برمجيات الفدية وادعاءات سرقة البيانات في المغرب العربي خلال الأرباع الثلاثة الأولى من عام 2026

الخلاصة

تستعرض هذه الخلاصة خمس نتائج رئيسية تهم مجالس الإدارة ومسؤولي أمن المعلومات في المغرب العربي، وكذلك الشركات التي تتعامل مع جهات في المنطقة أو تبيع منتجاتها وخدماتها فيها.

1. محدودية ادعاءات برمجيات الفدية لا تعني انخفاض المخاطر. رصدنا 20 ادعاءً مرتبطًا بالمغرب العربي خلال الأشهر التسعة الأولى من عام 2026، موزعة على الأرباع الثلاثة بواقع 5 و10 و5 ادعاءات. يعادل هذا العدد نحو ربع الادعاءات الـ83 المسجلة في أسواقنا الخليجية الست، ونحو تسع الادعاءات الـ185 المرصودة في فرنسا. غير أن هذه الأرقام تعكس ما رصدته مجموعتنا، ولا تمثل قياسًا قابلًا للمقارنة للحجم الفعلي للحوادث. فصغر الأسواق، وضعف الإبلاغ، ومحدودية التغطية المتاحة بلغات المنطقة، كلها عوامل تحدّ من الرؤية. أما الأعداد السنوية الخام في أداة الرصد، قبل التنقية وبالاستناد إلى بيانات تاريخية غير متكافئة، فتبلغ 9 إدخالات لعام 2023، و15 لعام 2024، و23 لعام 2025، و23 حتى الآن في عام 2026.
2. يتركز النشاط المرصود في المغرب. تستهدف 13 من الادعاءات العشرين، أي 65%، جهات مغربية، مقابل أربع جهات تونسية وجهتين ليبيتين وجهة جزائرية واحدة، من دون أي ادعاء يستهدف جهة موريتانية ضمن النطاق المحدد. ويتصدر المغرب أيضًا مشهد المنتديات، مع 80 منشورًا من أصل 129 في أداة الرصد، علمًا بأن فترة المنتديات أطول من فترة مواقع تسريب البيانات.
3. شركات الخدمات حلقة مهمة في سلسلة المخاطر. تستهدف خمسة ادعاءات من أصل 20، أي 25%، شركات تعمل في التعهيد والتوظيف والتدقيق والمحاسبة. تحتفظ هذه الشركات بسجلات الرواتب والموارد البشرية وبيانات العملاء لصالح جهات أخرى في أوروبا والمنطقة. وتذكر إدراجات أخرى منشآت مغاربية تابعة لشركات أجنبية، مثل المصانع ومراكز الدعم، لكننا استبعدناها لأن مقار الشركات المعنية تقع خارج المنطقة. وقد يكون أثر هذه الحالات على العملاء الخارجيين غير مباشر، لكنه يستحق التقييم.
4. تتركز استهدافات الجهات العامة في منشورات المنتديات وقنوات تيليغرام. تعرض أداة رصد واحدة 129 منشورًا للدول الخمس خلال نحو أغسطس 2025 إلى أكتوبر 2026، وهي نافذة أطول من نافذة ادعاءات مواقع تسريب البيانات: 80 للمغرب و20 للجزائر و17 لتونس و10 لليبيا و2 لموريتانيا. ومن المنشورات التي أمكننا فحص تفاصيلها (35 مغربيًا بعد استبعاد منشور واحد، و20 جزائريًا، و17 تونسيًا، و10 ليبية)، تشير 9 و12 و5 و5 منها على التوالي إلى وزارات أو هيئات أو برامج عامة. وتستحوذ خمسة حسابات على 44% من منشورات المغرب، وتتكرر خمسة حسابات على الأقل في أكثر من دولة، وهذا لا يثبت أنها تعود إلى مشغّلين واحدين.
5. يقدّم مصرف ليبيا المركزي مثالًا موثقًا على الاستجابة العلنية. بعد أن أدرجت مجموعة Qilin المصرف في 22 يونيو، أعلن المصرف رفضه الابتزاز، وأوضح أنه لم يعثر على أدلة مؤكدة على الوصول إلى الحسابات أو الأرصدة أو الأصول، مشيرًا إلى احتمال ارتباط البيانات بعملية اختراق سابقة. وفي تحذير منفصل، نبّه جهاز الأمن الداخلي إلى احتواء بعض الملفات المتداولة على برمجيات خبيثة. وتوضح الحالة كيف يمكن أن يجمع ادعاء واحد بين بيانات منشورة فعلًا ومعلومات قديمة، من دون أن يثبت بالضرورة جميع مزاعم المهاجم.

نقيّم مستوى المخاطر بأنه مرتفع بالنسبة إلى مزوّدي الخدمات في المغرب والجهات العامة في الدول الخمس، ومرتفع نسبيًا بالنسبة إلى شركات التصنيع والأدوية والتجزئة في المغرب وتونس، وكذلك بالنسبة إلى مؤسسات الطاقة والقطاع المالي في ليبيا، مع محدودية الرؤية في الحالة الأخيرة. وهذه تقديرات تحليلية خاصة بنا، تستند إلى ادعاءات منشورة على مواقع تسريب البيانات ومنشورات في المنتديات لم نتحقق بصورة مستقلة من صحتها.

