برمجيات الفدية وادعاءات سرقة البيانات في قطر خلال الأرباع الثلاثة الأولى من عام 2026

الخلاصة

خمس نتائج تهمّ مجالس الإدارة ومسؤولي أمن المعلومات في قطر.

1. تسجل قطر ثاني أقل عدد من الادعاءات المرصودة بين الأسواق الخليجية الست التي نتتبعها، ولا تُظهر البيانات ارتفاعًا واضحًا في عدد الادعاءات المرصودة. خمسة ادعاءات مرصودة مقابل 17 في السعودية و45 في الإمارات وسبعة في عُمان وستة في الكويت وثلاثة في البحرين، مع اختلاف الرؤية من دولة إلى أخرى ومن سنة إلى أخرى، فلا تدعم سلسلة بهذا الصغر أكثر من ذلك. وبحسب عدّنا بلغ العدد 5 في 2023 و2 في 2024 و4 في 2025، فيقع عام 2026 ضمن نطاقها المعتاد.
2. تركّز النشاط في فترة قصيرة. وقعت أربعة من الادعاءات الخمسة بين 17 أبريل و12 مايو، ولا شيء في الربع الأول، وواحد في الثالث. ونشرت The Gentlemen اثنين منها في 12 مايو: مشغّل شبكة ألياف ضوئية مملوك للحكومة، وشركة تصميم وهندسة لها أعمال في ملاعب وحلبة سباق.
3. Qilin تُعدّ المجموعة الأكثر تكرارًا في بياناتنا القطرية، ولا تسجّل بياناتنا السعودية أو الإماراتية أي ادعاءات لها خلال الفترة المشمولة. نشرت مدرسة وشركة قابضة قطريتين في أكتوبر 2025، وشركة إنشاءات في أغسطس 2026، ومستوردًا للمواد الغذائية في 7 أكتوبر. ولا تمتلك مجموعة أخرى نمطًا متكررًا هنا.
4. المنتديات: سوق موازية تستحق المتابعة. راجعنا 12 منشورًا في المنتديات على مدى أحد عشر أسبوعًا. أدرج اسم مستعار واحد أربعة من كبرى بنوك قطر في يوم واحد، 13 يونيو، وعرض آخرون هيئة تقاعد ومستشفى وسلسلة صيدليات. هذه الادعاءات غير مؤكدة، ولم يظهر أي منها ضمن سجل مواقع التسريب الذي راجعناه.
5. مجموعات تعمل على مستوى الخليج تمرّ عبر قطر. تعمل The Gentlemen في السعودية والإمارات وعُمان وقطر. وادّعت Payload على البحرين والإمارات وقطر خلال 36 يومًا. واسم مستعار واحد في المنتديات، Anonymous2090، ينشر في المملكة والإمارات وقطر. لذلك، ينبغي أن تركز إجراءات الدفاع على سلوك المجموعات وأساليبها، لا على المؤشرات المحلية وحدها.

نقيّم مستوى الخطر على شركات الخدمات المهنية والمقاولين والموردين الهندسيين في قطر بأنه متوسط ومستقر. أما على البنوك ومشغّلي البنية التحتية الوطنية فنقيّمه بأنه مرتفع نسبيًا، بفعل إعلانات الوصول في المنتديات والسياق الجيوسياسي والهجمات المادية المرتبطة بالحرب. ولا تُظهر بياناتنا ادعاءات سيبرانية مرتبطة بالحرب ضد منشآت قطرية.

