برمجيات الفدية وادعاءات سرقة البيانات في السعودية خلال الأرباع الثلاثة الأولى من عام 2026

الخلاصة

خمس نتائج تهمّ مجالس الإدارة ومسؤولي أمن المعلومات في المملكة.

1. ارتفع العدد إلى أكثر من ضعفي مستواه السابق، والربع الثالث هو الذروة. توزعت الادعاءات على الأرباع الثلاثة بواقع 4 ثم 4 ثم 9 ادعاءات. تجاوز عدد الادعاءات في الربع الثالث، وهو تسعة، إجمالي ما سُجّل في النصف الأول، وأربعة منها صدرت عن مجموعة واحدة في 31 يومًا.
2. السوق بلا مركز. عشر مجموعات أنتجت سبعة عشر ادعاءً، وسبع منها ظهرت مرة واحدة. مجموعة The Gentlemen هي الأكثر نشاطًا وتستحوذ على 35% من الإجمالي، ولا تتجاوز أي مجموعة أخرى ادعاءين. لا تحمي مؤشرات الاختراق المرتبطة بجهة واحدة إلا من جزء محدود من التهديدات.
3. يمثل قطاع الطاقة وسلسلة إمداده محورًا رئيسيًا للتهديد. ترتبط بهما ستة ادعاءات من أصل 17: شركة خدمات حفر، ومجموعة كيماويات حقول نفط، ومقاول مصافٍ، وشركة استشارات هندسية تخدم أرامكو وسابك، ومطوّر طاقة، وأرامكو نفسها. وقد صدرت هذه الادعاءات عن أربع مجموعات مختلفة.
4. تختلف دوافع الجهات وأساليب عملها. الشركاء التابعون (affiliates، أي مشغّلون مستقلون يستأجرون برمجية الفدية من مطوّريها ويقتسمون العائد معهم) يسعون إلى تحقيق مكاسب مالية، وتسعى جهة تهديد واحدة مرتبطة بدولة إلى إلحاق الضرر، وتسعى مجموعات أخرى إلى لفت الانتباه. ويترتب على كل منها أثر مختلف ويتطلب استجابة مناسبة له. يعرضها القسم السادس بالتفصيل.
5. المنتديات هي طبقة الإنذار المبكر. في الأسابيع السبعة حتى 9 أكتوبر راجعنا 36 منشورًا في المنتديات يتعلق بالسعودية، منها إعلانان لبيع وصول شبكي. تتركز الادعاءات في قطاعات الحكومة والأمن واللوجستيات، إضافة إلى الشركات المتوسطة. يغطيها القسم السابع.

نقيّم الخطر على الشركات المتوسطة والمقاولين وموردي الطاقة في السعودية بأنه مرتفع ومتصاعد. أما الخطر على المشغّلين على المستوى الوطني فنقيّمه بأنه مرتفع نسبيًا، ويعود ذلك إلى المسار الجيوسياسي المبيّن أدناه أكثر مما يعود إلى المجرمين.

1. النطاق، وما تحتمله الأرقام

يغطي هذا التقرير الادعاءات التي تستهدف منشآت سعودية والمنشورة بين 1 يناير و30 سبتمبر 2026. وتشمل الادعاءات السبعة عشر ادعاءً واحدًا ضد أرامكو هو ادعاء هجوم تدميري من هاكتيفيست لا ابتزاز مالي. نُبقيه ضمن الأعداد ونتناوله بمعزل عن البقية. أما الادعاءات المؤرخة في أكتوبر فنذكرها بصورة منفصلة بوصفها تطورات لاحقة، ولا تدخل في إجمالي الادعاءات السبعة عشر ولا في الأرقام الفصلية. ومن الادعاءات السبعة عشر، 16 ادعاءً ابتزاز بدافع مالي وادعاء واحد هجوم تدميري. الأعداد هي ادعاءات مرصودة على مواقع التسريب، أي ادعاءات منشورة علنًا تسمّي منشأة، جُمعت حتى 10 أكتوبر 2026. وتُحتسب الشركة المدرجة أكثر من مرة عن الحادثة نفسها مرة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، استنادًا إلى نطاقها وملفها العام، ونستبعد الإدخالات التي تقع عملياتها الأساسية في مكان آخر. وتختلف الرؤية من دولة إلى أخرى، فالأعداد ليست إجماليات كاملة للحوادث ولا مقياسًا متكافئًا للخطر الوطني.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع التسريب، وهي المواقع التي تنشر المجموعات عليها البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر، ولا أحد ينشر الفارق.
• ادعاء المجموعة ليس دليلًا على الاختراق. لم نتحقق من صحة أي مجموعة من البيانات المنشورة.
• إسناد الضحية إلى دولة بعينها ليس دقيقًا تمامًا، وقد تفوتنا بعض الضحايا السعوديين. لذا ينبغي التعامل مع أرقامنا بوصفها أعدادًا للحالات التي رصدناها، لا تقديرًا شاملًا لجميع الحوادث.

