برمجيات الفدية وادعاءات سرقة البيانات في الكويت خلال الأرباع الثلاثة الأولى من عام 2026

الخلاصة

خمس نتائج تهمّ مجالس الإدارة ومسؤولي أمن المعلومات في الكويت.

1. تقع الكويت في النصف الأدنى من الأسواق الخليجية التي نتتبعها، ويلمّح السجل إلى ارتفاع. ستة ادعاءات مرصودة مقابل 17 في السعودية و45 في الإمارات وسبعة في عُمان وخمسة في قطر وثلاثة في البحرين، مع اختلاف الرؤية من دولة إلى أخرى. وبحسب عدّنا سجّلت الكويت ثلاثة أو أربعة ادعاءات سنويًا بين 2022 و2024، وسبعة في 2025، وستة في الأشهر التسعة الأولى من 2026. ويستند السجل في السنوات الأقدم إلى بيانات أرق، لذلك نقرأ الارتفاع بوصفه مؤشرًا لا نتيجة مثبتة.
2. علامة واحدة صنعت نصف الادعاءات، ضد شركات متوسطة الحجم. نشرت LockBit 5.0 شركة تجزئة وتوزيع، ومتكاملًا لأنظمة الأمن، ومصنّعًا للخرسانة مسبقة الصب بين 26 يناير و13 مارس. ولا تملك أي مجموعة أخرى أكثر من ادعاء واحد هنا.
3. هدأت مواقع التسريب بعد مايو، لكن السوق لم تهدأ. آخر ادعاء كويتي مؤرّخ في 28 مايو، ولا شيء في الربع الثالث. واستمرت المنتديات: ظهرت خمسة منشورات تستهدف الكويت في الربع الثالث، فهدوء سجل مواقع التسريب لا يعني هدوء السوق.
4. المنتديات: سوق موازية تستحق المتابعة. راجعنا 24 منشورًا في المنتديات على مدى تسعة أشهر. سبعة منها تعرض بيانات وزارات وجهات أمنية، وخمسة تسمّي مؤسسات مالية، واثنان يعرضان قواعد بيانات مواطنين. وأدرج اسم مستعار واحد، cabyc، خمس مؤسسات كويتية في 13 يونيو، وهو اليوم نفسه الذي أدرج فيه أربعة بنوك قطرية. هذه الادعاءات غير مؤكدة، ولم يظهر أي منها ضمن سجل مواقع التسريب الذي راجعناه.
5. تضيف الحرب ضجيجًا ومسارًا سياسيًا. طالت الضربات الإيرانية الكويت منذ 28 فبراير، وتلتها حملات حجب خدمة من هاكتيفيست في مارس. وتضم بياناتنا لمواقع التسريب ادعاءً واحدًا مرتبطًا بالحرب ضد وزارة الداخلية، ولم يقترن بأي دليل. لذلك، ينبغي أن تركز إجراءات الدفاع على سلوك المجموعات وأساليبها، لا على المؤشرات المحلية وحدها.

نقيّم مستوى الخطر على الشركات التجارية المتوسطة في الكويت ومورّديها بأنه متوسط. أما على الوزارات والبنوك والجهات التي تحتفظ بسجلات المواطنين فنقيّمه بأنه مرتفع نسبيًا، بفعل إعلانات المنتديات والسياق الجيوسياسي. وهذه تقييمات منا مبنية على سجل صغير.