1. النطاق، وما تحتمله الأرقام

يغطي هذا التقرير الادعاءات التي تستهدف منشآت قطرية والمنشورة بين 1 يناير و30 سبتمبر 2026. أما الادعاء المؤرخ في 7 أكتوبر (Qatar National Import & Export) فنذكره بصورة منفصلة بوصفه تطورًا لاحقًا، ولا يدخل في الادعاءات الخمسة ولا في الأرقام الفصلية. والادعاءات الخمسة كلها ابتزاز بدافع مالي. وتُحتسب الشركة المدرجة مرتين عن الحادثة نفسها مرة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، استنادًا إلى نطاقها وملفها العام. وتختلف الرؤية من دولة إلى أخرى، فالأعداد ليست إجماليات كاملة للحوادث ولا مقياسًا متكافئًا للخطر الوطني.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع التسريب، وهي المواقع التي تنشر عليها المجموعات البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر. وفي أعداد صغيرة كهذه، يغيّر حادث واحد الصورة.
• ادعاء المجموعة ليس دليلًا على الاختراق. لم نتحقق بصورة مستقلة من صحة أي مجموعة من البيانات المنشورة.
• إسناد الضحية إلى دولة بعينها ليس دقيقًا دائمًا، وبعض الشركات تعمل في أنحاء المنطقة. لذا ينبغي التعامل مع أرقامنا بوصفها أعدادًا للحالات التي رصدناها، لا تقديرًا شاملًا لجميع الحوادث.

مصطلحات. RaaS (برمجيات الفدية كخدمة): نموذج يتيح لمطوري برمجيات الفدية توفير أدواتهم وبنيتهم التحتية لشركاء تابعين ينفذون الهجمات مقابل تقاسم العائد. EDR (أنظمة الكشف والاستجابة عند نقطة النهاية): تقنيات أمنية ترصد الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والاستجابة لها. وسيط الوصول الأولي: جهة تبيع وصولًا جاهزًا إلى شبكة مخترقة أو إلى حسابات تتيح الدخول إليها.

2. الخط الزمني: سجل هادئ بدفعة واحدة

نمط النشاط: تركّز في فترة قصيرة. لم يظهر شيء في الربع الأول، حتى مع بدء الحرب. ثم وقعت أربعة ادعاءات بين 17 أبريل و12 مايو من ثلاث مجموعات مختلفة، وجاء آخر في أواخر أغسطس. ومن التفسيرات المحتملة أن عددًا محدودًا من الشركاء التابعين استهدف منشآت قطرية باستخدام وسائل وصول حصل عليها سابقًا، لكن التواريخ وحدها لا تحدد مصدر الوصول.

تتمثل أبرز تداعيات الحرب المرصودة في البُعد المادي. تقول وزارة الخارجية القطرية إن البلاد تتعرض لهجمات صاروخية وبالمسيّرات إيرانية منذ 28 فبراير، منها رأس لفان ومسيعيد ومطار حمد الدولي، وتصف ضربة رأس لفان بأنها تهديد مباشر للأمن الوطني. ولا تتضمن بيانات مواقع التسريب التي راجعناها ادعاءات ضد منشآت قطرية صادرة عن جهات تهديد مرتبطة بالحرب خلال الفترة المشمولة، وهو ما يختلف عن الإمارات والمملكة حيث ظهرت ادعاءات كهذه في مارس. وفي وقت سابق سجّل تقييم لـ CYFIRMA إطلاق مجموعة مؤيدة لفلسطين، Team Fearless، هجمات حجب خدمة على عدة مواقع حكومية قطرية في 10 سبتمبر. وتتصل الحرب بتقييم الخطر، لكنها ليست دليلًا على ارتفاع الهجمات السيبرانية على المنشآت القطرية، ولا تُظهر بياناتنا ارتفاعًا كهذا.

3. المجموعات في لمحة

أربع مجموعات أنتجت خمسة ادعاءات، ولم تنشر أي مجموعة أكثر من ادعاءين ضمن الفترة المشمولة. ولا تظهر في البيانات السعودية والإماراتية والقطرية معًا إلا The Gentlemen، بينما تظهر Payload في بيانات قطر والإمارات ولا تظهر في البيانات السعودية التي راجعناها. أما Crypto24 فلا ظهور لها في الخليج بخلاف قطر في بياناتنا، وتظهر Qilin أيضًا في الكويت. وتذكر Cyble أيضًا مجموعة Everest ضمن الجهات النشطة في قطر خلال 2026، لكن لا ادعاء لدينا لـ Everest ضد منشأة قطرية.

4. من هو المستهدف

تصنيفنا للادعاءات الخمسة. يُحتسب كل ادعاء مرة واحدة.