مصطلحات. RaaS (برمجيات الفدية كخدمة): نموذج يتيح لمطوري برمجيات الفدية توفير أدواتهم وبنيتهم التحتية لشركاء تابعين ينفذون الهجمات مقابل تقاسم العائد. EDR (أنظمة الكشف والاستجابة عند نقطة النهاية): تقنيات أمنية ترصد الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والاستجابة لها. برمجيات سرقة المعلومات (Infostealers): برمجيات خبيثة تسحب بيانات الاعتماد والجلسات المحفوظة من الأجهزة المصابة. العلامة التجارية البيضاء (White-label): نموذج ينفذ فيه الشركاء التابعون الهجمات باسمهم الخاص باستخدام المنصة.

2. الخط الزمني: مساران لا مسار واحد

يخفي التوزيع الفصلي مسارين مختلفين للتهديد.

المسار الأول ذو طبيعة جيوسياسية. بدأت الضربات الإيرانية على الأراضي السعودية في 28 فبراير 2026، ومنها هجمات بالطائرات المسيّرة على رأس تنورة في 2 مارس. وفي 3 مارس نشرت جهة التهديد «هندالة» (Handala) المرتبطة بإيران ادعاءً ضد أرامكو، بعد يوم من ادعائها اختراق شركة الشارقة الوطنية للنفط في الإمارات. تربط التقارير العامة هندالة بوزارة الاستخبارات والأمن الإيرانية، وتصف أدواتها بأنها برمجيات مسح بيانات لا مشفّرات. هذا لا يندرج ضمن نموذج الابتزاز ببرمجيات الفدية: لا رسالة فدية، ولا أحد يبيع شيئًا مقابل استعادته. أفادت Positive Technologies بأن 96% من حوادث الأمن السيبراني المسجلة في بياناتها الخليجية للنصف الأول من 2026 وقعت في الربع الأول، وأن السعودية تمثل 15% من هجمات المنطقة. وضعت الحرب المملكة ضمن نطاق حملة سيبرانية مرتبطة بدولة في اللحظة نفسها التي كان المجرمون يتوسعون فيها.

المسار الثاني إجرامي ويواصل النمو. لا يتبع الحرب. ولا ترتبط ادعاءات الربعين الثاني والثالث مباشرةً بخطوط المواجهة. وتُنسب هذه الادعاءات إلى نشاط إجرامي ذي دوافع مالية، يعتمد عادةً على استغلال خدمات الوصول المكشوفة وبيانات الاعتماد الضعيفة. وهذا تفسير محتمل، وليس مسار اختراق مثبتًا في كل حالة. رصدت CloudSEK ارتفاع نشاط برمجيات الفدية في الشرق الأوسط من 17 حادثة في أبريل 2025 إلى 357 في يونيو 2026، وقال باحثها بوضوح: لم تكن دول الخليج هدفًا رئيسيًا حتى 2025، ثم تغيّر ذلك بسرعة.

إن التخطيط للتعامل مع أحد المسارين وتجاهل الآخر يترك ثغرة في الاستجابة. ادعاء المسح وادعاء سرقة البيانات يستدعيان قرارات مختلفة وخطط تعافٍ مختلفة وأشخاصًا مختلفين في غرفة القرار.

3. المجموعات في لمحة

The Gentlemen هي المجموعة الأكثر نشاطًا في المملكة. ستة ادعاءات تعني 35% من الإجمالي، ولا تتجاوز أي مجموعة أخرى ادعاءين. وعالميًا أدرجت المجموعة 166 ضحية مزعومة في الربع الأول 2026 بحسب Check Point، أي نحو 8% من 2,122، وبذلك تتجاوز حصتها من الادعاءات السعودية حصتها العالمية بنحو أربعة أضعاف.

Qilin غائبة. تصدّرت العالم ثلاثة أرباع متتالية بـ 338 ضحية في الربع الأول، لكن لا ادعاء لها في 2026 ضمن بياناتنا السعودية. إما أن شركاءها التابعين لا يعملون في المنطقة، أو أن الضحايا يدفعون، أو أن الادعاءات تُسجَّل تحت دول أخرى. لا نستطيع الجزم، ولا نعدّ ذلك دليلًا على الأمان.

تكمن الدلالة في تعدد المجموعات الصغيرة. DragonForce وTengu وKrybit وBlackNevas وGammax وPanzer وهندالة، لكل منها ضحية سعودية واحدة. كثير منها مجموعات حديثة الظهور أو محدودة التوثيق. انخفاض حواجز الدخول والأدوات المؤجَّرة وانخفاض تكلفة الحصول على الوصول لدى الشركاء التابعين تتيح لمجموعة جديدة أن تظهر وتنشر ادعاءً أو ادعاءين ثم تختفي قبل أن تُكتب له قاعدة كشف. الدفاع المبني على أسماء المجموعات لا يتسع لمثل هذا.

4. من هو المستهدف

تصنيفنا للادعاءات السبعة عشر. يُحتسب كل ادعاء مرة واحدة.