1. النطاق، وما تحتمله الأرقام

يغطي هذا التقرير الادعاءات التي تستهدف منشآت كويتية والمنشورة بين 1 يناير و30 سبتمبر 2026. ولم نجد ادعاءً كويتيًا جديدًا على مواقع التسريب بين 1 و10 أكتوبر. وخمسة من الادعاءات الستة ادعاءات ابتزاز بدافع مالي. أما السادس، ضد وزارة الداخلية، فادعاء ذو إطار سياسي بلا عنصر فدية، ونحتسبه بصورة منفصلة حيث يهم الفرق. وتُحتسب الشركة المدرجة مرتين عن الحادثة نفسها مرة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، استنادًا إلى نطاقها وملفها العام. وتؤرّخ المتتبعات الادعاء نفسه أحيانًا بتواريخ مختلفة بفارق أيام إلى أسابيع، ونعرض التاريخين حيث يهم ذلك. وتختلف الرؤية من دولة إلى أخرى، فالأعداد ليست إجماليات كاملة للحوادث ولا مقياسًا متكافئًا للخطر الوطني.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع التسريب، وهي المواقع التي تنشر عليها المجموعات البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر. وفي أعداد صغيرة كهذه، يغيّر حادث واحد الصورة.
• ادعاء المجموعة ليس دليلًا على الاختراق. لم نتحقق بصورة مستقلة من صحة أي مجموعة من البيانات المنشورة.
• إسناد الضحية إلى دولة بعينها ليس دقيقًا دائمًا، وبعض الشركات تعمل في أنحاء المنطقة. لذا ينبغي التعامل مع أرقامنا بوصفها أعدادًا للحالات التي رصدناها، لا تقديرًا شاملًا لجميع الحوادث.

مصطلحات. RaaS (برمجيات الفدية كخدمة): نموذج يتيح لمطوري برمجيات الفدية توفير أدواتهم وبنيتهم التحتية لشركاء تابعين ينفذون الهجمات مقابل تقاسم العائد. EDR (أنظمة الكشف والاستجابة عند نقطة النهاية): تقنيات أمنية ترصد الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والاستجابة لها. وسيط الوصول الأولي: جهة تبيع وصولًا جاهزًا إلى شبكة مخترقة أو إلى حسابات تتيح الدخول إليها.

2. الخط الزمني: ربع أول حافل ثم صمت

نمط العام متقدّم في بدايته. وقعت أربعة ادعاءات في الربع الأول، ثلاثة منها من LockBit 5.0، ثم اثنان في الربع الثاني ولا شيء في الثالث. بدأت الحرب في 28 فبراير، لكن اثنين من ادعاءات الربع الأول كانا منشورين قبل ذلك، فلا تفسّر الحرب هذه الدفعة. ولا تستطيع التواريخ وحدها أن تبيّن هل تعكس دفعة الربع الأول حملة من شركاء تابعين أم توقيت رؤيتنا للإدراجات.

السياق الحربي مادي وصاخب. بحسب الخط الزمني العام، بدأت ضربات الصواريخ والمسيّرات الإيرانية تطال الكويت في 28 فبراير، ومنها المطار الدولي ومصفاة ميناء الأحمدي ومحطات الكهرباء وتحلية المياه، واستمرت حتى الصيف. وفي الأيام الأولى من مارس يحصي ملف SOCRadar عن مجموعة حجب الخدمة المؤيدة لإيران DieNet 21 ادعاء هجوم ضد أهداف كويتية في يومين، شملت الحكومة والبنوك والطيران والنقل، ويستشهد بحصيلة نالت فيها الكويت 28% من ادعاءات حجب الخدمة التي أطلقها هاكتيفيست في الشرق الأوسط في تلك الفترة. وادعاءات حجب الخدمة ليست برمجيات فدية، ويقول الملف نفسه إن DieNet كثيرًا ما تضخّم ادعاءاتها. لذلك نُبقيها خارج أعدادنا، لكنها تُظهر أن وزارات الكويت وبنوكها كانت تحت ضغط من مسار ثانٍ أيديولوجي في الوقت نفسه.

3. المجموعات في لمحة

أربع مجموعات أنتجت ستة ادعاءات، وصنعت LockBit 5.0 نصفها. ولا تظهر LockBit 5.0 في بياناتنا السعودية أو الإماراتية أو القطرية، لكنها ادّعت أيضًا ثلاث شركات عمانية في فبراير ومارس. وتظهر Qilin في الكويت وقطر ولا تظهر في البيانات السعودية والإماراتية التي راجعناها. وتظهر Everest أيضًا في الإمارات. وتذكر جهات إقليمية متخصصة Clop وEverest ضمن المجموعات النشطة ضد الكويت، وقد نشرت Clop فعلًا مجموعتين متعددتي الجنسيات يقع مقرهما في الكويت في 21 نوفمبر 2025، خارج هذه النافذة.