• الخدمات المهنية: 2. مكتب السليطي للمحاماة وFocus Design Partners.
• البنية التحتية للاتصالات: 1. شبكة قطر الوطنية للنطاق العريض، مشغّل ألياف ضوئية مملوك للحكومة.
• البحث والرعاية الصحية: 1. معهد قطر للبحوث الطبية الحيوية.
• الإنشاءات والهندسة: 1. Black Cat Engineering & Construction.

يختلف النمط عن المملكة والإمارات. لا مجموعات عائلية ولا علامات استهلاكية ولا مصانع. أربع من الضحايا الخمس جهات مهنية أو هندسية أو تشغيلية قد ترتبط أعمالها بمشاريع وطنية أو بقطاعات حيوية، بحسب ملفاتها العامة ومشاريعها المعلنة، ولا يعني ذلك ثبوت صلة مباشرة بين جميعها والحكومة أو قطاع الطاقة: مكتب محاماة له عملاء في المصارف والطاقة، وشركة تصميم لها أعمال في ملاعب وحلبة سباق وطنية، ومقاول، وشبكة مملوكة للدولة. وفي سوق صغيرة يعتمد جزء كبير من اقتصادها على الدولة، قد يقف العملاء القلائل أنفسهم خلف كثير من المورّدين.

في السوق الصغيرة، قائمة المورّدين قصيرة، والأسماء نفسها تقف خلفها.

5. ملفات الحالات

تُظهر الأعداد شكل المشكلة، وتُظهر الحالات الفردية كيف تعمل. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. 12 مايو: شبكة حكومية ومصمّموها (The Gentlemen)

الادعاء. في 12 مايو أدرجت The Gentlemen شبكة قطر الوطنية للنطاق العريض، وهي مشغّل ألياف ضوئية مملوك للحكومة تأسس في 2011 ويوفر بنية تحتية سلبية لجميع المرخَّصين، وFocus Design Partners، شركة تصميم وهندسة لها نحو 50 عامًا من العمل وأعمال منها ملعب وطني وحلبة سباق سيارات. ويقول نص المجموعة الخاص بشركة التصميم إن التسريب الكامل سيُنشر ما لم تتواصل الشركة معها للتفاوض. ولم نرَ في الإدراجين حجم بيانات.
القراءة. أُدرجت جهتان تقعان في طرفين متقابلين من برنامج وطني واحد في اليوم نفسه. ويتسق إدراج جهتين في اليوم نفسه مع عدة احتمالات: شريك تابع واحد، أو دفعة وصول جرى الحصول عليها سابقًا، أو إدراجات غير مترابطة نُشرت معًا. ولا تثبت الأدلة وجود اختراق أو مورّد أو ناقل مشترك، ولا وجود صلة بين الضحيتين. وإذا صحّ الادعاء عن مشغّل الشبكة، فإن الانكشاف يتجاوز شركة واحدة، لأن عملاءه هم مزوّدو الاتصالات المرخَّصون الذين يخدمون بدورهم المنازل والشركات والحكومة.
الثقة. متوسطة في أن الإدراجين نُشرا كما هو موصوف. ومنخفضة في المحتويات وفي أي ناقل مشترك.

الحالة 2. سجل ادعاءات Qilin في قطر (من أكتوبر 2025 إلى أكتوبر 2026)

الادعاءات. Artan Holding، شركة قابضة عائلية قطرية لها أعمال في التعليم والعقار والصناعة (10 أكتوبر 2025). وDoha British School، مجموعة مدرسية من ثلاثة فروع (24 أكتوبر 2025). وBlack Cat Engineering & Construction (23 أغسطس 2026، وأُدرجت مجددًا في 30 أغسطس). وQatar National Import & Export، متجر تجزئة غذائية (7 أكتوبر 2026).
القراءة. Qilin هي الأولى عالميًا بـ 338 ضحية في الربع الأول 2026، لكن لا ادعاء لها في بياناتنا السعودية أو الإماراتية. وفي سجلنا القطري تظهر ضد أربع ضحايا مختلفة منذ أكتوبر 2025: شركة قابضة عائلية ومدرسة ومقاول ونشاط غذائي. ولا يقع ضمن نافذة هذا التقرير، من يناير إلى سبتمبر، إلا ادعاء Black Cat، أما الثلاثة الأخرى فتسبقها أو تلحقها. وإعادة إدراج Black Cat بعد أسبوع نمط معتاد في تحديث الإدراج بعد انقضاء المهلة، ونحتسبها مرة واحدة. وتنوع القطاعات والفجوات الطويلة يوحيان بشركاء تابعين يعملون بصورة انتهازية من وصول مشترى، لا بحملة ضد صناعة بعينها.
الثقة. مرتفعة في الأعداد والتواريخ. منخفضة في سبب ظهورها هنا وفي الكويت وغيابها عن البيانات السعودية والإماراتية.