• قطاع الطاقة وسلسلة إمداده: 6. Sawafi وACWA Power وأرامكو وAl-Saidi وAlmeer وSAUDCONSULT. ونُدرج المشغّلين إضافة إلى الموردين والمقاولين والاستشاريين الذين يخدم عملهم الأساسي عملاء النفط والغاز والكهرباء. هذا تأطير لسلسلة الإمداد، لا عدٌّ لستة مشغّلين في قطاع الطاقة.
• المجموعات العائلية والمجموعات القابضة متعددة الأنشطة: 4. Babgi (إيرادات تتجاوز 7.4 مليار دولار بحسب ملف تجاري للشركة) وArabian Procession Holding وAWJ Holding وMTCO.
• التصنيع الصناعي: 2. ALUPCO وAl-Gosaibi GTB.
• استشارات هندسية خارج قطاع الطاقة: 1. Khaled Alfagih Engineering Consultancy، التي تصمّم المنشآت الصحية.
• غير الربحي: 2. SEHA وAl Rawdah Cooperative.
• التجزئة وغيرها: 2. L'azurde، شركة مجوهرات مدرجة في تداول، وEfada.

تبرز ثلاثة أنماط. الطاقة تهيمن: 35% من الادعاءات تقع داخل سلسلة النفط والغاز والكهرباء أو بجوارها. المجموعات العائلية فئة مستهدفة جديدة: أربع مجموعات متنوعة في السيارات وتجزئة المطارات والعقار والتجارة، تحتفظ كل منها ببيانات شركات تابعة وشركاء كثيرين. ولا يظهر أي بنك أو شركة تأمين أو مشغّل اتصالات؛ ولا نعرف السبب؛ فمن التفسيرات المحتملة قوة الضوابط أو اختلاف اهتمامات المجموعات أو محدودية ما نراه.

وتُظهر بيانات CYFIRMA للفترة من نوفمبر 2025 إلى يناير 2026 نمطًا مشابهًا من زاوية أخرى: العقارات والإنشاءات أولًا، ثم الرعاية الصحية وخدمات تقنية المعلومات، ومنها شركة إنشاءات استُهدفت في أواخر ديسمبر بادعاء 4.15 تيرابايت وطلب فدية 400,000 دولار.

لا يتجاوز مستوى أمن أكبر الشركات في المملكة مستوى أمن أضعف مستشاريها.

5. ملفات الحالات

توضح الأرقام حجم المشكلة، وتوضح الحالات الفردية كيف تعمل هذه الجهات. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. ACWA Power وLarsen & Toubro (INC Ransom، فبراير)

الادعاء. نشرت INC Ransom إدراجًا مشتركًا يسمّي ACWA Power وشريكتها Larsen & Toubro، بحجم بيانات مُعلن يبلغ 400 جيجابايت. تفيد تقارير عامة بأن البيانات في مستودع مشاريع مشترك لمشروع الطاقة الشمسية الكهروضوئية في المويه، وتشمل مخططات هندسية وشهادات جودة ISO ووثائق من وزارة الطاقة وأدلة سلامة واتفاقيات مقاولين. وبحسب تقارير عامة، تضمّن الإدراج تصنيفًا يشير إلى إيرادات بقيمة 100 مليون دولار. تاريخ الجهة نفسها 15 فبراير، وظهر الادعاء في مصادر الرصد العامة في 24 فبراير، أي بفارق تسعة أيام.
القراءة. الهدف ليس الشبكة الأساسية لأي من الشركتين، بل مساحة مشتركة لتبادل الملفات بين الشركتين ومقاوليهما، فحساب ضعيف واحد لدى شريك قد يكشف الطرفين. ووجود وثائق وزارية ضمن المجموعة يرفع الأهمية من تجارية إلى حكومية. وإذا كان هذا التصنيف من وضع المجموعة نفسها، فهو يتسق مع تحديد مبلغ المطالبة بحسب الضحية.
الثقة. متوسطة. الادعاء ومحتوياته من الجهة المهاجمة، ولا تأكيد لدينا من أي من الشركتين.

الحالة 2. قطاع الطاقة وسلسلة إمداده (أربع مجموعات، ستة ادعاءات)

الادعاءات. Sawafi، شركة خدمات حفر وإكمال (Gentlemen، 21 فبراير). ACWA Power (INC، 24 فبراير). أرامكو (Handala، 3 مارس). Al-Saidi، كيماويات حقول النفط واللوجستيات (DragonForce، 12 يوليو). Almeer، مقاول لمصافٍ ومصانع أسمدة (Gentlemen، 21 أغسطس). SAUDCONSULT، شركة استشارات يقدّرها ملف تجاري بـ 2,800 موظف، ومن عملائها أرامكو وسابك وصدارة ومعادن (Gentlemen، 31 أغسطس).
القراءة. ثلاث مجموعات إجرامية وجهة تهديد واحدة مرتبطة بدولة استهدفت مستويات مختلفة من سلسلة القيمة نفسها، وقد استهدفت المجموعات الإجرامية المورّدين بدلًا من المشغّلين الرئيسيين. فالمشغّلون لديهم الميزانية والضوابط، بينما يحتفظ مقاولو الحفر وموردو الكيماويات ومقاولو الإنشاءات والاستشاريون بتصاميمهم وجداولهم وتفاصيل مواقعهم بحماية أقل. ولا توجد أدلة تثبت وجود تنسيق بين المجموعات، فالنمط يعكس ضعفًا بنيويًا لا حملة جهة واحدة.
الثقة. مرتفعة في نمط الضحايا. منخفضة في وجود سبب مشترك.