1. النطاق وحدود ما تكشفه الأرقام

يغطي هذا التقرير الادعاءات التي تذكر منشآت في المغرب والجزائر وتونس وليبيا وموريتانيا والمنشورة على مواقع تسريب البيانات بين 1 يناير و30 سبتمبر 2026. وتُذكر الادعاءات المؤرخة في أكتوبر بصورة منفصلة بوصفها تطورًا لاحقًا. ويعرض المتتبع 23 إدخالًا من هذا النوع للدول الخمس. وبعد استبعاد المنشآت التي يقع مقرها في مكان آخر يبقى 20. واستبعدنا إدخالًا يخص مكتب ملكية فكرية تشيليًا وآخر يخص مصنّع إسمنت باكستانيًا وثالثًا يخص مجموعة أجهزة منزلية مصرية، وكلها مسجلة تحت دولة خاطئة. ونحتسب النطاق أو اسم المنشأة نفسه المدرج مجددًا خلال 14 يومًا، من المجموعة نفسها أو من أخرى، مرة واحدة، ولم نجد تكرارًا من هذا النوع. وقد تدمج هذه القاعدة حوادث منفصلة فعلًا لدى المنشأة نفسها، لذا يُحتسب الإدراج المتكرر ادعاءً واحدًا لا دليلًا على حادثة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، استنادًا إلى نطاقها وملفها العام، فلا يُحتسب مصنع أو مركز خدمات تابع لشركة مملوكة لجهة أجنبية. وقد تكون بعض أوصاف الشركات في المتتبع مولّدة آليًا، ولم نتحقق بصورة مستقلة من دقتها. ويؤرخ متتبع ثانٍ راجعناه بعض الإدخالات تاريخًا مختلفًا ويعرض بعض ما لا يعرضه الأول. وتختلف الرؤية من دولة إلى أخرى، فالأعداد ليست إجماليات كاملة للحوادث. وأرقام المنتديات مأخوذة من عامل التصفية الخاص بالدولة في أداة رصد تجارية، وتغطي نافذة أطول من نافذة ادعاءات مواقع تسريب البيانات (من نحو أغسطس 2025 إلى أكتوبر 2026)، ولا تُقارن بها.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع تسريب البيانات، وهي المواقع التي تنشر عليها المجموعات البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر.
• ادعاء المجموعة ليس دليلًا على الاختراق. نستخدم «ادعاء» للإدراج غير الموثق و«حادثة» للحدث المثبت فقط. لم نتحقق بصورة مستقلة من صحة أي مجموعة من البيانات المنشورة، وتعيد عدة منشورات في المنتديات استخدام بيانات قديمة أو عامة.
• قد تُنشر إدراجات الهاكتيفيست في توقيت سياسي، وقد تكون ادعاءً ورسالة في آن واحد. ولا نذكر جنسية أي جهة أو راعيها إلا إذا ذكرتها تقارير عامة، ولا نربط بين أسماء متشابهة عبر السنوات دون دليل.

المصطلحات المستخدمة. برمجيات الفدية كخدمة (RaaS): نموذج يوفّر فيه مطوّرو برمجيات الفدية الأدوات والبنية التحتية لشركاء ينفذون الهجمات، مقابل تقاسم العائدات. الكشف والاستجابة عند نقطة النهاية (EDR): تقنيات أمنية تراقب الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والتحقيق فيها والاستجابة لها. وسيط الوصول الأولي (IAB): جهة تبيع وصولًا قائمًا إلى شبكة مخترقة أو إلى حسابات تتيح الدخول إليها. الهاكتيفية (Hacktivism): نشاط هجومي سيبراني تحرّكه دوافع سياسية أو أيديولوجية. الصدفة البرمجية للويب (Web shell): نص أو برنامج صغير يُزرع على خادم ويب لإتاحة تنفيذ أوامر عليه عن بُعد. تعهيد العمليات التجارية (BPO): إسناد عمليات تجارية، مثل خدمة العملاء أو معالجة البيانات، إلى مزوّد خارجي.

2. التسلسل الزمني: نشاط محدود وذروة في الربيع

يبلغ التدفق نحو ادعاءين في الشهر. وتبلغ الذروة في الربع الثاني 10 لأن مجموعة واحدة أدرجت أربع مؤسسات مغربية في يوم واحد، هو 27 أبريل في المتتبع الذي نعتمد عليه و26 مارس في متتبع ثانٍ (الحالة 2)، ويقع الادعاءان الليبيان في أبريل ويونيو. وإن صح تاريخ المتتبع الثاني فسيكون الربع الأول 9 والثاني 6. وللمغرب ادعاءات في كل ربع، 3 و5 و5، بينما تمثل الادعاءات التونسية الثلاثة في الربع الثاني آخر ما لديها في النافذة. ولا يعرض المتتبع أي ادعاء جديد للدول الخمس بين 26 سبتمبر و11 أكتوبر.

أعمدة السنوات هذه أعداد خام للمتتبع، وليست الادعاءات الـ 20 المنقّاة الواردة في بقية التقرير. وهي تُظهر أن إدخالات المتتبع لعام 2026 حتى 11 أكتوبر تساوي مجموع 2025 كله، بعد أن كانت 9 في 2023. ولأن السنوات الأقدم جُمعت بصورة أضعف ولأن الأعداد غير منقّاة، نقرأ الأعمدة بوصفها إشارة صعود لا معدل نمو مقيسًا. وعمود 2026 هو المجموعة نفسها من الـ 23 إدخالًا الخام ضمن النطاق قبل أن نستبعد ثلاثة مسجلة تحت دولة خاطئة، ولا يتضمن أي إدخال من أكتوبر؛ وبعد التنقية يبقى 20 ادعاءً أحدثها مؤرخ في 25 سبتمبر. ولم نجد إحصاءات رسمية في المغرب العربي عن حوادث برمجيات الفدية لمقارنتها بها، وإن أبلغت المديرية الوطنية للأمن السيبراني في المغرب عن 879 حادثة سيبرانية من كل الأنواع في 2025 (القسم 10).

3. لمحة عن مجموعات برمجيات الفدية

تُنسب الادعاءات العشرون إلى 11 مجموعة. وتتصدر APT73 القائمة بأربعة ادعاءات وردت جميعها في دفعة واحدة مؤرخة في 27 أبريل، أو 26 مارس في متتبع ثانٍ. أما Qilin وTengu وThe Gentlemen، فقد نُسب إلى كل منها ثلاثة ادعاءات، وقدّمت المجموعات السبع الأخرى ادعاءً واحدًا لكل منها. وتظهر عشر مجموعات من أصل 11 أيضًا في بياناتنا الخاصة بفرنسا، وتُنسب إليها مجتمعةً 19 من الادعاءات العشرين المرتبطة بالمغرب العربي. أما Stormous فهي المجموعة الوحيدة التي لا تظهر في بياناتنا الفرنسية. تشير هذه النتيجة إلى أن المغرب العربي يمثل سوقًا ثانوية لعلامات برمجيات فدية تنشط أساسًا في أوروبا وأمريكا الشمالية، وليس سوقًا تهيمن عليه مجموعات محلية مستقلة.