الحالة 3. معهد أبحاث (Crypto24، أبريل)

الادعاء. في 17 أبريل أدرجت Crypto24 معهد قطر للبحوث الطبية الحيوية، الذي يعمل تحت مظلة جامعة حمد بن خليفة. ولم نرَ حجم بيانات أو وصفًا.
القراءة. تحتفظ جهات البحث بنتائج غير منشورة وبيانات جينية ومرتبطة بالمرضى ومواد منح بحثية. وتشتهر Crypto24 بأدوات تعطّل الحماية على الأجهزة الطرفية لدى جهات كثيرة، وهذا مهم للمؤسسات التي تدير بيئات تقنية مختلطة على نمط الجامعات بمسؤولين كثيرين. وادعاء واحد ليس نمطًا، ومعظم نشاط هذه المجموعة في الولايات المتحدة وأوروبا وآسيا.
الثقة. متوسطة في الادعاء، ومنخفضة في ما سُرق.

الحالة 4. Payload تعبر ثلاث دول خليجية في 36 يومًا

الادعاءات. 15 مارس: المستشفى الملكي في البحرين، بادعاء 110 جيجابايت ومهلة تنتهي في 23 مارس. 28 مارس: A A Al Moosa Enterprises (ARENCO)، مجموعة قابضة في دبي. 20 أبريل: مكتب السليطي للمحاماة في الدوحة.
القراءة. وُجدت Payload منذ منتصف فبراير، وكانت تعمل عبر الخليج بعد ستة أسابيع، في الرعاية الصحية ومجموعة قابضة والخدمات القانونية. وهذا انتشار جغرافي سريع لعلامة جديدة، ويتسق مع شركاء تابعين يعيدون استخدام مصادر الوصول نفسها في عدة دول. ومكتب المحاماة هدف جذاب في أي سوق: فهو يحتفظ باتفاقيات العملاء والنزاعات ووثائق الصفقات لشركات أكبر منه بكثير.
الثقة. مرتفعة في التواريخ. متوسطة في تفسير الوصول المشترك، فهو استنتاج منا.

الحالة 5. أربعة بنوك في إدراج واحد على منتدى (13 يونيو)

الادعاء. في 13 يونيو نشر اسم مستعار واحد في منتدى، هو cabyc، أربعة إدراجات في اليوم نفسه، يشير كل منها إلى نطاق أحد البنوك القطرية الكبرى. ولم نطّلع على محتوى الإدراجات.
القراءة. أربعة بنوك في يوم واحد من اسم واحد لا ينبغي تفسيرها تلقائيًا على أنها أربعة اختراقات منفصلة، بل على أنها بيع وصول أو بيانات اعتماد أو قاعدة بيانات تمس عدة بنوك، ربما عبر مورّد مشترك أو نوع مشترك من الانكشاف. وقد يكون أيضًا بائعًا يضمّن إعلانه أسماء مؤسسات معروفة لجذب الانتباه. ونشر الاسم نفسه خمسة إدراجات كويتية في اليوم ذاته، ما يشير إلى بائع إقليمي لا إلى انكشاف خاص بقطر. وعلى البنوك أن تعدّه مهمة تحقق لا حادثة مؤكدة: افحص بيانات الاعتماد والجلسات المكشوفة والأطراف الثالثة المشتركة وأي تواصل من البائع.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في أنها تصف اختراقات حقيقية. ولا نسمّي البنوك أكثر من كونها مؤسسات قطرية كبرى.