الحالة 3. أرامكو وشركة الشارقة الوطنية للنفط، يومًا بعد يوم (Handala، مارس)

الادعاء. في 2 مارس ادّعت هندالة اختراق شركة الشارقة الوطنية للنفط في الإمارات، بـ 1.3 تيرابايت من البيانات المالية وعقود النفط وتفاصيل المشاريع. وفي 3 مارس ادّعت اختراق أرامكو بصياغة تقدّمه على أنه رد سياسي انتقامي، ودون ذكر حجم بيانات. وقعت ضربة رأس تنورة بالمسيّرات في 2 مارس.
القراءة. شركتا طاقة كبريان في دولتين في يومين متتاليين رسالة لا حملة ابتزاز؛ فالجهة تعلن عن مدى وصولها. وسجلها العلني يتضمن أرقامًا مضخّمة: ففي أبريل ادّعت مسح 6 بيتابايت من أنظمة حكومية في مركز مالي خليجي لم تكشف عن اسمه. لم نرَ دليلًا على تعطيل تشغيلي في أرامكو. تعامل مع الادعاء بوصفه نشاط تأثير قد يكون خلفه اختراق وتسريب، واستعد للتدمير مع ذلك، لأن أدوات المجموعة تدميرية.
الثقة. متوسطة في نسبته إلى هذه الجهة، ومنخفضة في أي أثر.

الحالة 4. تسارع The Gentlemen (ستة ادعاءات، من فبراير إلى أغسطس)

الادعاءات. Sawafi (21 فبراير)، Arabian Procession Holding (4 يونيو)، Babgi (31 يوليو)، Almeer وAWJ Holding (كلاهما 21 أغسطس)، SAUDCONSULT (31 أغسطس). تتقلص الفترات بين المنشورات: 103 أيام، ثم 57، ثم 21، ثم صفر، ثم 10. وقعت أربعة من الستة خلال 31 يومًا.
القراءة. يتسق تقلص الفترات مع تراكم الوصول المتاح. ويتسق ظهور ضحيتين في اليوم نفسه (Almeer وAWJ في 21 أغسطس) مع عدة احتمالات: شريك تابع واحد، أو دفعة وصول جرى الحصول عليها سابقًا، أو إدراجات غير مترابطة نُشرت معًا. ولا تحدد الأدلة أيًا منها. وفي الإمارات سارت المجموعة نفسها في الاتجاه المعاكس: أربعة ادعاءات في الربع الأول وواحد في الثاني واثنان في الثالث. ويتسق ذلك مع احتمال تحوّل اهتمام الشركاء التابعين إلى السوق السعودية خلال الصيف، وإن لم تهدأ الإمارات (آخر ادعاء لها في بياناتنا الإماراتية في 9 أغسطس) والأعداد صغيرة.
الثقة. مرتفعة في الإيقاع. متوسطة في قراءة الانتقال.

الحالة 5. 27 أبريل: يوم واحد، أربع ضحايا خليجية (APT73)

الادعاءات. Al-Gosaibi GTB وAl Rawdah Cooperative في المملكة، وفي الإمارات وزارة اتحادية (التغير المناخي والبيئة) وهيئة كهرباء ومياه وغاز الشارقة. أربعة منشورات، ومجموعة واحدة، ويوم واحد.
القراءة. تتسق الدفعة العابرة للحدود في اليوم نفسه مع مجموعة اختراق واحدة أو شريك تابع واحد ينشر ما جمعه دفعة واحدة، وإن كانت الإدراجات غير المترابطة احتمالًا قائمًا أيضًا. ولا يجمع بين الوزارة والمرفق والشركة الصناعية والجمعية التعاونية نمط قطاعي واضح. ومن الفرضيات وجود ناقل مشترك: منتج مصاب بثغرة، أو مورد تقنية معلومات مشترك، أو بيانات اعتماد معاد استخدامها. ولا تثبت الأدلة ذلك. وعلى كل من لديه تعرض لمورد مشترك أن يسأل ذلك المورد مباشرة.
الثقة. متوسطة في قراءة الدفعة، ومنخفضة في الناقل، فهو فرضيتنا.