المجموعات الناشطة في المغرب العربي وفرنسا وتركيا

تستند الأرقام الفرنسية والتركية إلى تقريرينا عن فرنسا وتركيا. اقرأ تقرير فرنسا · اقرأ تقرير تركيا

4. الجهات المستهدفة

تصنيفنا للادعاءات الـ 20 باستخدام وسوم القطاعات في المتتبع مع تصحيح القليل مما تبيّن لنا أنه خاطئ. يُحتسب كل ادعاء مرة واحدة.

نظرًا إلى محدودية عدد الادعاءات، ينبغي التعامل مع هذا التوزيع بوصفه مؤشرًا أوليًا، لا إحصاءً شاملًا. تتصدر خدمات الأعمال القائمة بنسبة 25%، وتشمل مزوّدًا لخدمات العملاء بالتعهيد، وشركتي توظيف، ومكتب تدقيق ومحاسبة، وشبكة استشارات. ويأتي التصنيع في المرتبة التالية بنسبة 20%، ويشمل جهات تتراوح أنشطتها بين تصنيع الأدوات الصحية والهندسة وتصنيع الحافلات، إضافة إلى مجموعة جزائرية متنوعة الأنشطة. ثلاثة ادعاءات فقط من أصل 20 تستهدف جهات عامة، لكن الصورة تختلف في سوق المنتديات، حيث تظهر الجهات العامة بوصفها الفئة الأكثر شيوعًا ضمن المنشورات التي أمكننا مراجعتها (القسم 7). وبالمقارنة مع تركيا، حيث تستهدف 39% من الادعاءات شركات التصنيع، وفرنسا، حيث تبرز الشركات الصغيرة والبلديات، تبدو قائمة الأهداف في المغرب العربي أكثر ارتباطًا بقطاع الخدمات.

في المغرب العربي كثيرًا ما تكون الجهة المدرجة شركةً وسيطةً تحتفظ ببيانات عملاء آخرين.

5. دراسات حالة

تُظهر الأعداد شكل المشكلة، وتُظهر الحالات الفردية كيف تعمل. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. شركات الخدمات: خمس جهات وأربع مجموعات

الادعاءات. أُدرجت خمس شركات خدمات على مواقع تسريب البيانات: شبكة استشارات ومحاسبة في المغرب (Tengu، 20 فبراير)، ومزوّد لخدمات العملاء بالتعهيد في المغرب (Qilin، 4 مارس)، وشركة توظيف تونسية (Titan، 14 أبريل)، ومكتب تدقيق ومحاسبة مغربي (Qilin، 10 يوليو)، ووكالة توظيف مغربية كانت سابقًا جزءًا من علامة توظيف عالمية (The Gentlemen، 14 أغسطس). وتُنسب هذه الادعاءات الخمسة إلى أربع مجموعات مختلفة. وتوجد خارج نطاق إحصاءاتنا إدراجات أخرى تشير إلى منشآت مغاربية تابعة لشركات أجنبية: أحدها يذكر مصانع لشركة ألمانية لصناعة الكابلات، من بينها مصنع في تونس، ويدّعي تسريب 1.1 تيرابايت من البيانات عبر خمسة مواقع، ويشير آخر إلى عملية دعم فني بالتعهيد مقرها بين هولندا وتونس، مع ادعاء تسريب 86.7 مليون سجل اتصال.
القراءة. تحتفظ شركات الخدمات هذه بكشوف الرواتب ووثائق الهوية والعقود وبيانات العملاء لصالح عدد كبير من المؤسسات، كثير منها في أوروبا. ويُعد المغرب العربي قاعدة مهمة لخدمات العملاء والتوظيف باللغة الفرنسية، ما يجعل هذه الشركات حلقة محتملة في سلسلة المخاطر. فإذا اختُرقت شركة خدمات تحتفظ ببيانات عملائها، فقد تتعرض تلك البيانات للسرقة من دون اختراق شبكات العملاء مباشرةً. وهذا احتمال يستحق التقييم، لكنه ليس نتيجة مثبتة في الحالات المذكورة، كما أن الأحجام الكبيرة المزعومة للمنشآت التابعة لشركات أجنبية لم نتمكن من التحقق منها.
الثقة. مرتفعة في وجود الإدراجات المنشورة. متوسطة في تحليل مخاطر المورّدين، لأنه استنتاج تحليلي. منخفضة في أحجام البيانات المزعومة في حالات المنشآت التابعة لشركات أجنبية.

الحالة 2. يوم واحد وأربع مؤسسات وطنية (APT73)

الادعاءات. في 27 أبريل أدرجت APT73 أربع جهات مغربية: قناة تلفزيونية وطنية، ومعهدًا للدراسات الاستراتيجية مملوكًا للدولة، ومشغّل الاتصالات الوطني، والهيئة المنظمة للاتصال السمعي البصري. لكن متتبعًا ثانيًا يسجّل الإدراجات الأربعة نفسها بتاريخ 26 مارس.
القراءة. إن إدراج أربع جهات وطنية تنشط في الإعلام والاتصالات والبحث والتنظيم معًا من العلامة نفسها قد يشير إلى حملة تهدف إلى لفت الانتباه وإحداث أثر دعائي، بدلًا من الاقتصار على ابتزاز مالي تقليدي يستهدف شركة واحدة. وهذه قراءتنا لا نتيجة. ولا تتوفر لدينا أدلة تثبت طبيعة البيانات التي سُرقت، إن كانت قد سُرقت أصلًا، ولا ردود علنية من الجهات الأربع. كما أن اختلاف التاريخ بين المتتبعين يحدّ من الثقة التي يمكن منحها للتاريخ المسجل في أي من مواقع تسريب البيانات.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في ما يتعلق بالبيانات المزعومة والدافع والتاريخ الدقيق.