الحالة 6. انكشاف قطري عبر مورّد أجنبي (أبريل)

الادعاء. في 29 أبريل أدرجت مجموعة تُدعى Aurora منتجعًا فاخرًا في المالديف، مدّعية نحو 75,000 نسخة جواز سفر على مدى عشر سنوات، منها تسعة جوازات تنسبها إلى أفراد من الأسرة المالكة القطرية، إضافة إلى ملفات النزلاء وسجلات الموظفين وبيانات اعتماد وعقد إدارة. ولا نذكر أسماء أفراد.
القراءة. الادعاء لا يخص منشأة قطرية، ولذلك هو خارج عدّنا. لكنه يُظهر مسار انكشاف مختلفًا للأفراد والمؤسسات القطرية: وثائق هوية وتفاصيل سفر تحتفظ بها جهات ضيافة وسفر في الخارج. وإن صحّ، فلا يمكن لأي ضابط قطري أن يمنعه.
الثقة. منخفضة إلى متوسطة. ادعاء وحيد من الجهة المهاجمة.

6. جهات التهديد النشطة: الحضور والدافع والتكتيكات

أربع جهات تقف خلف الادعاءات الخمسة كلها. معلوماتها التقنية العامة مصدرها تقارير حوادث عالمية لا الحالات القطرية. ليس لدينا دليل على مستوى الحادثة من الضحايا القطريين، لذا ينبغي فهم التكتيكات أدناه على أنها أساليب معروفة عن كل مجموعة عمومًا، لا إثباتًا لما جرى لشركة قطرية بعينها. تشير معرّفات التقنيات إلى MITRE ATT&CK.

ملخص: الدافع والحضور

القواسم المشتركة بين الجهات

تختلف أسماء المجموعات لكن أساليب عملها تتشابه. وعلى مستوى النشاط العالمي الموثق، تظهر لدى المجموعات الأربع أساليب تشمل تعطيل أدوات الأمان قبل التشفير وسرقة البيانات لنشرها. ولا يثبت ذلك استخدام هذه الأساليب في الادعاءات القطرية الواردة في هذا التقرير.

العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث قطرية.

ملفات مجموعات التهديد

مجموعات سابقة في السجل القطري

• LockBit 3.0. نشرت عدة شركات قطرية بين 2021 و2023، منها شركة خدمات صيانة ومجموعة إنشاءات ومزوّد خدمات طاقة. ويذكر تقييم لـ CYFIRMA أن LockBit، ومنها إصدارها الخامس، تواصل استهداف مؤسسات قطرية.
• Dispossessor. ادّعت فرعًا في قطر لجامعة أمريكية في يوليو 2024 بمقطع مصوّر وإشارة صريحة إلى قانون الخصوصية القطري لعام 2016 كوسيلة ضغط.
• إدراجات على نمط Babuk. في مارس 2025 عرض منشوران وصولًا مؤسسيًا إلى شركة وقود قطرية وإلى تطبيقات الشحن.
• RansomExx وRhysida وSarcoma. ادعاء قطري واحد لكل منها بين 2023 و2024: مقاول عام ونادٍ للسباق والفروسية مرتبط بالدولة وشركة تجزئة إلكترونيات بنحو 800 موظف.

7. ما بعد مواقع التسريب: ادعاءات المنتديات

تنشر عصابات برمجيات الفدية ضحاياها على مواقعها الخاصة. أما بقية الجهات فتنشر في المنتديات الإجرامية: بائعو البيانات ووسطاء الوصول والهاكتيفيست وطالبو الشهرة. راجعنا 12 منشورًا في المنتديات يستهدف قطر، نُشرت بين 13 يونيو و27 أغسطس 2026. هذه عيّنة قصيرة، لذا نتعامل معها بوصفها لقطة للسوق، لا مؤشرًا على اتجاه طويل الأمد. لا نذكر أسماء الضحايا هنا، لأن الادعاءات غير مؤكدة وقد تؤدي تسمية الجهة المستهدفة إلى تضخيم ادعاء غير مثبت.

