برمجيات الفدية وادعاءات سرقة البيانات في تركيا خلال الأرباع الثلاثة الأولى من عام 2026

الخلاصة

تستعرض الخلاصة خمس نتائج تهم مجالس الإدارة ومسؤولي أمن المعلومات في تركيا، وكذلك المؤسسات التي تورّد إلى الصناعة التركية أو تشتري منها.

1. تقع تركيا بين الخليج وفرنسا. رصدنا 79 ادعاءً مرتبطًا بتركيا في الأشهر التسعة الأولى من 2026، بواقع 21 و25 و33 في الأرباع الثلاثة. وهذا أقل بقليل من 83 في أسواقنا الخليجية الست، وأقل بكثير من 185 في فرنسا. هذه أحجام مرصودة في مجموعتنا، لا قياس قابل للمقارنة لحجم الحوادث الفعلي. أما أعداد المتتبع الخام السنوية، قبل إزالة التكرار وعلى سجل غير متكافئ في السنوات الأقدم، فهي 15 لعام 2023 و17 لعام 2024 و52 لعام 2025 و88 حتى الآن في 2026، فهي تشير إلى صعود لكنها لا تثبت اتجاهًا موثوقًا.
2. الصناعة هي الهدف. شكّلت شركات التصنيع 31 من أصل 79 ادعاءً (39%)، من الآلات والصلب إلى النسيج والكيماويات والتغليف وموردي السيارات. ويعطي تقرير جهة متخصصة عن تركيا حصة قريبة، 38%، بحسب أعدادها. وتأتي بعدها قطاعات النقل واللوجستيات والتمويل والرعاية الصحية بخمسة ادعاءات أو ستة لكل منها.
3. مجموعة رائدة وذيل طويل ومزيج يختلف عن فرنسا. قدّمت Qilin 15 ادعاءً (19%)، أقل بكثير من حصتها في فرنسا البالغة 23%. وقدّمت المجموعات الست الأولى 48 ادعاءً (61%)، وقدّمت 17 مجموعة الادعاءات الـ 31 الباقية، منها 13 مجموعة بادعاء أو اثنين. وتظهر 14 مجموعة من الـ 23 أيضًا في بياناتنا الفرنسية ونُسب إليها 52 من أصل 79 ادعاءً، بينما لا تظهر تسع مجموعات فيها، منها CRPxO وDeadlock وDoommageddon.
4. دفعة واحدة ترفع حصيلة الربع الثالث. في 31 يوليو أدرجت علامة تُدعى CRPxO ثمانية أسماء تركية دفعة واحدة، بينها مصرف وشركة تأمين وشركة إلكترونيات دفاعية ومتجر تجزئة وشركة طيران. ومعظمها بلا موقع إلكتروني في المتتبع، والتفاصيل الداعمة ضعيفة. ولولاها لكان الربع الثالث 25 ادعاءً، أي بمستوى الربع الثاني، فالارتفاع من 25 إلى 33 يعود في معظمه إلى هذه الدفعة. ونتعامل معها على أنها غير موثقة.
5. تتداول المنتديات بيانات الهوية وبيانات منسوبة إلى جهات حكومية. تعرض خلاصة إحدى الجهات المتخصصة 146 منشورًا في المنتديات وتيليغرام تستهدف تركيا، وتعرض العيّنة التي التقطناها من 23 أغسطس إلى 11 أكتوبر ملايين السجلات في كل مرة: بيانات تأمين ووثائق هوية وسجلات مدارس ورعاية صحية وبيع وصول إلى أنظمة حكومية. وكل إدراج مهمة تحقق، ولا نذكر أسماء الضحايا هنا.

نقيّم مستوى الخطر على شركات التصنيع التركية ومشغّلي النقل واللوجستيات بأنه مرتفع ومتصاعد. أما على الرعاية الصحية والتمويل والجهات العامة فنقيّمه بأنه مرتفع نسبيًا، لأن الادعاء فيها يطال بيانات شخصية على نطاق واسع. وهذه تقييماتنا، المستندة إلى ادعاءات منشورة على مواقع التسريب لم نتحقق من صحتها بصورة مستقلة.