الحالة 6. من موقع التسريب إلى المنتدى: Efada (Krybit، سبتمبر)

التسلسل. 24 سبتمبر: تنشر Krybit النطاق efada.sa على موقع التسريب. 25 و26 سبتمبر: نشر بائع في أحد المنتديات ادعاءً بشأن شركة سعودية باستخدام النطاق efadah.com.sa مرتين. 8 أكتوبر: اسم مستعار ثانٍ ينشر النطاق نفسه مجددًا.
القراءة. يختلف النطاقان بحرف ولاحقة، فلا نجزم بأنهما ضحية واحدة. وإن كانا كذلك فالتسلسل يعرض السوق الثانوية وهي تعمل: بعد منشور الابتزاز الأول، تُعاد المعلومات نفسها للبيع أو الإعلان عنها من آخرين في اليوم التالي، ومجددًا بعد أسبوعين. وكل إعادة نشر توسّع عدد حائزي البيانات وتقلّل قيمة الدفع للمبتز الأصلي.
الثقة. منخفضة إلى متوسطة في الصلة. ومرتفعة في أن إعادة النشر شائعة.

الحالة 7. L’azurde والشركة المدرجة (BlackNevas، يوليو وسبتمبر)

الادعاء. أدرجت BlackNevas شركة L'azurde، شركة لتجارة المجوهرات مقرها الرياض ومدرجة في تداول برمز 4011، في 14 يوليو، ويسمّيها إدراج ثانٍ بتاريخ 9 سبتمبر إلى جانب مجموعة عُمانية قابضة. تبيع المجموعة البيانات المسروقة مباشرة، وقد عرضت في إعلاناتها الإماراتية الوصول إلى الشبكة وموظفًا في تقنية المعلومات يُضغط عليه للتعاون.
القراءة. تتحمل الشركة المدرجة التزامات إفصاح لا تتحملها الشركة الخاصة، وعرض بيع الوصول ينقل الحادثة من انكشاف بيانات إلى اختراق مستمر. كما يمنح الإدراج البائع وسيلة للضغط على سمعة الشركة وسعر سهمها. على مجالس إدارة الشركات السعودية المدرجة أن تعدّ أي تواصل من BlackNevas حدثًا متصلًا بالإفصاح، وأن تُطلع المستشار القانوني فورًا.
الثقة. متوسطة. نعتمد على إدراجات المجموعة نفسها.

6. جهات التهديد النشطة: الحضور والدافع والتكتيكات

تقف سبع جهات وراء 14 ادعاءً من أصل 17. تستند المعلومات التقنية العامة عنها إلى تقارير حوادث عالمية لا إلى الحالات السعودية. ليس لدينا دليل على مستوى الحادثة من الضحايا السعوديين، لذا ينبغي فهم التكتيكات أدناه على أنها أساليب معروفة عن كل جهة عمومًا، لا إثباتًا لما جرى لشركة سعودية بعينها. تشير معرّفات التقنيات إلى MITRE ATT&CK.

ملخص: الدافع والحضور

القواسم المشتركة بين الجهات

تختلف أسماء المجموعات، لكن أساليب عملها تتشابه. تعرض المصفوفة التقنيات الموثقة لدى كل مجموعة رئيسية. والتقنية التي تتشاركها مجموعات كثيرة هدفًا أفضل للكشف من مؤشرات أي مجموعة بمفردها.

العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث سعودية.

ملفات مجموعات التهديد

المجموعات الصغيرة الأخرى

• Tengu. رُصدت أول مرة في أواخر 2025، بدافع مالي، وتوثيقها محدود. ادعاء واحد في كل من المملكة (14 يناير) والإمارات (25 فبراير).
• Gammax, Panzer. لا ملف عامًا موثوقًا لهما. نعاملهما كغير موثّقتين ونفترض حرفية تجارية عادية إلى أن يثبت الدليل خلاف ذلك.

قبل 2026: انتقلت ادعاءات الجهات الحكومية بعيدًا عن مواقع التسريب

في 2024 و2025 ظهرت أهداف حكومية وعسكرية سعودية على مواقع تسريب الفدية: مجلس خدمة عسكري (RansomHub، أغسطس 2024)، والقوات الجوية الملكية السعودية ومركز داخلي عسكري وحكومي (KillSec وBabuk-Bjorka، أبريل 2025)، وبوابة بلدية الطائف (Kazu، نوفمبر 2025). ونشرت جهة التهديد Abrahams_Ax المرتبطة بإيران، وهي امتداد لتجمّع Moses Staff الأقدم، بيانات لوزارة الداخلية السعودية مع مواد دعائية. أما في 2026 فلا تضم بيانات مواقع التسريب لدينا ادعاءً كهذا ضد جهة حكومية سعودية. تقيم هذه الادعاءات اليوم في المنتديات، حيث الحجم أكبر والدليل أرق. وهذا التحول مهم، لأن المنتديات تكافئ الكثرة والضجيج، فتحتاج ادعاءات الحكومة هناك إلى تدقيق أكبر قبل التصعيد.