ما تستهدفه المنشورات الاثنا عشر

• المالية والتأمين الاجتماعي: 5. إدراج البنوك الأربعة في 13 يونيو، ومنشور يعرض هيئة حكومية للتقاعد والتأمين الاجتماعي.
• الرعاية الصحية: 2. مستشفى خاص وسلسلة صيدليات إقليمية.
• الحكومة والأمن: 2. منشور بعنوان يتصل بأمن الدولة القطرية، وشركة خدمات إنترنت مدرجة تحت الحكومة.
• المستهلك والعمل الإنساني وغيرهما: 3. منصة تسوق بـ 36,000 سجل، وجمعية إنسانية وطنية، وإدراج واحد غير مصنف.

من ينشر

تسعة أسماء مستعارة نشرت 12 منشورًا، وأحدها، cabyc، نشر أربعة (ثلثها). ونشر كل من الثمانية الآخرين مرة واحدة. وتشير العينة إلى نشاط موزع نسبيًا بين البائعين، مع مساهمة أكبر لبائع واحد نشر ثلث المنشورات. وAnonymous2090 هو الاسم الوحيد الذي يظهر أيضًا في عيّناتنا السعودية والإماراتية، وهو بائع إقليمي يستحق التتبع عبر الحدود.

ويضيف تقييم لـ CYFIRMA ثلاث نقاط بيانات من منتديات ناطقة بالروسية والصينية: وسيط وصول أولي يعرض وصولًا مؤسسيًا إلى منشأة قطرية كبيرة بسعر 4,900 دولار، ووصولًا عبر SSH إلى خوادم شركة قطرية، وبائعًا لـ 100,000 زوج من بيانات الاعتماد المتصلة بقطر. وتجد Cyble أن البنوك والخدمات المالية والتأمين والتجزئة تشكل أكثر من نصف إعلانات الوصول المرتبطة بقطر، وأن التعليم الأكثر تكرارًا في حوادث التسريب. وأسعار الوصول منخفضة قياسًا بحجم الأهداف.

لماذا يهم هذا لخطر برمجيات الفدية

الوصول المباع بسعر زهيد هو واجهة سلسلة برمجيات الفدية. وسجل مواقع التسريب البالغ خمسة ادعاءات لا يقول الكثير عن حجم الوصول المعروض للبيع، وتشير أدلة المنتديات إلى أن العرض أوسع من سجل مواقع التسريب. لا يمكننا ربط أي إعلان بأي ادعاء ولا نفعل. وسبب مراقبة المنتديات هو الفاصل بين البيع والادعاء العلني، وهو عادةً من أيام إلى أسابيع.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. في ادعاءات الجهات الحكومية والأمنية، تحقق قبل التصعيد: هل البيانات قديمة أو عامة، وهل تطابق سجلاتك، وهل يعرض صاحب المنشور عينات.

8. تحديث خارج نطاق التقرير: أكتوبر 2026

في 7 أكتوبر أدرجت Qilin شركة Qatar National Import & Export، وهي متجر تجزئة غذائية، دون وصف. وهو رابع ادعاء قطري لها في اثني عشر شهرًا، وهو خارج نافذة هذا التقرير ولا يدخل في الادعاءات الخمسة.

9. كيف يدخلون

تُظهر مواقع التسريب الضحايا لا الاختراقات، لذا يعتمد هذا القسم على تقارير إقليمية عامة. الصورة المتسقة:

• استغلال منتجات الوصول عن بُعد. تلاحظ Cyble ارتفاعًا في استغلال أدوات الوصول عن بُعد لدى Microsoft وFortinet وIvanti وCitrix بما يمس قطر.
• شراء الوصول وبيانات اعتماد مسروقة. يبيع وسطاء الوصول الدخول بأسعار زهيدة، وتغذّي قوائم الدمج هجمات حشو بيانات الاعتماد والاستيلاء على الحسابات واختراق البريد الإلكتروني للأعمال.
• تعطيل أدوات الأمان. تعطّل Crypto24 وPayload معًا الحماية قبل التشفير، فلا تكفي أدوات الأجهزة الطرفية وحدها كخط أخير.
• الثقة بالموردين. قد يعكس زوج The Gentlemen في اليوم نفسه وإدراج البنوك الأربعة وجود أطراف ثالثة مشتركة، وهي فرضية واحدة تستحق التحقق من بين فرضيات عدة.

