. لم نتحقق بصورة مستقلة من صحة أي مجموعة من البيانات المنشورة.
• تختلف الرؤية من دولة إلى أخرى، وتستند الأسواق الصغيرة إلى أعداد صغيرة جدًا يغيّر فيها ادعاء واحد الصورة. لذا ينبغي التعامل مع أرقامنا بوصفها أعدادًا للحالات التي رصدناها، لا تقديرًا شاملًا لجميع الحوادث.

مصطلحات. RaaS (برمجيات الفدية كخدمة): نموذج يتيح لمطوري برمجيات الفدية توفير أدواتهم وبنيتهم التحتية لشركاء تابعين ينفذون الهجمات مقابل تقاسم العائد. EDR (أنظمة الكشف والاستجابة عند نقطة النهاية): تقنيات أمنية ترصد الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والاستجابة لها. وسيط الوصول الأولي: جهة تبيع وصولًا جاهزًا إلى شبكة مخترقة أو إلى حسابات تتيح الدخول إليها.

2. ستة أسواق في لمحة

يعدّ عمود المجموعات كل مجموعة مرة واحدة في كل سوق، فيبلغ مجموعه 47، بينما قدّمت 28 مجموعة مختلفة الادعاءات الثلاثة والثمانين. وتختلف نوافذ المنتديات قليلًا بين التقارير؛ وتضم عُمان والبحرين منشورات من قبل 2026.

3. مجموعات برمجيات الفدية العابرة للحدود

قدّمت 28 مجموعة 83 ادعاءً، وتظهر 15 منها في سوق واحد فقط. أما الثلاث عشرة الأخرى، المبينة أدناه، فقدّمت 66 ادعاءً. وتبرز ثلاثة أنماط. أولًا، تدير علامات قليلة المنطقة كلها: تعمل The Gentlemen وDragonForce وINC Ransom في ثلاثة أسواق أو أربعة لكل منها. ثانيًا، تتحرك العلامات الجديدة بسرعة: ادّعت Payload البحرين والإمارات وقطر في 36 يومًا، وادّعت LockBit 5.0 الكويت وعُمان في نحو سبعة أسابيع. ثالثًا، تبقى بعض العلامات محلية: Krybit في الخليج قصة إماراتية في معظمها، وتنشر أيضًا في فرنسا، وتظهر Qilin في قطر والكويت فقط.

المجموعات المرصودة في سوقين أو أكثر: 13 من 28، بـ 66 ادعاءً من أصل 83. وتوجد ملفات المجموعات وتكتيكاتها وملاحظات الصيد في التقارير القُطرية. وادّعت 19 مجموعة من أصل 28 استهداف منشآت فرنسية أيضًا في الفترة نفسها، وهو ما يغطيه تقريرنا عن فرنسا.

المجموعة لا تتوقف عند الحدود، وكذلك ينبغي ألا تتوقف قائمة المؤشرات.

4. مقارنة الخطوط الزمنية

يبدو الإجمالي الإقليمي ثابتًا، لكنه يخفي ستة أشكال مختلفة. سجّلت السعودية 4 و4 و9، مع أربعة ادعاءات في الربع الثالث من مجموعة واحدة في 31 يومًا. وسجّلت الإمارات 16 و12 و17، بدعم في الربع الثالث من علامة جديدة هي Krybit. وسجّلت قطر 0 و4 و1، مع أربعة ادعاءات في 25 يومًا. وسجّلت الكويت 4 و2 و0، مع دفعة LockBit 5.0 في بداية العام. وسجّلت عُمان 4 و0 و3 على دفعتين. وسجّلت البحرين 2 و1 و0. وهدأ سوقان على مواقع التسريب منذ منتصف العام، وضاعف سوق واحد وتيرته، وهذا ما تنتجه الأعداد الصغيرة ووجود عدد قليل من المجموعات النشطة. لذلك، لا يمكن استخلاص اتجاه واضح من الإجمالي الإقليمي وحده.