7. ما بعد مواقع التسريب: ادعاءات المنتديات

تنشر عصابات برمجيات الفدية ضحاياها على مواقعها الخاصة. أما بقية الجهات فتنشر في المنتديات الإجرامية: بائعو البيانات ووسطاء الوصول والهاكتيفيست وطالبو الشهرة. راجعنا 36 منشورًا في المنتديات يستهدف السعودية، نُشر بين 23 أغسطس و9 أكتوبر 2026. هذه نافذة من سبعة أسابيع، لذا نتعامل معها بوصفها لقطة للسوق، لا مؤشرًا على اتجاه طويل الأمد. لا نذكر أسماء الضحايا هنا، لأن الادعاءات غير مؤكدة وكثيرًا منها أُعيد نشره، وقد تؤدي تسمية الجهة المستهدفة إلى تضخيم ادعاء غير مثبت. ونستثني من ذلك حالة واحدة (الحالة 6) تطابق فيها منشور في منتدى ادعاءً على موقع تسريب.

ما تستهدفه المنشورات الستة والثلاثون

• الحكومة والدفاع والأمن: 6 (17%). ادعاءات ضد وزارات وجهات عسكرية واستخباراتية، ومجموعة بيانات من 80,000 سجل لجهة تنظيمية، ووثيقة متصلة بالأسلحة. الأعلى أهمية والأقل قابلية للتحقق. توقع أن جزءًا منها قديم أو عام أو ملفق.
• اللوجستيات والتوصيل: 6 منشورات، 5 شركات. منصات تتعامل مع المستهلكين وتحتفظ بعناوين وأرقام هواتف وسجلات طلبات بأحجام كبيرة.
• وصول شبكي للبيع: 2. إعلان وصول VPN، ووصول إلى شركة تصنيع معلن بوسم «30kk+». يعني الرمز kk في المنتديات عادةً «ألف ألف»، فالرقم على الأرجح نحو 30 مليونًا، لكن البائع لا يوضح ما الذي يقيسه.
• الرعاية الصحية: 2. مستشفيان، أحدهما موصوف بأنه منشأة عسكرية كبيرة.
• المالية والسلع الاستهلاكية والاتصالات والإعلام والضيافة: 1 لكل منها. إضافة إلى إعلان واحد لنحو 9 ملايين سجل شخصي، ومجموعتين قابضتين، وشركتين تقنيتين.
• غير مصنف: 11. غالبها أسماء نطاقات دون وصف إضافي.

من ينشر

خمسة وعشرون اسمًا مستعارًا أنتجوا المنشورات الستة والثلاثين، ويهيمن عليها قلة. عائلة مشغّلين واحدة تنشر باسمي UWAYS وUWAYS QARANI تقف خلف 6 منشورات موزعة على الحكومة والصحة واللوجستيات والتقنية. والعمل في هذا العدد من القطاعات دفعة واحدة هو ملمح وسيط بيانات يعيد بيع مواد مجمّعة أو قديمة. وسبعة أسماء أخرى نشرت مرتين لكل منها. معًا، ثمانية مشغّلين يقفون خلف 20 من 36 منشورًا (56%).

ستة من هذه الأسماء تظهر أيضًا في عيّنة المنتديات الإماراتية خلال الأسابيع نفسها (DaOnlySpark وKeishell و4ss3 وhoneydutch وAnonymous2090 وs-root). ويشير ذلك إلى شبكة من البائعين الإقليميين تنشط في كلا السوقين، ولذلك ينبغي التحقيق في ادعاء مرتبط بالسعودية وآخر مرتبط بالإمارات من الاسم نفسه معًا.

الدوافع متباينة. معظم المنشورات تجارية: أحدهم يبيع بيانات أو وصولًا. أربعة منها تحمل علامة هاكتيفيست، بأسماء على نمط أنونيموس أو فرق سيبرانية وطنية، لكنها تستهدف الفنادق والمستشفيات والشركات القابضة بقدر ما تستهدف الحكومة. يبدو أن الدافع الأيديولوجي محدود، بينما يمثل لفت الانتباه هدفًا رئيسيًا.

إعادة النشر والإيقاع

قد يؤدي احتساب المنشورات إلى المبالغة في تقدير عدد الضحايا. ظهر نطاق واحد ثلاث مرات من اسمين مستعارين خلال 13 يومًا، وآخر مرتين من الاسم نفسه خلال يومين. تغطي المنشورات الستة والثلاثون نحو 33 هدفًا مختلفًا. وتتابع الحالة 6 أعلاه النطاق الذي ظهر ثلاث مرات.

كان الحجم الأسبوعي متقلبًا: 7 ثم 5 ثم 6 ثم 3، ثم 10 منشورات بين 22 و30 سبتمبر، و5 في أول تسعة أيام من أكتوبر. تتبع الدفعات مخزون البائعين ودورات الانتباه، لا الأخبار.

لماذا يهم هذا لخطر برمجيات الفدية

قد تكون إعلانات بيع الوصول إلى الشبكات مقدمةً لهجمات لاحقة ببرمجيات الفدية. يشتري الشركاء التابعون الوصول ثم يشفّرون ويبتزون. إعلان شركة التصنيع له الملمح نفسه لضحايا الصناعة في مسار مواقع التسريب: شركة سعودية متوسطة الحجم بوصول عن بُعد مكشوف. لا يمكننا ربط أي إعلان بأي ادعاء ولا نفعل. لكن مسار إعلان في منتدى، ثم أيام أو أسابيع، ثم منشور على موقع تسريب هو سبب مراقبة المنتديات لا مواقع التسريب وحدها.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. في ادعاءات الحكومة والجيش، تحقق قبل التصعيد: هل البيانات قديمة أو عامة، وهل تطابق سجلاتك، وهل يعرض صاحب المنشور عينات.