الحالة 3. ليبيا: مصرف مركزي وشركة نفط وموانئ

الادعاءات. أدرجت Payload شركة نفط ليبية في 8 أبريل، ثم أدرجت Qilin مصرف ليبيا المركزي في 22 يونيو. وفي 30 يونيو أعلن المصرف أنه رفض التفاوض مع المهاجمين أو دفع فدية، وأنه لم يعثر على مؤشرات مؤكدة إلى اختراق الحسابات أو الأرصدة أو الأصول، وأضاف أن الخدمات الأساسية استمرت في العمل، وأن البيانات المتداولة قد تكون مرتبطة بعملية اختراق سابقة. وفي تحذير منفصل، نبّه جهاز الأمن الداخلي الليبي إلى أن بعض الملفات المسرّبة تحتوي على برمجيات خبيثة قد تصيب الأجهزة التي تُفتح عليها، ودعا إلى عدم تنزيل الملفات من مصادر غير موثوقة، محذرًا من أن تداول الوثائق قد تترتب عليه مسؤولية قانونية. أما في بيانات المنتديات، فقد نشر حساب باسم EvaN47 خمسة من المنشورات الليبية العشرة بين 30 يونيو و24 سبتمبر، وشملت الجهات المذكورة وزارة التعليم التقني والمهني، ووزارة الخارجية، وشركة للموانئ، والهلال الأحمر، والمؤسسة الوطنية للنفط.
القراءة. رغم محدودية الادعاءات على مواقع تسريب البيانات، تشير منشورات المنتديات إلى نشاط متواصل يستهدف جهات حكومية ومشغّلين حيويين في ليبيا، بمتوسط يقارب إدراجًا واحدًا أسبوعيًا خلال سبتمبر. ويقدّم بيان المصرف المركزي مثالًا على الاستجابة العلنية المتوازنة: فهو لا يؤكد ما تعذّر التحقق منه، لكنه لا ينفي وجود بيانات متداولة. كما يبرز التحذير من البرمجيات الخبيثة ضرورة التعامل مع الملفات المسرّبة بوصفها محتوى قد يكون عدائيًا، وعدم فتحها على أجهزة العمل المعتادة، بل في بيئات تحليل معزولة ومضبوطة. ولا نملك دليلًا يربط منشورات المنتديات بادعاءات برمجيات الفدية، ولذلك لا نفترض وجود صلة بينهما.
الثقة. مرتفعة في وجود الإدراجات وفي مضمون بيان المصرف المعلن. منخفضة في صحة البيانات المزعومة وفي أي علاقة بين الجهات المعنية.

الحالة 4. سوق المنتديات في المغرب: اسم واحد وثمانية إدراجات في عشرة أيام

الادعاءات. بين 1 و10 أكتوبر نشر اسم واحد، Nameless511، ثمانية إدراجات مغربية: سلسلة تجزئة رياضية، ومجموعتا بيانات لوزارتين وملف للصحفيين، وجامعة، ومتجر حواسيب مرتين، وموقعًا مغربيًا للاستضافة أو التجارة الإلكترونية، ووزارة الإسكان. وصنع اسم آخر، anisanas2، 12 من منشورات المغرب الـ 80، بينها وزارة الاستثمار وموزّع طبي وشركة توصيل وموقع إعلانات مبوّبة. كما أدرج بائع في 10 سبتمبر استغلالًا لتنفيذ تعليمات برمجية عن بُعد وحقن SQL لأهداف مغربية.
القراءة. يهيمن على سوق المغرب عدد قليل من البائعين الغزيري النشر، يغطون الجهات العامة والمواقع الاستهلاكية. وأُدرجت وزارة في 2 أكتوبر مرتين في اليوم نفسه من اسمين، مرة في منتدى ومرة في تيليغرام، ما يوحي بإعادة نشر أو ادعاءات متنافسة لا باختراقين. وتذكر عناوين عدة أحجامًا مزعومة كبيرة جدًا لا يمكننا التحقق منها، منها عنوان يذكر «109,683K» ولا نستطيع تأكيد وحدته. وبعض العناوين موسوم خطأً: إذ يشير إدراج مصنّف تحت المغرب إلى مكتب اقتصاد في ولاية مكسيكية.
الثقة. مرتفعة في وجود المنشورات. منخفضة في أن كلًا منها يصف اختراقًا حقيقيًا وجديدًا.

الحالة 5. حسابات عابرة للحدود ودوافع سياسية محتملة

الادعاءات. يظهر خمسة أسماء على الأقل في أكثر من دولة: xNov (7 منشورات في المغرب، إضافة إلى لوحة إدارة تونسية وجامعة جزائرية)، وKeymous (3 في المغرب، إضافة إلى شركة تأمين تونسية)، وanisanas2 (12 في المغرب، إضافة إلى مديرية بحث جزائرية)، وInfrastructure Destruction Squad (وزارة الدفاع الجزائرية مرتين، إضافة إلى شركة طيران ليبية)، وElite Squad (جامعة ليبية وجمعية مغربية). وتظهر عائلة أسماء بالجذر نفسه (dark07x وDark07xx وdark07xxxx) في الجزائر وتونس. وذُكرت وزارة الدفاع الجزائرية أربع مرات في سبتمبر من اسمين، بمنشورين لكل منهما. وفي 24 سبتمبر، في اليوم التالي للانتخابات التشريعية المغربية في 23 سبتمبر، نشر اسم إدراجًا عن الانتخابات. وفي أبريل 2025 ادعت مجموعة قرصنة جزائرية تُدعى JabaRoot DZ اختراقًا كبيرًا لصندوق الضمان الاجتماعي في المغرب، قائلة إنه ردّ على السيطرة على حساب وكالة أنباء جزائرية، ونشرت بيانات على تيليغرام قال باحثون إنها تغطي نحو مليوني موظف. وتظهر في إدراجات 2026 أسماء بتسميات مشابهة، هي jabaroot0 وJabrooot.
القراءة. تظهر أسماء حسابات متكررة في منشورات تخص أكثر من دولة، لكن ذلك لا يثبت أنها تعود إلى مشغّلين واحدين أو إلى جهة منظمة مشتركة، وتتجمع الإدراجات حول الأحداث السياسية والتنافس المغربي الجزائري. ولا نربط أسماء 2026 بمجموعة 2025، ولا يمكننا القول من يقف وراء أي اسم. وقد يعني ورود اسم وزارة دفاع في إدراج اختراقًا فعليًا أو تسريبًا قديمًا أو ادعاءً لأجل التأثير.
الثقة. مرتفعة في الإدراجات وفي التقارير العامة عن اختراق 2025. منخفضة في هوية الجهات وفي الصلات بين الأسماء.