4. من هو المستهدف

تصنيفنا للادعاءات الستة. يُحتسب كل ادعاء مرة واحدة.

• شركات تجارية متوسطة الحجم: 4. شركة تجزئة وتوزيع، وسلسلة مخابز ومقاهٍ، ومتكامل لأنظمة الأمن، ومصنّع خرسانة مسبقة الصب.
• الرعاية الصحية: 1. مستشفى سدرة الكويت، مستشفى خاص.
• الحكومة، ادعاء سياسي: 1. وزارة الداخلية، ادّعتها جهة مرتبطة بالحرب.

النمط خاص ومتوسط الحجم. لا يسمّي أي من ادعاءات الابتزاز الخمسة بنكًا أو شركة نفط أو وزارة. وأهم اسم في القائمة هو متكامل أنظمة الأمن، لأن مورّدًا من هذا النوع قد يحتفظ بمخططات وإعدادات لمواقع عملائه. ولا نعرف من هم عملاؤه.

المورّد الذي يركّب أنظمتك الأمنية يحتفظ أيضًا بمخططات مبانيك.

5. ملفات الحالات

تُظهر الأعداد شكل المشكلة، وتُظهر الحالات الفردية كيف تعمل. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. الربع الأول: أربعة ادعاءات، ثلاثة منها من LockBit 5.0

الادعاءات. Union Trading Company، شركة تجزئة وتوزيع (26 يناير). وLa Baguette، سلسلة مخابز ومقاهٍ، أدرجتها Qilin (17 فبراير). وSpecialised Security Systems (10 مارس). وINDEX Precast، مصنّع خرسانة مسبقة الصب (13 مارس). وتحمل الأولى والثالثة تواريخ لاحقة في بعض المتتبعات (20 فبراير و21 مارس).
القراءة. تقع ثلاثة ادعاءات من LockBit 5.0 ضد شركات كويتية متوسطة الحجم خلال سبعة أسابيع، وادّعت العلامة نفسها ثلاث شركات عمانية بين 25 فبراير و18 مارس. ويعني ذلك مجتمعًا ستة ادعاءات في سوقين صغيرين خلال نحو سبعة أسابيع. ويتسق هذا مع شريك تابع أو أكثر يعمل على مخزون وصول إقليمي، لكن الأدلة لا تثبت وجود اختراق أو مورّد أو ناقل مشترك.
الثقة. مرتفعة في الأعداد والتواريخ. منخفضة في سبب تشكّل هذه الدفعة.

الحالة 2. متكامل أنظمة أمن على القائمة (10 مارس)

الادعاء. في 10 مارس أدرجت LockBit 5.0 شركة Specialised Security Systems، وهي متكامل أنظمة كويتي لمنشآت الأمن والسلامة. ولم نرَ حجم بيانات.
القراءة. يحتفظ المتكاملون بمخططات مواقع العملاء وإعدادات الكاميرات والتحكم في الدخول وبيانات اعتماد الصيانة ووثائق المشاريع. وإن صحّ الادعاء، فإن الخطر ينتقل إلى عملاء المتكامل ولا يبقى عند شركة واحدة، وقد لا يعلم العملاء أنهم منكشفون. وهذه مسألة مخاطر موردين، لا قول إن أي عميل جرى اختراقه.
الثقة. متوسطة في أن الإدراج نُشر كما هو موصوف. ومنخفضة في المحتويات وفي أي أثر على العملاء.