8. تحديث خارج نطاق التقرير: أكتوبر 2026

في 3 أكتوبر ادّعت مجموعة تسمي نفسها Wallstreet اختراق الفرع السعودي لتحالف China Railway Construction الذي ينفذ ملعب جدة المركزي لكأس العالم 2034. تزعم سحب 17 تيرابايت و1.5 مليون ملف، منها وثائق عقود وشهادات دفع وبيانات شخصية لأكثر من 150,000 موظف. لم نتحقق من الادعاء، وهو خارج نافذة هذا التقرير. نذكره لأنه نمط يتجلى بوضوح في الحالات التي يعرضها هذا التقرير: مورّد يحتفظ بأثمن ما في برنامج وطني. Wallstreet غير موثّقة.

9. كيف يدخلون

تُظهر مواقع التسريب الضحايا لا الاختراقات، لذا يعتمد هذا القسم على تقارير إقليمية عامة. الصورة المتسقة:

• استغلال الثغرات في الصدارة. تعزو Positive Technologies إليه 38% من حوادث الخليج، يليه البرمجيات الخبيثة (31%) والهندسة الاجتماعية (27%). وتُعد الأنظمة الصناعية القديمة أحد العوامل المساهمة.
• تمثل أجهزة الشبكة الطرفية إحدى نقاط الدخول الرئيسية. تتكرر جدران الحماية وبوابات VPN غير المحدّثة في تقارير CloudSEK وCYFIRMA وتقارير المورّدين.
• شراء الوصول الأولي. يغذّي وسطاء الوصول الأولي وبيانات الاعتماد المسروقة شركاء تابعين لم يلمسوا الهدف قبل البيع.
• الذكاء الاصطناعي يدخل سير العمل. تذكر CloudSEK أن MuddyWater المرتبطة بإيران تستخدم Gemini لتطوير الأدوات، وأن APT42 تستخدم الذكاء الاصطناعي في إعداد رسائل التصيد. هو عامل تسريع لا تقنية جديدة.

10. الإطار التنظيمي

يتداخل نظامان. أصدرت الهيئة الوطنية للأمن السيبراني ضوابط NCNICC-1:2025 للجهات الخاصة خارج البنية التحتية الحرجة، والنص الأصلي منشور على موقع الهيئة، وقد أخذنا التدرج بحسب الحجم وتاريخ الاعتماد من ملخصات مكاتب قانونية لا من قراءتنا للوثيقة الكاملة. وبشكل منفصل تتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) إدارة نظام حماية البيانات الشخصية ولائحته التنفيذية. وتصف خدمة الإبلاغ عن خرق البيانات لدى سدايا القاعدة النافذة بموجب المادة 24 من اللائحة التنفيذية: إخطار سدايا خلال 72 ساعة من العلم بخرق مرجح الضرر بالبيانات الشخصية أو بصاحب البيانات أو بحقوقه. أما أحكام العقوبات (المادتان 35 و36 من النظام) فلا نعرفها إلا من تعليقات مكاتب قانونية تضعها عند 5 ملايين ريال كحد أقصى، ولم نتحقق من هذه الأرقام في النص الرسمي. ونشرت سدايا مشروع تعديلات للتشاور العام من 6 أكتوبر إلى 5 نوفمبر 2026، من شأنها بحسب التعليقات نفسها إلغاء شرط الضرر عند إخطار سدايا. وهي مقترحات لا قواعد نافذة، وقابلة للتغيير. لذلك قد تثير حادثة الابتزاز المزدوج سؤالًا عن ضوابط الهيئة وسؤالًا عن نظام حماية البيانات معًا، وقد تترتب على الشركات المدرجة التزامات إفصاح للسوق إضافة إلى ذلك. استشر مستشارًا قانونيًا في أي حالة بعينها. لسنا قانونيين.

11. التوقعات للربع الرابع 2026 والأول 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات المحدودة أعلاه.

1. من المتوقع أن يبقى عدد الادعاءات في الربع الرابع عند مستوى الربع الثالث أو أعلى. سُجّل ادعاء واحد خلال الأيام الثلاثة الأولى من أكتوبر 2026، ولا توجد مؤشرات على تراجع عدد الشركاء التابعين أو حجم الوصول المتاح لهم. نقيّم ذلك على أنه محتمل.
2. اختراق الأطراف الثالثة يتصدر. توقع مزيدًا من الادعاءات ضد المقاولين والاستشاريين وتقنية المعلومات المُسندة، وقد يكون العميل النهائي هو الهدف الحقيقي.
3. تُبقي The Gentlemen المملكة في مرمى نظرها. أربعة ادعاءات في 31 يومًا ليست نمط توقف. نتوقع ادعاءين إضافيين مرتبطين بالسعودية على الأقل من المجموعة قبل نهاية العام.
4. التشظي يستمر. توقع خمسة أسماء مجموعات جديدة على الأقل بضحايا مرتبطين بالسعودية. دافع ضد السلوكيات لا العلامات.
5. قد تتحول إعلانات بيع الوصول إلى ادعاءات باختراقات منشورة. توقع أن تتحول بعض عروض الوصول المنشورة في المنتديات إلى ادعاءات باستهداف شركات سعودية متوسطة على مواقع التسريب خلال أسابيع.
6. مسار الحرب ورقة غير محسومة. وقف إطلاق النار يخفض خطر برمجيات المسح، والتصعيد يرفعه بسرعة، وتقع الطاقة والمياه والحكومة في الصف الأول.