الحالة 6. قطاع الاتصالات في تونس ومحدودية الرؤية في موريتانيا

الادعاءات. تشير أربعة من منشورات تونس الـ 17 في المنتديات، التي تؤرخها أداة الرصد من أغسطس 2025 إلى يوليو 2026، إلى مزوّدي اتصالات أو إنترنت: مشغّلان في أغسطس وسبتمبر 2025 من عائلة أسماء واحدة، ووصول إلى بريد الويب لمزوّدَي إنترنت في يوليو 2026، ومزوّد إنترنت في مارس 2026. وتشير إدراجات تونسية أخرى إلى وزارة عدل ومدرسة إدارة ووزارة تكوين مهني وشركة تأمين وقاعدة بيانات قانونية وموقع وظائف بـ 137 ألف صف. وفي موريتانيا لا يعرض المتتبع ادعاءً في النافذة، وتعرض أداة الرصد منشورين، أحدهما يشير إلى مزوّد اتصالات وإنترنت في 15 مايو 2026.
القراءة. بيع الوصول إلى بريد الويب أو الحسابات لدى مزوّد إنترنت أخطر من بيع جدول مسرّب، لأن المشتري يستطيع إعادة استخدامه ضد عملاء المزوّد. وعدد موريتانيا مقياس للرؤية لا للأمان: فقلة الملفات بلغات تيسّر الرصد وقلة التقارير المحلية تعنيان قلة السجلات، وغياب الإدراجات لا يثبت غياب الحوادث.
الثقة. مرتفعة في وجود المنشورات. منخفضة في محتوى أي منها، ومنخفضة جدًا في تعرّض موريتانيا الفعلي.

6. مجموعات التهديد النشطة: الحضور والدوافع والتكتيكات

اخترنا ثلاث مجموعات لعرضها بالتفصيل، بناءً على أهميتها للمدافعين، لا على ترتيبها من حيث الحجم. وتُنسب إلى هذه المجموعات مجتمعة عشرة من الادعاءات العشرين. ولدى Tengu عدد الادعاءات نفسه الذي لدى اثنتين من المجموعات المختارة، لكن المعلومات التقنية المتاحة لدينا عنها أقل من المعلومات المتعلقة بالمجموعات الثلاث أدناه. وتستند المعلومات التقنية العامة إلى تقارير عن حوادث وعمليات نُفذت على مستوى العالم، وليست أدلة على أن الأساليب نفسها استُخدمت ضد الجهات المستهدفة في المغرب العربي. لذلك ينبغي فهمها بوصفها أساليب منسوبة إلى المجموعات عمومًا، لا إثباتًا لما حدث في كل حالة محلية. تشير معرّفات التقنيات إلى إطار MITRE ATT&CK.

تُعرض خمس جهات لديها تقارير تقنية عامة كافية، لكل منها ادعاء واحد على الأقل في المغرب العربي. العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث في المغرب العربي. وتعني الخلية الفارغة أن التقنية غير موثقة في المصادر التي راجعناها، لا أن المجموعة لا تستخدمها. ولا يوجد عمود لـ APT73 لأن لدينا تقارير تقنية عامة أقل عنها.

ملفات مجموعات التهديد

مجموعات أخرى تستحق المعرفة

• Tengu (3). علامة RaaS أحدث تقول جهات متخصصة إنها تعمل عبر خدمات وصول عن بُعد مكشوفة للإنترنت وحسابات شرعية وأدوات النظام نفسه. أدرجت شبكة استشارات في المغرب في 20 فبراير، ومجموعة جزائرية متنوعة في 28 يناير، وشركة أدوات صحية مغربية في 17 يناير.
• Krybit وLockBit 5.0 وINC Ransom وPayload (واحد لكل منها). مجموعة فنادق في مراكش في 12 سبتمبر (Krybit)، ومتجر رياضي إلكتروني في 13 أبريل (LockBit 5.0)، وشركة مغربية مرتبطة بالصيدلة في 25 سبتمبر (INC Ransom)، وشركة نفط ليبية في 8 أبريل (Payload).
• Arcus Media وTitan وStormous (واحد لكل منها). أدرجت Arcus Media شركة هندسة مغربية في 25 يوليو. ويؤرخ المتتبع هذه العلامة لبرمجيات الفدية كخدمة في مايو 2024. وأدرجت Titan شركة التوظيف التونسية في 14 أبريل، وStormous علامة سوبرماركت تونسية في 28 يونيو، وهي المجموعة الوحيدة من الـ 11 التي لا تظهر في بياناتنا الفرنسية.

7. ما وراء مواقع تسريب البيانات: المنتديات والأسواق الإجرامية والهاكتيفية

تنشر مجموعات برمجيات الفدية بيانات ضحاياها عادةً على مواقع تسريب البيانات الخاصة بها. أما الجهات الأخرى، فتستخدم المنتديات الإجرامية وقنوات تيليغرام لنشر البيانات المسروقة أو بيعها، وعرض إمكانية الوصول إلى الأنظمة، أو تنفيذ هجمات ذات دوافع سياسية وأيديولوجية، أو السعي إلى اكتساب الشهرة. وفي المغرب العربي، تكشف هذه القنوات عن مشهد أوسع من ذلك الذي تظهره مواقع تسريب البيانات. إذ ترصد أداة تجارية واحدة 129 منشورًا مرتبطًا بالدول الخمس، ضمن الفترة الممتدة تقريبًا من أغسطس 2025 إلى أكتوبر 2026، مقابل 20 ادعاءً على مواقع تسريب البيانات خلال الأشهر التسعة الأولى من عام 2026. وقد أمكننا الاطلاع على تفاصيل 85 من المنشورات الـ 129: 36 من منشورات المغرب الـ 80 (35 بعد استبعاد منشور مسجل تحت المغرب يخص جهة مكسيكية)، وجميع المنشورات الجزائرية الـ 20 والتونسية الـ 17 والليبية الـ 10، ومنشوري موريتانيا. وتشير أعداد الجهات العامة في هذا التقرير إلى هذه المنشورات المرئية. ولا نذكر أسماء الجهات المستهدفة في هذا القسم، لأن الادعاءات غير مؤكدة، ولأن تسمية جهة بعينها قد تضفي مصداقية غير مستحقة على ادعاء لم يُتحقق منه.