الحالة 3. ادعاء ضد وزارة بلا دليل (5 أبريل)

الادعاء. في 5 أبريل ادّعت جهة تُدعى Nasir Security اختراق وزارة الداخلية الكويتية، بعبارة «لم يعد أي من حلفاء أمريكا محميًا». ولم يقدّم المنشور حجم بيانات ولا عينة. ويؤرّخ أحد المجمّعات الادعاء نفسه في 22 أغسطس، ونعتمد أبريل لأن سجل مواقع التسريب ومنشور المنتدى كليهما يُظهرانه.
القراءة. ادّعت الجهة نفسها أيضًا هيئة اتحادية في الإمارات في 26 مارس، وتشير الصياغة إلى دول تستضيف قوات أمريكية. وهذا يُقرأ نشاط تأثير مرتبطًا بالحرب لا ابتزازًا: فلا مطلب فدية ولا مهلة ولا سعر. ومع ذلك قد يستدعي ادعاء كهذا تحقيقًا فعليًا، لأن كلفة تجاهله أعلى من كلفة التحقق منه.
الثقة. مرتفعة في نشر الادعاء. منخفضة في وقوع أي اختراق.

الحالة 4. مستشفى خاص (Everest، 28 مايو)

الادعاء. في 28 مايو أدرجت Everest مستشفى سدرة الكويت، وهو منشأة خاصة. وكان نص الإدراج الذي رأيناه مولّدًا آليًا ولم يتضمن حجم بيانات.
القراءة. تحتفظ المستشفيات بسجلات المرضى وتفاصيل التأمين وبيانات الموظفين، وللتوقف كلفة سريرية مباشرة، ما يمنح مجموعة الابتزاز ورقة ضغط. ولدى Everest سجل إدراجات تبيّن أنها غير مؤكدة أو ملفّقة، لذا نتعامل مع هذا ادعاءً يستحق التحقق لا حادثة مفترضة. وحتى إن لم يتواصل أحد مع المستشفى، يفيد فحص بيانات الاعتماد المكشوفة والوصول عن بُعد.
الثقة. متوسطة في وجود الإدراج. منخفضة في ما سُرق.

الحالة 5. تسعة إدراجات من اسم واحد في يوم واحد (13 يونيو)

الادعاء. في 13 يونيو نشر الاسم المستعار cabyc خمسة إدراجات كويتية على موقعه الخاص على شبكة Tor: البنك المركزي، وجهتان حكوميتان للإقراض وتمويل المشاريع الصغيرة، وبنكان من أكبر بنوك البلاد. ونشر الاسم نفسه أربعة إدراجات لبنوك قطرية في اليوم ذاته (راجع تقريرنا عن قطر). وفي 12 يوليو نشر عرضًا لـ 120,000 سجل عملات رقمية كويتية. ولم نطّلع على محتوى أي إدراج.
القراءة. تسعة إدراجات في القطاع المالي عبر دولتين في يوم واحد من اسم واحد لا تُقرأ على أنها تسعة اختراقات. بل على أنها بائع يعرض وصولًا أو بيانات اعتماد أو مقتطفات قواعد بيانات، أو يضمّن كتالوجه أسماء معروفة. وهي تشير إلى بائع إقليمي لا إلى انكشاف خاص بالكويت. وعلى المؤسسات المالية أن تعدّها مهمة تحقق لا حادثة مؤكدة: افحص بيانات الاعتماد والجلسات المكشوفة والأطراف الثالثة المشتركة وأي تواصل من البائع.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في أنها تصف اختراقات حقيقية. ولا نسمّي المؤسسات بأكثر من الفئات أعلاه.