1. النطاق، وما تحتمله الأرقام

يغطي هذا التقرير الادعاءات التي تسمّي منشآت تركية والمنشورة على مواقع التسريب بين 1 يناير و30 سبتمبر 2026. وتُذكر الادعاءات المؤرخة في أكتوبر بصورة منفصلة بوصفها تطورًا لاحقًا. ويعرض المتتبع 85 إدخالًا من هذا النوع. وبعد استبعاد التكرارات والمنشآت التي يقع مقرها في مكان آخر يبقى 79. واستبعدنا إدخالًا بلا اسم، وإدراجين للمجموعة نفسها في اليوم نفسه، وأربعة إدخالات تشير نطاقاتها أو ملفاتها إلى شركات خارج تركيا أو لم نتمكن من تحديد موقعها. ونحتسب النطاق أو اسم المنشأة نفسه المدرج مجددًا خلال 14 يومًا، من المجموعة نفسها أو من أخرى، مرة واحدة. وقد تدمج هذه القاعدة حوادث منفصلة فعلًا لدى المنشأة نفسها، لذا يُحتسب الإدراج المتكرر ادعاءً واحدًا لا دليلًا على حادثة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، استنادًا إلى نطاقها وملفها العام، فتُحتسب الشركة التابعة التركية لمجموعة متعددة الجنسيات إذا أُدرجت باسمها ونطاقها التركيين. وقد تكون بعض أوصاف الشركات في المتتبع مولّدة آليًا، ولم نتحقق بصورة مستقلة من دقتها. ويعرض متتبع ثانٍ راجعناه بعض الإدخالات التي لا يعرضها الأول، ومنها ادعاء ضد مجموعة مستشفيات، ويؤرخ دفعة CRPxO تاريخًا مختلفًا. وتختلف الرؤية من دولة إلى أخرى، فالأعداد ليست إجماليات كاملة للحوادث.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع التسريب، وهي المواقع التي تنشر عليها المجموعات البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر.
• ادعاء المجموعة ليس دليلًا على الاختراق. نستخدم «ادعاء» للإدراج غير الموثق و«حادثة» للحدث المثبت فقط. لم نتحقق بصورة مستقلة من صحة أي مجموعة من البيانات المنشورة، وتنشر عدة علامات في هذا التقرير ادعاءات بأدلة ضعيفة أو معدومة.
• إسناد الضحية إلى دولة بعينها ليس دقيقًا دائمًا، وبعض المجموعات التركية تعمل عبر الحدود. ولم نجد إحصاءات رسمية تركية عن الحوادث تقابل الأعداد الواردة هنا، لذا لا يمكننا مقارنة أرقامنا بإجمالي وطني. ينبغي التعامل مع أرقامنا بوصفها أعدادًا للحالات التي رصدناها، لا حصرًا شاملًا.

مصطلحات. RaaS (برمجيات الفدية كخدمة): نموذج يتيح لمطوري برمجيات الفدية توفير أدواتهم وبنيتهم التحتية لشركاء تابعين ينفذون الهجمات مقابل تقاسم العائد. EDR (أنظمة الكشف والاستجابة عند نقطة النهاية): تقنيات أمنية ترصد الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والاستجابة لها. وسيط الوصول الأولي (IAB): جهة تبيع وصولًا جاهزًا إلى شبكة مخترقة أو إلى حسابات تتيح الدخول إليها. KVKK: هيئة حماية البيانات الشخصية التركية وقانونها. و«1kk» و«5kk» في عناوين المنتديات اختصار لمليون وخمسة ملايين سجل.

2. الخط الزمني: تدفق مستمر وقفزة واحدة

يُظهر الخط الزمني تدفقًا مستمرًا بمتوسط يقارب تسعة ادعاءات شهريًا، من 4 في يناير إلى 10 في مارس ومايو وسبتمبر، مع قفزة إلى 16 في يوليو. وثمانية من ادعاءات يوليو هي دفعة CRPxO في 31 يوليو، ولولاها لبلغ يوليو ثمانية، بما يتسق مع بقية الأشهر. ويدعم مارس ثلاثة ادعاءات من DragonForce في 4 مارس، ويدعم مايو ثلاثة ادعاءات بين 22 و24 مايو من ثلاث مجموعات مختلفة. وأضاف المتتبع في الأيام الستة الأولى من أكتوبر ثلاثة ادعاءات أخرى، ما يشير إلى استمرار النشاط.