يغطي العمودان نافذتين مختلفتين ولا يُقارنان. وتمتد خلاصة المنتديات من نحو أغسطس 2025 إلى أكتوبر 2026.

كيف تبدو السوق

• متركزة في المغرب ومتفرقة في غيره. تستحوذ الأسماء الخمسة الأنشط في المغرب على 35 من منشوراته الـ 80 (44%): anisanas2 12 وNameless511 8 وxNov 7 وPKA291 5 وKeymous 3. وفي الجزائر وتونس وليبيا لا يتجاوز أي اسم منشورين، باستثناء EvaN47 بخمسة من منشورات ليبيا العشرة.
• تهيمن الجهات العامة على الإدراجات المرئية. في الإدراجات التي أمكننا رؤيتها، تشير 9 من 35 منشورًا مغربيًا (باستثناء بند مكسيكي موسوم خطأً) و12 من 20 منشورًا جزائريًا و5 من 17 منشورًا تونسيًا و5 من 10 منشورات ليبية إلى وزارات أو هيئات أو برامج عامة. وتضيف الجامعات والمدارس 3 للمغرب و3 للجزائر و2 لتونس.
• الوصول إلى جانب البيانات. تعرض عناوين واجهة ويب خلفية ووصولًا إلى جدار حماية على نطاقات حكومية ووصولًا إلى بريد الويب لدى مزوّدي إنترنت ولوحة إدارة واستغلالًا للبيع وقاعدة بيانات محامين. وبيع الوصول يختلف عن بيع البيانات: فيمكن استخدامه مرة أخرى.
• أحجام مزعومة كبيرة واحتمال إعادة نشر بيانات قديمة. يذكر كثير من العناوين عدد السجلات، من 5,000 إلى 137,000 صف إلى مئات الآلاف. وبعضها إدراجات لبيانات قديمة أو مجمَّعة، وبعضها إعادة نشر للبيانات نفسها من اسم ثانٍ.

وكما في غيرها، قد تأتي البيانات التي ينشرها المهاجمون من تسريبات أقدم أو من عدة مصادر، وعلى الضحايا تأهيلها قبل اتخاذ إجراء. فبالنسبة لوزارة أو جامعة أو متجر تجزئة، يعني ذلك فحص تطابق العينة مع السجلات الحالية، وعمر الحقول، وهل يعيد صاحب المنشور بيع ما هو عام أصلًا.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. ولا يمكننا ربط أي إعلان بأي ادعاء ولا نفعل.

8. مستجدات خارج نطاق الفترة المشمولة: أكتوبر 2026

لا يعرض المتتبع أي ادعاء جديد على مواقع تسريب البيانات مرتبط بالدول الخمس بعد 25 سبتمبر. في المقابل، ترصد أداة المنتديات عشرة إدراجات مرتبطة بالمغرب بين 1 و10 أكتوبر، ثمانية منها نشرها حساب واحد، كما ورد في الحالة الرابعة. وتظهر أيضًا إشارة إلى وزارة ليبية في إدراج بتاريخ 7 أكتوبر. وفي 9 أكتوبر، أفادت تقارير صحفية بتأكيد اليابان توقيف مواطن روسي مشتبه في ارتباطه بـ Qilin، وهي المجموعة التي تناولناها في تقاريرنا الأخرى، وربطت التقارير العملية بهجمات استهدفت شركات ألمانية، لا بضحايا في المغرب العربي. ولا تدخل هذه المستجدات ضمن الادعاءات العشرين التي تشكّل أساس التحليل في هذا التقرير.

9. أساليب الوصول الأولي

تُظهر مواقع تسريب البيانات الضحايا لا الاختراقات، لذا يعتمد هذا القسم على تقارير الجهات المتخصصة العامة وعلى طريقة عنونة إدراجات المنتديات. الصورة المتسقة:

• تطبيقات ويب ولوحات إدارة مكشوفة. تشير عناوين كثيرة في المنتديات إلى موقع أو لوحة، ويعرض أحدها استغلالًا لتنفيذ تعليمات برمجية عن بُعد وحقن SQL. وتطبيقات الويب في القطاع العام هي المدخل المعتاد، وقد وجدت المديرية الوطنية للأمن السيبراني في المغرب 20 ثغرة حرجة في 76 تطبيق ويب في القطاع العام دققتها بين يناير وسبتمبر 2025.
• حسابات شرعية وخدمات وصول عن بُعد مكشوفة للإنترنت. تشير تقارير متخصصة إلى أن الشركاء التابعين لـ Qilin وThe Gentlemen وTengu قد يعملون عبر حسابات VPN وخدمات وصول عن بُعد مكشوفة للإنترنت وأدوات تندمج في الإدارة المعتادة. ويتسق إدراج وصول إلى جدار حماية على نطاقات حكومية مع المسار نفسه.
• وصول مشترى. يعرض بائعو المنتديات الوصول إلى بريد الويب ولوحات الإدارة وواجهات الويب الخلفية لدى مزوّدي الإنترنت والوزارات، ويستطيع المشترون اختيار الهدف.
• مزوّدون يخدمون جهات متعددة. تحتفظ شركات التعهيد والتوظيف والاستشارات بملفات عملاء كثيرين، وهذه فرضية تستحق التحقق من بين فرضيات عدة.