الحالة 6. سجل المدنيين وبيانات المواطنين (من مايو إلى سبتمبر)

الادعاءات. في 12 مايو عرض اسم مستعار بيانات تتصل بالهيئة الوطنية لسجل المدنيين. وفي 19 أغسطس ادّعى منشور على تيليغرام باسم يستعير علامة مجموعة معروفة الحصول على 3 تيرابايت من الجهة نفسها. وفي 10 يونيو عرض اسم آخر قاعدة بيانات وسمها بعدد سكان يبلغ 8.5 مليون، وفي 3 سبتمبر عرض اسم ثالث سجلات «ملايين المواطنين الكويتيين».
القراءة. أربعة ادعاءات من أربعة أسماء على مدى أربعة أشهر تشير إلى نوع الأصل نفسه. وتوحي أمور بإعادة تدوير أو حشو: فرقم 8.5 مليون أعلى من عدد سكان البلاد كله، واستعارة اسم علامة معروفة وسيلة لجذب الانتباه. وإعادة بيع بيانات قديمة شائعة. وعلى الجهات التي تحتفظ بسجلات المواطنين أن تتحقق من تطابق أي عينة مع بياناتها، وأن تفحص عمرها، وأن تضع في الحسبان أن الانكشاف قد يأتي من تسريبات أقدم لا من اختراق جديد.
الثقة. مرتفعة في وجود المنشورات. منخفضة في محتوى أي منها.

6. جهات التهديد النشطة: الحضور والدافع والتكتيكات

أربع جهات تقف خلف الادعاءات الستة كلها. معلوماتها التقنية العامة مصدرها تقارير حوادث عالمية لا الحالات الكويتية. ليس لدينا دليل على مستوى الحادثة من الضحايا الكويتيين، لذا ينبغي فهم التكتيكات أدناه على أنها أساليب معروفة عن كل مجموعة عمومًا، لا إثباتًا لما جرى لشركة كويتية بعينها. تشير معرّفات التقنيات إلى MITRE ATT&CK.

ملخص: الدافع والحضور

القواسم المشتركة بين الجهات

تختلف أسماء المجموعات الثلاث ذات الدافع المالي لكن أساليبها تتشابه. وعلى مستوى النشاط العالمي الموثق، تسرق المجموعات الثلاث البيانات قبل التشفير، وتعطّل Qilin أيضًا أدوات الأمان. ولا يثبت ذلك استخدام هذه الأساليب في الادعاءات الكويتية الواردة في هذا التقرير.

العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث كويتية.

ملفات مجموعات التهديد

جهة مرتبطة بالحرب

• Nasir Security. جهة تهديد مرتبطة بالحرب ادّعت أيضًا الهيئة الاتحادية للجمارك في الإمارات في 26 مارس. وفي 5 أبريل ادّعى منشورها وزارة الداخلية الكويتية، بعبارة «لم يعد أي من حلفاء أمريكا محميًا». لم تقدّم حجم بيانات ولا دليلًا، ويؤرّخ أحد المجمّعات الادعاء نفسه في 22 أغسطس. وتشير الأوصاف العامة لهذه الجهة إلى الهندسة الاجتماعية واختراق البريد الإلكتروني للأعمال وضعف خدمات الطرف الثالث السحابية، لا إلى برمجيات فدية أو برمجيات خبيثة مخصصة. نتعامل مع الادعاء بوصفه نشاط تأثير إلى أن يظهر دليل.

مجموعات سابقة في السجل الكويتي

• LockBit 3.0. نشرت مطحنة دقيق وشركة طيران وطنية في 2022، ووزارة تجارة وجمعية مهندسين في 2023، ومجموعة مقاولات كبيرة في 2024.
• Alphv وQuantum وRhysida وNoescape. ادعاء كويتي واحد لكل منها بين 2022 و2023: شركة لوجستيات وشركة طيران ووزارة مالية وشركة معدات إنشاءات.
• Sarcoma وChort. في 2024، مجموعة فنادق وهيئة عامة للزراعة. وChort مجموعة ابتزاز بيانات أحدث ضربت أيضًا جهات تعليمية أمريكية.
• ادعاءات 2025. Nightspire (شركة غاز)، وThe Gentlemen (مصنّع إسمنت)، وKraken (شركة خدمات اتصالات)، وRadar (مجموعة تجارية)، وKazu (وزارة أشغال عامة)، وClop (مجموعتان متعددتا الجنسيات مقرهما الكويت في 21 نوفمبر، وهو نمط يتسق مع حملات تستغل ثغرة واحدة للوصول إلى ضحايا كثيرين، وإن كنا لا نستطيع ربط هاتين المجموعتين بثغرة بعينها).