12. ما يجب فعله هذا الربع

1. ابدأ بتحديث أجهزة الشبكة الطرفية. احصر كل VPN وجدار حماية وبوابة وصول عن بُعد مواجهة للإنترنت. ضع هدفًا داخليًا مقترحًا لا يتجاوز 72 ساعة لتحديثها عند وجود ثغرات يجري استغلالها فعليًا، واعتمد ضوابط تعويضية حيث يتعذر التحديث الفوري، وحدّد الأولوية بحسب تأكيد الاستغلال ودرجة التعرض وأهمية الأصل وإرشادات المورّد.
2. تحقّق من ظهور بيانات اعتماد مؤسستك في التسريبات. افحص سجلات برمجيات سرقة المعلومات وأسواق الوسطاء بحثًا عن حسابات الموظفين والموردين. غيّر كلمات مرور الحسابات التي تظهر بيانات اعتمادها في التسريبات، وألغِ الجلسات النشطة إلى جانب تغيير كلمات المرور. هذا أرخص ضابط في القائمة.
3. رتّب مورّديك بحسب حجم البيانات الحساسة التي يحتفظون بها. حدد الشركات الخارجية الخمس الأكثر احتفاظًا ببياناتك الحساسة، وابدأ بالاستشاريين والمقاولين ومستودعات المشاريع المشتركة. اطلب من كل منها دليلًا على المصادقة متعددة العوامل للوصول عن بُعد وتغطية EDR ونسخ احتياطية غير متصلة.
4. افترض احتمال تعطيل حلول الكشف والاستجابة على الأجهزة الطرفية (EDR). نبّه على تحميل برامج التشغيل وعلى إيقاف خدمات الأمان. لا تعتمد على وكيل واحد كخط أخير.
5. افصل خطة برمجيات المسح عن خطة الابتزاز. جهّز نسخًا احتياطية غير متصلة بالإنترنت، واختبر إجراءات الاستعادة لمواجهة حالات المسح التدميري، وجهّز الاستعدادات القانونية والإعلامية والتفاوضية لحالات سرقة البيانات. هما تمرينان مختلفان.
6. استعد لاستهداف الموظفين بالإكراه. بعض المجموعات تتواصل مباشرة مع موظفي تقنية المعلومات والمالية. وفّر للموظفين وسيلة آمنة وسريعة للإبلاغ عن أي محاولة تواصل مشبوهة، وتعامل مع أي محاولة تواصل مشبوهة بوصفها حادثة أمنية.
7. استعدّ لاحتمال الابتزاز المزدوج. حدّد من يتواصل مع الهيئة الوطنية للأمن السيبراني وسدايا وتداول (إن كنت مدرجًا)، ومن يُطلع مجلس الإدارة، ومن يقرر التفاوض. وثّق هذه الإجراءات واختبرها.
8. راقب ظهور اسم مؤسستك في مواقع التسريب والمنتديات الإجرامية. قد تنشر مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بياناتك قبل أن تعلم بتسريبها. قد يمنحك الاكتشاف المبكر في هذه المصادر بضعة أيام للاستجابة.

المصادر

• National Cybersecurity Authority, NCNICC-1:2025 controls (primary text, Arabic)
• SDAIA, Personal Data Breach Notification service (Article 24 rule as described by the regulator)
• Clyde & Co, SDAIA publishes draft amendments to the PDPL (secondary source for Article 24 and the consultation dates)
• Check Point Research, The State of Ransomware Q1 2026
• The National, Ransomware activity rises across Middle East (CloudSEK data)
• Positive Technologies H1 2026 Gulf findings, via TECHx
• CYFIRMA, Converging Threat Vectors: Saudi Arabia 2025 to 2026
• 2026 Iranian strikes on Saudi Arabia (event timeline)
• Picus Security, Handala threat group profile
• Check Point Research, Handala Hack: unveiling the group's modus operandi
• Hive Pro, Handala claims destructive wiper attack on GCC nation
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Cybereason, The Gentlemen ransomware
• Sophos, GOLD IONIC deploys INC ransomware
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• Blackpoint Cyber, DragonForce threat profile
• CloudSEK, Unmasking media-hungry ransomware groups: Bashe and APT73
• SOCRadar, Dark Web Profile: Krybit
• CMS, NCA Cybersecurity Controls for the Private Sector

تُعرض المصادر بلغاتها الأصلية.