10. الإطار التنظيمي

تختلف الأطر القانونية والتنظيمية بين الدول الخمس، ويستند هذا الملخص إلى مصادر قانونية ومراجع عامة، وليس إلى مراجعة مستقلة وشاملة للنصوص الرسمية وتعديلاتها. لذلك ينبغي الرجوع إلى النصوص النافذة والجهات المختصة قبل اتخاذ أي قرار قانوني. المغرب: ينظم القانون رقم 05-20 الأمن السيبراني، ويفرض التزامات على الإدارات العامة والجهات ذات الأهمية الحيوية، بما يشمل الإبلاغ الفوري عن الحوادث إلى المديرية العامة لأمن نظم المعلومات (DGSSI). وفي يناير 2026، أفادت DGSSI بأن عددًا من الجهات لا يصرّح بالحوادث بصورة منتظمة وفي المواعيد المطلوبة، أو يتأخر في تقديم المعلومات التقنية التي تطلبها، ما يحدّ من قدرتها على تكوين صورة دقيقة عن التهديدات الفعلية، ودعت إلى الإبلاغ المنهجي والفوري. وتذكر تسجيل 879 حادثة سيبرانية من مختلف الأنواع في عام 2025. أما حماية البيانات الشخصية، فينظمها القانون رقم 09-08، وتشرف عليه اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، وتشير بعض التعليقات القانونية إلى عدم وجود التزام عام واضح بالإخطار عن خروقات البيانات وفق هذا القانون، مع التوصية بالإخطار. الجزائر: عُدّل القانون رقم 18-07 المتعلق بحماية الأشخاص الطبيعيين في مجال معالجة المعطيات ذات الطابع الشخصي بموجب القانون رقم 25-11 الصادر في 24 يوليو 2025، وتشير بعض التحليلات القانونية إلى أنه أدخل إخطارًا خلال 72 ساعة إلى الهيئة الوطنية لحماية المعطيات (ANPDP)، وأدوار مسؤولي حماية البيانات وتقييمات الأثر، لكن ينبغي مراجعة النص الرسمي ونطاق تطبيق كل التزام قبل اعتماد هذه المهلة قاعدة عامة. والوكالة المختصة بالأمن السيبراني هي ASSI. تونس: ينظم القانون الأساسي رقم 2004-63 حماية المعطيات الشخصية، وتشير بعض المراجع إلى أنه لا يتضمن نظامًا تفصيليًا عامًا للإخطار عن الخروقات. ووسّع المرسوم المتعلق بالأمن السيبراني الصادر في 11 مارس 2023، النافذ منذ 11 سبتمبر 2023، صلاحيات الوكالة الوطنية للأمن السيبراني، ويوجب بحسب معلّقين على الجهات المشمولة التصريح بالحوادث، ولم نراجع المادة المحددة ولا الجهات الواقعة ضمن نطاقها. ليبيا: لا تتوافر، وفق المراجع التي اعتمدنا عليها، منظومة شاملة لحماية البيانات الشخصية، كما أن الإطار المؤسسي المختص يحتاج إلى مزيد من التحقق، وقد انتقدت منظمات حقوقية القانون رقم 5 لسنة 2022 بشأن مكافحة الجرائم الإلكترونية بسبب مخاوف تتعلق بحقوق الإنسان والحريات الرقمية. موريتانيا: أنشأ القانون رقم 2017-020 إطارًا لحماية البيانات الشخصية، وشُكّلت السلطة المختصة في عام 2022، لكننا لم نتمكن من التحقق بصورة مستقلة من مدى اكتمال تطبيقه. هذا القسم لأغراض المعلومات العامة ولا يمثل استشارة قانونية، ولسنا قانونيين، وينبغي استشارة مستشار قانوني مؤهل لتحديد الالتزامات ومهل الإبلاغ في كل حالة.

11. التوقعات للربع الرابع من عام 2026 والربع الأول من عام 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات أعلاه.

1. استمرار انخفاض عدد الادعاءات على مواقع تسريب البيانات. نتوقع أن يتراوح العدد المرصود بين خمسة واثني عشر ادعاءً في الربع. وقد سجلت الأرباع الثلاثة الأولى خمسة ادعاءات، ثم عشرة، ثم خمسة، ولم يُدرج شيء بعد 25 سبتمبر. ويفترض هذا التقدير استمرار تغطية الرصد وقواعد إسناد الجهات إلى الدول بمستوى قريب من الوضع الحالي، وهو سيناريو نوعي لا توقع إحصائي. وقد تؤدي دفعة مفاجئة من الإدراجات، مثل إدراج أربع جهات في يوم واحد، إلى تغيير النتيجة بصورة ملحوظة.
2. استمرار استهداف شركات الخدمات. تشير الحالات المرصودة إلى اهتمام مجموعات متعددة بشركات التعهيد والتوظيف والاستشارات، فقد جذبت ادعاءات من أربع مجموعات. لذلك نتوقع استمرار ظهور ادعاءات تستهدف هذه الفئة، سواء من العلامات المعروفة أو من مجموعات أخرى. وقد تظهر أيضًا إدراجات إضافية تتعلق بمنشآت مغاربية تابعة لشركات أجنبية، وهو ما يستدعي من المؤسسات الدولية تقييم مخاطر المورّدين ومواقع العمليات الخارجية.
3. استمرار ارتباط بعض منشورات المنتديات بالأحداث السياسية. من المرجح أن تواصل بعض الحسابات نشر إدراجات مرتبطة بالأحداث السياسية، ومنها مرحلة ما بعد الانتخابات في المغرب، والتنافس المغربي الجزائري، والمؤسسات الليبية. وقد يتمكن حساب واحد كثيف النشر من إضافة ثمانية إدراجات خلال عشرة أيام، كما حدث في أكتوبر. ولذلك يمكن أن يتأثر العدد الفصلي بدرجة كبيرة بنشاط عدد محدود من الحسابات، من دون أن يعني ذلك بالضرورة ارتفاعًا مماثلًا في عدد الاختراقات الحقيقية.
4. استمرار المخاطر على المؤسسات الحيوية في ليبيا مع محدودية الرؤية. ظهرت في الادعاءات المرصودة أسماء المصرف المركزي وشركة نفط ومؤسسات مرتبطة بالموانئ، لكن محدودية المعلومات المتاحة تجعل تقدير حجم التعرض الفعلي صعبًا. كما أن غياب إطار شامل لحماية البيانات الشخصية، بحسب المراجع التي راجعناها، قد يزيد صعوبة تقييم متطلبات الإبلاغ والاستجابة. وينبغي التحقق من الالتزامات القانونية النافذة بدل افتراض غياب جميع واجبات الإفصاح.
5. إدماج واجبات الإبلاغ في خطط الاستجابة. تشير المراجع القانونية التي استند إليها التقرير إلى متطلبات إبلاغ في الجزائر، ودعوات إلى الإبلاغ الفوري في المغرب، والتزامات ذات صلة بالأمن السيبراني في تونس. وبالنسبة إلى المؤسسات العاملة عبر عدة دول، فإن وجود دليل موحد للاستجابة للحوادث، مع تحديد المهل القانونية والجهات المختصة بكل دولة، من شأنه أن يقلل التأخير والارتباك أثناء الحوادث.