7. ما بعد مواقع التسريب: ادعاءات المنتديات

تنشر عصابات برمجيات الفدية ضحاياها على مواقعها الخاصة. أما بقية الجهات فتنشر في المنتديات الإجرامية: بائعو البيانات ووسطاء الوصول والهاكتيفيست وطالبو الشهرة. راجعنا 24 منشورًا يستهدف الكويت، نُشرت بين 26 يناير و23 سبتمبر 2026: 15 منها في المنتديات، وثلاثة على تيليغرام، وستة على موقع بائع واحد على شبكة Tor. وبحسب الربع هي 6 و13 و5، ويحمل يونيو وحده 8. لا نذكر أسماء الضحايا هنا، لأن الادعاءات غير مؤكدة وقد تؤدي تسمية الجهة المستهدفة إلى تضخيم ادعاء غير مثبت.

ما تستهدفه المنشورات الأربعة والعشرون

• الحكومة والأمن: 7. منشورات تسمّي وزارات الداخلية والدفاع والتعليم العالي والكهرباء، وجهازًا للأمن الوطني، وسجل المدنيين (مرتين).
• المالية: 5. إدراجات 13 يونيو الخمسة: البنك المركزي وجهتان حكوميتان للإقراض وبنكان كبيران.
• قواعد بيانات المواطنين: 2. إحداهما موسومة بعدد سكان 8.5 مليون والأخرى بـ«ملايين المواطنين الكويتيين».
• الاتصالات: 2. عرضان لقواعد بيانات من اسم واحد في فبراير، يسمّيان مشغّلين للهاتف المحمول.
• الطيران: 2. عرضان لبيانات شركة طيران من اسمين مختلفين بفارق ستة أشهر، أحدهما يدّعي 15 مليون سجل مسافر والآخر مؤرّخ في 11 سبتمبر.
• التعليم والطاقة وغيرهما: 6. جامعة وشركة نفط وغاز وأربعة إدراجات استهلاكية أو غير مصنفة، منها عرض العملات الرقمية في 12 يوليو.

من ينشر

نشر ستة عشر اسمًا مستعارًا 24 منشورًا. نشر cabyc ستة (ربعها)، ونشر 0cx00iq ثلاثة كلها ضد جهات حكومية وأمنية، ونشر اسم واحد عرضين للاتصالات. ونشر الثلاثة عشر الآخرون مرة واحدة لكل منهم. وثلاثة أسماء تربط الكويت بجاراتها: نشر cabyc أيضًا في قطر، والاسم Ashborn هنا وTheAshborn في عيّنتنا البحرينية على الأرجح بائع واحد وإن لم نستطع تأكيد ذلك، وادّعت Nasir Security أيضًا الإمارات وعُمان.

لماذا يهم هذا لخطر برمجيات الفدية

لا يمثل أي من هذه الإدراجات ادعاء فدية، لكن الوصول وبيانات الاعتماد المباعة في المنتديات هي واجهة سلسلة برمجيات الفدية. وسجل مواقع التسريب البالغ ستة ادعاءات لا يقول الكثير عن حجم الوصول المعروض للبيع، وتشير المنشورات الأربعة والعشرون إلى أن العرض أوسع من سجل مواقع التسريب. لا يمكننا ربط أي إعلان بأي ادعاء ولا نفعل. وسبب مراقبة المنتديات هو الفاصل بين البيع والادعاء العلني، وهو عادةً من أيام إلى أسابيع.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. في ادعاءات الجهات الحكومية والأمنية، تحقق قبل التصعيد: هل البيانات قديمة أو عامة، وهل تطابق سجلاتك، وهل يعرض صاحب المنشور عينات.