الحرب مادية أولًا. بحسب الخطوط الزمنية العامة، طالت ضربات الصواريخ والمسيّرات الإيرانية البحرين والكويت وعُمان وقطر والسعودية منذ 28 فبراير أو 1 مارس، وتصف الجهة السيبرانية الإماراتية نفسها مسار هجمات مرتبطًا بالحرب. ولا تُظهر بياناتنا لمواقع التسريب قفزة مقابلة في ادعاءات الابتزاز في الربع الأول أو بعده. ويظهر الأثر السيبراني للحرب بدلًا من ذلك في صورة تعطيل وادعاءات سياسية، نتناولها تاليًا.

5. من هو المستهدف

يصنّف كل تقرير قُطري ادعاءاته، فتختلف تسميات القطاعات. والخيط المشترك هو النقاط التالية.

• الإمارات. أكبر عدد من الادعاءات في أي سوق، ولا تراجع مستمر، وتبرز مجموعة ادعاءات في الطيران. اقرأ التقرير
• السعودية. تضاعف العدد في الربع الثالث، وسلسلة إمداد الطاقة هي المحور الرئيسي. اقرأ التقرير
• عُمان. تراجع الميل إلى الطاقة وظهرت اللوجستيات والتأمين في وقت متأخر. اقرأ التقرير
• الكويت. صدر نصف الادعاءات ضمن موجة واحدة، ولم تُسجَّل ادعاءات جديدة بعد مايو، ومنتديات نشطة. اقرأ التقرير
• قطر. أربعة ادعاءات في 25 يومًا، والجهات الاستشارية العاملة لصالح الدولة، وبنوك على المنتديات. اقرأ التقرير
• البحرين. أصغر سجل، وادعاءات منتديات أُعيد تدويرها، وموجة حجب خدمة كثيفة. اقرأ التقرير

تتكرر ثلاثة محاور. الشركات المتوسطة هي الضحية النموذجية في كل سوق، لأنها تحتفظ ببيانات ثمينة خلف دفاعات أصغر. والموردون والمستشارون أهم مما يوحي به حجمهم، لأنهم يحتفظون بملفات عملائهم: شركات استشارات هندسية ومتكامل أنظمة أمن، ومكاتب قانون وتصميم، ومقاولون، ومجموعة لوجستية. ويبرز قطاع الرعاية الصحية ضمن القطاعات المستهدفة في الأسواق الأصغر، مع مستشفيات في الكويت والبحرين ومعهد أبحاث في قطر. ولا يظهر أي بنك على موقع تسريب في الإمارات، وتظهر البنوك على المنتديات لا على مواقع التسريب في قطر والكويت.

6. النشاط السيبراني ذو الدوافع السياسية والمرتبط بالحرب

خمسة من الادعاءات الثلاثة والثمانين سياسية أو تدميرية: اثنان من الجهة المرتبطة بإيران Handala (أحدهما سعودي والآخر إماراتي) وثلاثة من جهة Nasir Security (واحد ضد هيئة اتحادية إماراتية، وواحد ضد وزارة الداخلية الكويتية، وواحد ضد شركة طاقة عمانية). وجاءت ادعاءات Nasir الثلاثة بخطاب ديني أو مقاوم ودون حجم بيانات ودون دليل، ونتعامل معها بوصفها نشاط تأثير إلى أن يظهر دليل. وتقدّم الجهة أهدافها بوصفها حليفة لأمريكا. وليس لهذه الادعاءات فدية ولا مهلة ولا سعر، فهي لا تتبع نمط الابتزاز، لكنها قد تستدعي تحقيقًا فعليًا.

حجب الخدمة مسار منفصل. يحصي ملف SOCRadar عن المجموعة المؤيدة لإيران DieNet 59 ادعاء هجوم في 2 و3 مارس، منها 21 ضد أهداف كويتية و15 ضد أهداف بحرينية وأربعة ضد الإمارات وادعاء متعدد الدول يتصل بأنظمة التحكم الصناعي يشمل السعودية وعُمان وقطر. ويقول الملف نفسه إن DieNet كثيرًا ما تضخّم ادعاءاتها. وهذه ليست برمجيات فدية وهي خارج أعدادنا، لكنها وقعت على الوزارات والمطارات والبنوك ومشغّلي الاتصالات أنفسهم الذين يظهرون في مواضع أخرى من هذا التقرير، والدفاع هو السعة والتصفية لا دليل برمجيات فدية.