12. الإجراءات ذات الأولوية لهذا الربع

1. ابدأ بالأنظمة المواجهة للإنترنت. أنشئ جردًا محدثًا لجميع بوابات VPN وجدران الحماية وخدمات الوصول عن بُعد وبريد الويب ولوحات الإدارة والتطبيقات المكشوفة على الإنترنت. ضع هدفًا داخليًا مقترحًا لا يتجاوز 48 ساعة لمعالجة الثغرات التي ثبت استغلالها فعليًا، مع تطبيق ضوابط تعويضية عندما يتعذر التحديث الفوري. وينبغي ترتيب الأولويات وفق تأكيد الاستغلال، ودرجة التعرض، وأهمية الأصل، وإرشادات المورّد، لا وفق درجة الخطورة النظرية وحدها.
2. تحقّق مما إذا كانت بيانات اعتماد مؤسستك معروضة للبيع. راقب سجلات برمجيات سرقة المعلومات، وقوائم البيانات المجمعة، وإعلانات وسطاء الوصول، بحثًا عن حسابات الموظفين والمورّدين، بما فيها حسابات بريد الويب. وإذا ظهرت بيانات اعتماد صحيحة، فغيّر كلمات المرور المعنية، وألغِ الجلسات والرموز النشطة عند الاقتضاء، وتحقق من إعادة استخدام كلمات المرور، وراجع سجلات الدخول بحثًا عن أنشطة غير معتادة.
3. قيّم مخاطر المورّدين الذين يتعاملون مع بياناتك. إذا كانت مؤسستك تسند عمليات إلى مزوّدين في المنطقة، فاطلب أدلة على تطبيق المصادقة متعددة العوامل، واستخدام حلول EDR، وحماية النسخ الاحتياطية وعزلها، وضبط صلاحيات الوصول. وحدّد البيانات التي يحتفظ بها المزوّد ومدة الاحتفاظ بها، واتفق مسبقًا على آلية الإبلاغ عن الحوادث والمهل المتوقعة لإخطار مؤسستك.
4. على الجهات العامة تدقيق تطبيقاتها قبل أن تصبح موضوعًا لإعلان. اختبر التطبيقات العامة ولوحات الإدارة، وأزل الواجهات الافتراضية والتجريبية غير الضرورية، وراجع الحسابات والصلاحيات التي تتيح الوصول إليها. وقد رصدت عمليات التدقيق في المغرب 20 ثغرة حرجة في 76 تطبيق ويب عامًا خلال الفترة المذكورة في التقرير، وهذا مؤشر على أهمية تخصيص موارد كافية للفحص والمعالجة، وليس تقديرًا لمعدل الثغرات في جميع التطبيقات الحكومية.
5. تحقّق من صحة البيانات المزعومة قبل اتخاذ القرار. إذا ظهر اسم مؤسستك في إعلان يذكر عددًا من السجلات المسرّبة، فتحقق من المصدر المحتمل للبيانات وعمرها ومدى تطابقها مع سجلاتك الحالية، ثم نسّق مع مسؤول حماية البيانات والمستشار القانوني لتحديد إجراءات الإخطار المناسبة. ولا تفتح الملفات المسرّبة على محطة عمل اعتيادية، فقد حذّر جهاز الأمن الداخلي الليبي من احتواء بعض الملفات المتداولة في سياق قضية المصرف المركزي على برمجيات خبيثة. ويجب فحص أي عينة مشبوهة ضمن بيئة تحليل معزولة ومضبوطة.
6. وثّق مهل الإبلاغ ومسؤوليات الاستجابة لكل دولة. حدّد الجهة المسؤولة عن الإبلاغ، والسلطة التي يجب إخطارها، والمهلة المطبقة، والمسؤول عن التواصل مع مجلس الإدارة والجهات المعنية، واختبر هذه الإجراءات مسبقًا من خلال تمارين محاكاة. وينبغي أن تكون البيانات العلنية دقيقة ومتوازنة: توضح ما تأكدت منه المؤسسة، وما لا يزال قيد التحقيق، وما اتخذته من إجراءات، من دون نفي معلومات لم تتمكن من التحقق منها، كما فعل المصرف المركزي الليبي.
7. راقب ظهور اسم مؤسستك ومورّديك في المصادر الإجرامية. قد تظهر بيانات المؤسسة في مواقع تسريب البيانات أو قنوات تيليغرام أو المنتديات قبل أن تتمكن من اكتشاف الاختراق داخليًا. ويمكن للرصد المبكر لهذه المصادر أن يمنح فريق الأمن السيبراني وقتًا إضافيًا للتحقق من الادعاء، واحتواء الوصول المحتمل، وتقييم أثر الحادثة، وتحديد متطلبات الإبلاغ.

المصادر

• Ransomware.live, country victim records
• RansomLook, group and post records
• Teiss, Central Bank of Libya says data breach has been contained
• TelQuel, Cyberattaques en hausse : la DGSSI exige une déclaration immédiate des incidents
• ThreatCluster, citing Libya Herald, Malware found in alleged leaked data from the Central Bank of Libya
• Resecurity, Cybercriminals attacked the National Social Security Fund of Morocco
• CybelAngel, Escalating cyber hostilities in North Africa (CNSS breach update)
• Hespress, Morocco says 879 cyber-incidents reported in 2025 amid expanded audits
• Morocco World News, Morocco sets September 23 as date for parliamentary elections
• Regulations.ai, Morocco Cybersecurity Law 05-20
• CMS, Data protection and cyber security laws in Algeria
• InCyber, Tunisia expands scope of national cybersecurity agency
• Libya Law Society, Law No. 5 of 2022 on combating cybercrimes
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs

تُعرض المصادر بلغاتها الأصلية. وخلاصة المنتديات التي أخذنا منها العيّنة خدمة تجارية ولا نضع لها رابطًا.