10. الإطار التنظيمي

قانون حماية خصوصية البيانات الشخصية (القانون رقم 13 لسنة 2016) هو التشريع الحاكم. وقد قارنّا النقاط أدناه بالنص العربي والترجمة الإنجليزية المنشورين على بوابة الميزان القانونية القطرية، وهي تنبّه إلى أن النص المعروض غير رسمي، وبإرشادات الوكالة الوطنية للأمن السيبراني لإخطار خرق البيانات الشخصية للجهات الخاضعة (الإصدار 2.0، سبتمبر 2022). ويسند القانون الإبلاغ عن الخروقات إلى «الإدارة المختصة»، وهي وحدة إدارية في الوزارة، بينما تقدّم الإرشادات إدارة الحوكمة والضمان السيبراني الوطني في الوكالة بوصفها الجهة التي تتلقى هذه البلاغات. وهناك ثلاثة أمور يجب الفصل بينها.

• الالتزام النظامي. تُلزم المادة 13 المراقب والمعالج باتخاذ احتياطات لحماية البيانات من الضياع أو التلف أو التعديل أو الإفشاء أو الوصول إليها أو استخدامها بشكل عارض أو غير مشروع، بما يتناسب مع طبيعة البيانات وأهميتها، وتُلزم المعالج بإخطار المراقب «فور علمه» بأي إخلال بتلك الاحتياطات أو أي خطر يهدد البيانات. وتُلزم المادة 14 المراقب بإعلام الفرد والإدارة المختصة بحدوث أي إخلال بالاحتياطات إذا كان من شأنه إحداث ضرر جسيم بالبيانات الشخصية أو بخصوصية الفرد. ولا يحدد القانون عددًا من الساعات أو الأيام.
• مهلة الإرشادات. تأتي مهلة 72 ساعة، المحسوبة من العلم بالخرق، من إرشادات الوكالة لا من القانون. وهي توجيه من الجهة التنظيمية لكيفية الوفاء بالمادة 14، ويجب فهمها بوصفها توقعًا من الجهة التنظيمية لا نصًا نظاميًا.
• العقوبات، منفصلةً. تضع المادة 23 غرامة لا تزيد على مليون ريال قطري لمخالفة قائمة من الأحكام تشمل المادة 14 (عدم الإبلاغ) والمادة 8 (إجراءات الحماية التي يتخذها المراقب). وتضع المادة 24 غرامة لا تزيد على خمسة ملايين ريال قطري لمخالفة المادة 13 (الاحتياطات وواجب المعالج في إخطار المراقب) أو الفقرة الثالثة من المادة 16 أو المادة 17. وتضيف المادة 25 غرامة لا تزيد على مليون ريال قطري على الشخص المعنوي إذا ارتُكبت الجريمة باسمه أو لحسابه، مع عدم الإخلال بمسؤولية الشخص الطبيعي التابع له. وعبارة النص «لا تزيد على» ولا تتضمن عبارة «عن كل مخالفة».

وتخضع الشركات في مركز قطر للمال والمؤسسات المالية المنظَّمة لأنظمتها الخاصة إضافة إلى ذلك، ولم نراجع تلك الأنظمة. استشر مستشارًا قانونيًا في أي حالة بعينها. لسنا قانونيين.

11. التوقعات للربع الرابع 2026 والأول 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات المحدودة أعلاه.

1. يبقى حجم مواقع التسريب منخفضًا، مع دفعات. سُجّل ادعاء واحد في الأسبوع الأول من أكتوبر. نتوقع من ادعاءين إلى خمسة في الربع، وهو نطاق تقديري منخفض الثقة يستند إلى سجل محدود قد يتأثر بتغير نشاط المجموعات وتغطية مواقع التسريب.
2. تبقى Qilin الاسم الأرجح للتكرار. فلها أطول سجل قطري وأكثره ثباتًا، فتوقع مزيدًا من الادعاءات ضد الشركات المتوسطة والمدارس.
3. يبقى مستشارو الدولة في الواجهة. تحتفظ شركات القانون والهندسة والتصميم والاستشارات بملفات العملاء نفسها التي تحتفظ بها الأهداف الأكبر، بدفاعات أصغر.
4. ستتحول بعض إعلانات المنتديات إلى ادعاءات. قد تتحول بعض عروض الوصول المنشورة في المنتديات إلى ادعاءات باستهداف منشآت قطرية على مواقع التسريب خلال أسابيع، وتستحق الإعلانات المتصلة بالبنوك التحقق الآن.
5. مسار الحرب ورقة غير محسومة. كانت منشآت الطاقة والطيران أهدافًا مادية. ولم يظهر بُعد سيبراني في بيانات مواقع التسريب لدينا، لكنه قد يظهر سريعًا.