7. ما بعد مواقع التسريب: المنتديات

راجعنا عبر التقارير الستة 116 منشورًا في المنتديات: 36 للسعودية و33 للإمارات و24 للكويت و12 لقطر وستة لعُمان وخمسة للبحرين. ولا نسمّي ضحايا في أي منها، لأن الادعاءات غير مؤكدة وقد تؤدي تسمية الجهة المستهدفة إلى تضخيم ادعاء غير مثبت.

• تُعرض بيانات الجهات الحكومية والأمنية في جميع الأسواق. تظهر وزارات وجهات أمنية وسجلات مدنية في الكويت والبحرين والسعودية وغيرها، غالبًا بأرقام رئيسية مدوّرة. وتوحي حالتان بالحشو أو إعادة التدوير: قاعدة بيانات كويتية موسومة بعدد أكبر من سكان البلاد، وادعاء بحريني بـ 200 جيجابايت نُشر مرتين.
• البائعون يعبرون الحدود. نشر الاسم cabyc خمسة إدراجات كويتية وأربعة قطرية في القطاع المالي في 13 يونيو. والاسم Ashborn في الكويت وTheAshborn في البحرين على الأرجح بائع واحد. ويظهر Anonymous2090 في العيّنات السعودية والإماراتية والقطرية. وتظهر Nasir Security في ثلاثة أسواق.
• الوصول إلى الحافة معروض للبيع. عروض الوصول إلى جدران الحماية وVPN، ومنها عرض لفندق في البحرين، هي نوع الإدراج الذي يشتريه شريك برمجيات الفدية، وتشير الجهات المتخصصة إلى أن الأجهزة الطرفية للشبكة المكشوفة للإنترنت تمثل أحد المسارات الشائعة للوصول الأولي إلى الشبكات.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. ولا يمكننا ربط أي إعلان بأي ادعاء ولا نفعل.

8. مقارنة متطلبات الإبلاغ عن خروقات البيانات

مهلة الإخطار البالغة 72 ساعة شائعة في الخليج، لكن مصدرها يختلف، وهذا يهم في مدى الاعتماد عليها. ففي السعودية تصف الجهة التنظيمية نفسها القاعدة. وفي قطر لا يحدد القانون عددًا من الساعات وتأتي الـ 72 ساعة من توجيه الجهة التنظيمية. وفي الأسواق الأخرى نعتمد على تعليقات مكاتب قانونية. ويبيّن الجدول ما وجده كل تقرير قُطري ومدى تحققنا منه. لسنا قانونيين، لذا استشر مستشارًا قانونيًا في أي حالة بعينها.

9. التوقعات للربع الرابع 2026 والأول 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات المحدودة أعلاه.

1. تبقى الإمارات والسعودية مركزَي الحجم. فخطوط الشركات المتوسطة فيهما ثابتة، وتتوالى علامات جديدة مثل Krybit.
2. تبقى The Gentlemen وLockBit 5.0 أرجح الأسماء المتكررة إقليميًا. فللأولى ادعاءات في أربعة أسواق، وقدّمت الثانية دفعتين قُطريتين في ثمانية أسابيع.
3. تبقى الأسواق الصغيرة متقطعة. نطاق من صفر إلى خمسة ادعاءات في الربع لكل من قطر والكويت وعُمان والبحرين نطاق معقول، ويمكن لمجموعة نشطة واحدة أن تحرّك أيًّا منها. وهو نطاق منخفض الثقة.
4. ستتحول بعض إعلانات المنتديات إلى ادعاءات. قد تتحول بعض عروض الوصول المنشورة في المنتديات إلى ادعاءات باستهداف ضحايا على مواقع التسريب خلال أسابيع، وتستحق إعلانات البنوك والحكومة والضيافة التحقق الآن.
5. مسار الحرب ورقة غير محسومة. تلت موجات حجب الخدمة والادعاءات السياسية الضربات، وقد تعود سريعًا مع أي تصعيد في أي من الأسواق الست.