8. تحديث خارج نطاق التقرير: أكتوبر 2026

لم نجد أي ادعاء جديد مرتبط بالكويت على مواقع التسريب بين 1 و10 أكتوبر. وآخر ادعاء هو ادعاء المستشفى في 28 مايو، قبل نحو أربعة أشهر ونصف من هذا التقرير. ولا نقرأ هذه الفجوة أمانًا: فهي تعقب دفعة تقودها مجموعة، واستمرت عروض المنتديات حتى سبتمبر.

9. كيف يدخلون

تُظهر مواقع التسريب الضحايا لا الاختراقات، لذا يعتمد هذا القسم على تقارير إقليمية وتقارير جهات متخصصة عامة. الصورة المتسقة:

• وصول عن بُعد مكشوف وحسابات صحيحة. تُرصد استعانة شركاء Qilin وLockBit 5.0 بحسابات VPN صحيحة وخدمات وصول عن بُعد مكشوفة وأدوات إدارة عن بُعد تندمج مع الإدارة المعتادة.
• شراء الوصول وبيانات اعتماد مسروقة. يعرض بائعو المنتديات بيانات الاعتماد والوصول ومقتطفات قواعد البيانات بأسعار زهيدة، وتغذّي قوائم الدمج هجمات حشو بيانات الاعتماد والاستيلاء على الحسابات واختراق البريد الإلكتروني للأعمال.
• الثقة بالموردين. قد يعكس ادعاء متكامل الأمن وإدراجات 13 يونيو المشتركة وجود أطراف ثالثة مشتركة، وهي فرضية واحدة تستحق التحقق من بين فرضيات عدة.
• تعطيل دون اختراق. تعتمد حملات حجب الخدمة على بنية مؤجَّرة لا على الدخول إلى الشبكات، فالدفاع هو السعة والتصفية لا أدوات الأجهزة الطرفية.

10. الإطار التنظيمي

لم نجد قانونًا عامًا لحماية البيانات الشخصية في الكويت. وتصف تعليقات مكاتب قانونية بدلًا من ذلك منظومة متفرقة: القانون رقم 20 لسنة 2014 بشأن المعاملات الإلكترونية، الذي يقيّد جمع البيانات الشخصية دون وجه حق، والقانون رقم 63 لسنة 2015 بشأن مكافحة جرائم تقنية المعلومات، الذي يعاقب على الدخول غير المصرح به والإفشاء. وأصدرت الهيئة العامة للاتصالات وتقنية المعلومات (CITRA) لائحة لخصوصية البيانات تنطبق على المزوّدين الحاصلين على ترخيصها، ويصف معلّقون التزامًا بالإبلاغ عن الخروقات إلى الهيئة وإلى الأفراد المتضررين خلال 24 ساعة، مع استثناء حيث طُبّقت ضمانات فعالة. وتختلف المصادر في رقم اللائحة وسنتها (42 لسنة 2021 أو 26 لسنة 2024)، ولم نتمكن من تأكيد أي منهما على موقع الهيئة نفسه، لذلك لا نعتمد رقمًا. وتخضع البنوك لبنك الكويت المركزي، ولم نراجع قواعده. وكل ما هنا يستند إلى تقارير ثانوية لا إلى نصوص الأدوات التشريعية. استشر مستشارًا قانونيًا في أي حالة بعينها. لسنا قانونيين.

11. التوقعات للربع الرابع 2026 والأول 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات المحدودة أعلاه.