12. ما يجب فعله هذا الربع

1. ابدأ بحافة شبكتك. احصر كل VPN وجدار حماية وبوابة وصول عن بُعد مواجهة للإنترنت من Microsoft وFortinet وIvanti وCitrix. ضع هدفًا داخليًا مقترحًا لا يتجاوز 48 ساعة لتحديث الثغرات التي يجري استغلالها فعليًا، واعتمد ضوابط تعويضية حيث يتعذر التحديث الفوري، وحدّد الأولوية بحسب تأكيد الاستغلال ودرجة التعرض وأهمية الأصل وإرشادات المورّد.
2. تحقّق من عرض بيانات اعتمادك للبيع. ابحث في سجلات برمجيات سرقة المعلومات وقوائم الدمج وإعلانات الوسطاء عن حسابات الموظفين والموردين، وغيّر كلمات مرور الحسابات التي ظهرت بيانات اعتمادها، وألغِ الجلسات النشطة، وتحقق من إعادة استخدام كلمات المرور. وعلى البنوك البدء بهذا، بالنظر إلى الحالة 5.
3. رتّب مستشاريك ومورّديك بحسب ما يحتفظون به. تحتفظ شركات القانون والاستشارات الهندسية والتصميم والمقاولون ومشغّلو الشبكات في سلسلة توريدك بعقودك وتصاميمك. اطلب من كل منها دليلًا على المصادقة متعددة العوامل وEDR ونسخ احتياطية غير متصلة.
4. افترض احتمال تعطيل حماية الأجهزة الطرفية. نبّه على إيقاف الخدمات وتحميل برامج تشغيل النواة وسلوك svchost غير المعتاد، وأبقِ خط كشف ثانيًا على الشبكة.
5. احمِ البنية التحتية الافتراضية، بما فيها برامج إدارة الأجهزة الافتراضية (Hypervisor). تستهدف Payload بيئة VMware ESXi. اعزل شبكات الإدارة واحتفظ بنسخ احتياطية غير متصلة تم اختبارها.
6. استعدّ لاحتمال الابتزاز المزدوج. اعرف من يُخطر الوكالة الوطنية للأمن السيبراني، ومن يطلع مجلس الإدارة، ومن يتواصل مع جهتك الرقابية، ومن يقرر التفاوض. وثّق هذه الإجراءات واختبرها.
7. راقب ظهور اسم مؤسستك. قد تنشر مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بياناتك قبل أن تعلم بالاختراق. وقد يمنحك الاكتشاف المبكر في هذه المصادر بضعة أيام.

المصادر

• Cyble, Qatar's digital boom has a blind spot
• CYFIRMA, Qatar threat landscape assessment
• HookPhish, The Gentlemen hits Qatar National Broadband
• DeXpose, TheGentlemen targets Focus Design Partners
• Qatar Ministry of Foreign Affairs, Iranian attacks statement, 11 March 2026
• Newsquawk, Qatar says Iranian Ras Laffan attack is a direct threat to its national security
• Check Point Research, The State of Ransomware Q1 2026
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• Hive Pro, Crypto24 ransomware and its custom EDR bypass
• Proven Data, Payload ransomware variant analysis
• UpGuard, Payload claims data breach on Royal Bahrain Hospital
• NCSA, Personal Data Breach Notification Guidelines for Regulated Entities, version 2.0 (September 2022)
• Al Meezan, Qatar Law No. 13 of 2016 on Protecting Personal Data Privacy (Arabic text, 3 November 2016)
• Al Meezan, Law No. 13 of 2016, English translation (PDF)

تُعرض المصادر بلغاتها الأصلية.