10. ما يجب فعله هذا الربع

1. ابنِ الدفاعات حول سلوك المجموعات لا الحدود. شارك المؤشرات والتكتيكات بين مكاتبك في الدول ونظرائك الإقليميين، فالمجموعات نفسها تعمل في عدة أسواق.
2. ابدأ بحافة شبكتك. احصر كل VPN وجدار حماية وبوابة وصول عن بُعد مواجهة للإنترنت. ضع هدفًا داخليًا مقترحًا لا يتجاوز 48 ساعة لتحديث الثغرات التي يجري استغلالها فعليًا، واعتمد ضوابط تعويضية حيث يتعذر التحديث الفوري، وحدّد الأولوية بحسب تأكيد الاستغلال ودرجة التعرض وأهمية الأصل وإرشادات المورّد.
3. تحقّق من عرض بيانات اعتمادك للبيع. ابحث في سجلات برمجيات سرقة المعلومات وقوائم الدمج وإعلانات الوسطاء عن حسابات الموظفين والموردين، وغيّر كلمات مرور الحسابات التي ظهرت بيانات اعتمادها، وألغِ الجلسات النشطة، وتحقق من إعادة استخدام كلمات المرور. وعلى البنوك والوزارات ومشغّلي الضيافة البدء بهذا.
4. رتّب مورّديك بحسب ما يحتفظون به. يحتفظ المستشارون الهندسيون والقانونيون والمتكاملون والمقاولون ومزوّدو اللوجستيات برسوماتك وعقودك وبيانات اعتمادك. اطلب من كل منهم دليلًا على المصادقة متعددة العوامل وEDR ونسخ احتياطية غير متصلة.
5. افترض احتمال تعطيل حماية الأجهزة الطرفية، واحمِ الاستعادة. نبّه على إيقاف الخدمات والمهام المجدولة الجديدة وأدوات الإدارة عن بُعد غير المتوقعة، واحمِ البنية التحتية الافتراضية، بما فيها برامج إدارة الأجهزة الافتراضية (Hypervisor)، واختبر النسخ الاحتياطية غير المتصلة، خاصة للأنظمة السريرية.
6. استعدّ لحجب الخدمة. على بوابات الحكومة والطيران والبنوك والاتصالات تأكيد ترتيبات التصفية وتنقية حركة المرور لدى مزوّديها قبل التصعيد التالي.
7. استعدّ لاحتمال الابتزاز المزدوج، وحدّد الجهة التنظيمية المختصة. اعرف من يُخطر أي جهة وبأي مهلة في كل دولة تعمل فيها، ومن يطلع مجلس الإدارة، ومن يقرر التفاوض. وثّق هذه الإجراءات واختبرها.
8. راقب ظهور اسم مؤسستك. قد تنشر مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بياناتك قبل أن تعلم بالاختراق. وقد يمنحك الاكتشاف المبكر في هذه المصادر بضعة أيام.

التقارير القُطرية الستة

• برمجيات الفدية وادعاءات سرقة البيانات في السعودية خلال الأرباع الثلاثة الأولى من عام 2026
• برمجيات الفدية وادعاءات سرقة البيانات في الإمارات خلال الأرباع الثلاثة الأولى من عام 2026
• برمجيات الفدية وادعاءات سرقة البيانات في قطر خلال الأرباع الثلاثة الأولى من عام 2026
• برمجيات الفدية وادعاءات سرقة البيانات في الكويت خلال الأرباع الثلاثة الأولى من عام 2026
• برمجيات الفدية وادعاءات سرقة البيانات في عُمان خلال الأرباع الثلاثة الأولى من عام 2026
• برمجيات الفدية وادعاءات سرقة البيانات في البحرين خلال الأرباع الثلاثة الأولى من عام 2026

المصادر

يعرض كل تقرير قُطري مصادره. وفيما يلي المصادر التي شكّلت هذا الملخص:

• Check Point Research, The State of Ransomware Q1 2026
• SOCRadar, Dark Web Profile: DieNet
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• The National, Ransomware activity rises across Middle East (CloudSEK data)
• Check Point, LockBit 5.0 returns

تُعرض المصادر بلغاتها الأصلية.