1. يبقى حجم مواقع التسريب منخفضًا، مع دفعات. نتوقع من ادعاء إلى أربعة ادعاءات في الربع، وهو نطاق تقديري منخفض الثقة يستند إلى سجل صغير جدًا قد يتأثر بتغير نشاط المجموعات وتغطية مواقع التسريب.
2. تبقى LockBit 5.0 الاسم الأرجح للتكرار. فقد صنعت نصف الادعاءات هنا ودفعة إقليمية ثانية في عُمان، فتوقع مزيدًا من الأهداف المتوسطة على دفعات.
3. يبقى المورّدون في الواجهة. يحتفظ المتكاملون والمقاولون والموزّعون بملفات العملاء بدفاعات أصغر من دفاعات العملاء أنفسهم.
4. ستتحول بعض إعلانات المنتديات إلى ادعاءات. قد تتحول بعض عروض الوصول المنشورة في المنتديات إلى ادعاءات باستهداف منشآت كويتية على مواقع التسريب خلال أسابيع، وتستحق الإعلانات المالية والحكومية التحقق الآن.
5. مسار الحرب ورقة غير محسومة. تلت ادعاءات حجب الخدمة والادعاءات السياسية الضربات في مارس، وقد تعود سريعًا مع أي تصعيد.

12. ما يجب فعله هذا الربع

1. ابدأ بحافة شبكتك. احصر كل VPN وجدار حماية وبوابة وصول عن بُعد مواجهة للإنترنت. ضع هدفًا داخليًا مقترحًا لا يتجاوز 48 ساعة لتحديث الثغرات التي يجري استغلالها فعليًا، واعتمد ضوابط تعويضية حيث يتعذر التحديث الفوري، وحدّد الأولوية بحسب تأكيد الاستغلال ودرجة التعرض وأهمية الأصل وإرشادات المورّد.
2. تحقّق من عرض بيانات اعتمادك للبيع. ابحث في سجلات برمجيات سرقة المعلومات وقوائم الدمج وإعلانات الوسطاء عن حسابات الموظفين والموردين، وغيّر كلمات مرور الحسابات التي ظهرت بيانات اعتمادها، وألغِ الجلسات النشطة، وتحقق من إعادة استخدام كلمات المرور. وعلى البنوك والوزارات البدء بهذا، بالنظر إلى الحالتين 5 و6.
3. رتّب متكامليك ومورّديك بحسب ما يحتفظون به. يحتفظ متكاملو الأمن والمقاولون والموزّعون ومزوّدو تقنية المعلومات في سلسلة توريدك بمخططاتك وعقودك وبيانات اعتمادك. اطلب من كل منهم دليلًا على المصادقة متعددة العوامل وEDR ونسخ احتياطية غير متصلة.
4. راقب أدوات الإدارة عن بُعد التي لم تثبّتها. يُرصد استخدام شركاء LockBit 5.0 لها، فنبّه على المهام المجدولة الجديدة ووكلاء الإدارة عن بُعد الجدد ونقل البيانات الكبير إلى الخارج قبل أي تغيير في الملفات.
5. استعدّ لحجب الخدمة. على بوابات الحكومة والبنوك والطيران تأكيد ترتيبات التصفية وتنقية حركة المرور لدى مزوّديها قبل التصعيد التالي.
6. استعدّ لاحتمال الابتزاز المزدوج. اعرف من يُخطر جهتك الرقابية، ومن يطلع مجلس الإدارة، ومن يقرر التفاوض. وثّق هذه الإجراءات واختبرها.
7. راقب ظهور اسم مؤسستك. قد تنشر مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بياناتك قبل أن تعلم بالاختراق. وقد يمنحك الاكتشاف المبكر في هذه المصادر بضعة أيام.

المصادر

• Check Point Research, The State of Ransomware Q1 2026
• Check Point, LockBit 5.0 returns
• Proven Data, LockBit 5.0 technical analysis and TTPs
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• DeXpose, Everest strikes Sidra Kuwait Hospital
• DeXpose, Nasirsecurity targets Kuwait Ministry of Interior (secondary source, dates the claim to 22 August)
• Kuwait in the 2026 Iran war (event timeline)
• SOCRadar, Dark Web Profile: DieNet
• DLA Piper, Data protection laws in Kuwait (secondary source)
• Access Partnership, Kuwaiti regulator introduces new data protection regulation (secondary source)

تُعرض المصادر بلغاتها الأصلية.