تُظهر بيانات المتتبع أن عدد الإدراجات المسجلة لعام 2026 تجاوز عدد إدراجات عام 2025 بحلول أوائل أكتوبر. وأعمدة السنوات هذه أعداد خام للمتتبع قبل التنقية، وليست الـ 79 ادعاءً المنقّاة الواردة في بقية التقرير. ولأن السنوات الأقدم جُمعت بصورة أضعف ولأن الأعداد غير منقّاة، نقرأ الأعمدة بوصفها إشارة صعود لا معدل نمو مقيسًا. ولم نجد سلسلة رسمية تركية عن حوادث برمجيات الفدية لمقارنتها بها.

3. المجموعات في لمحة

قدّمت 23 مجموعة 79 ادعاءً. وقدّمت المجموعات الست الأولى 48 (61%)، وقدّمت الـ 17 الباقية 31، منها 13 مجموعة بادعاء أو اثنين لكل منها. والتركّز أقل مما هو في فرنسا حيث قدّمت مجموعتان 41%، وحصة الرائدة هنا، Qilin، 19%. ويضع تقرير جهة متخصصة عن تركيا Qilin عند 15% وLockBit عند 11.9% وNightSpire عند 6.9%. وحصة LockBit لدينا أقل بكثير، ادعاء واحد، وهذا يبيّن إلى أي حد يعتمد ترتيب المجموعات على النافذة الزمنية وقواعد التنقية.

المجموعات الناشطة في تركيا وفرنسا والخليج

تظهر 14 مجموعة من الـ 23 أيضًا في بياناتنا الفرنسية ونُسب إليها 52 من الادعاءات التركية الـ 79. وتظهر ثماني مجموعات على الأقل، وهي المدرجة أدناه، في بياناتنا الخليجية أيضًا. ويعرض الجدول إحدى عشرة مجموعة هي الأكثر ادعاءات تركية.

تستند الأرقام الفرنسية والخليجية إلى تقريرنا عن فرنسا وتقاريرنا القُطرية الستة عن الخليج وتقريرنا الموجز عن المنطقة. اقرأ تقرير فرنسا · اقرأ ملخص الخليج

4. من هو المستهدف

تصنيفنا للادعاءات الـ 79 باستخدام وسوم القطاعات في المتتبع مع تصحيح القليل مما تبيّن لنا أنه خاطئ. يُحتسب كل ادعاء مرة واحدة.

يتصدر التصنيع بنسبة 39%، متقدمًا بفارق كبير على التقنية بنسبة 10%. وقائمة المصانع واسعة: آلات ومعدات حفر وقطع صلب ونسيج وكيماويات وتغليف وبلاستيك ومستحضرات تجميل ومستورد سيارات ومصنّع معدات كهربائية. وأربعة من ادعاءات التمويل الستة تعود إلى دفعة CRPxO (ثلاثة مصارف وشركة تأمين)، وكذلك واحد من ادعاءات النقل الستة، وهو شركة الطيران. وللرعاية الصحية خمسة ادعاءات من خمس مجموعات مختلفة، وثلاثة ادعاءات فقط تسمّي جهة حكومية أو دفاعية، إحداها جهة عامة هي وكالة السجل العقاري. وبالمقارنة مع فرنسا، حيث تتصدر الخدمات المهنية وتظهر 12 بلدية، ويغلب على القائمة التركية الطابع الصناعي، مع حضور قطاعات خدمية حيوية وغياب شبه تام للجهات المحلية.

يغلب على العينة التركية استهداف منشآت التصنيع: شركة تصنيع بخط إنتاج وسلسلة توريد وعملاء تصدير في الانتظار.

5. ملفات الحالات

تُظهر الأعداد شكل المشكلة، وتُظهر الحالات الفردية كيف تعمل. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. Qilin، تدفق مستمر (15 ادعاءً)

الادعاءات. من 4 يناير إلى 20 سبتمبر نشرت Qilin 15 منشأة تركية، أربع في الربع الأول وخمس في الثاني وست في الثالث. وخمس منها في التصنيع واثنتان في الرعاية الصحية، وتشمل البقية علامة مستحضرات تجميل ومنتج أغذية ومكتب محاماة وجامعة حكومية وشركة تقنية ومجموعتين قابضتين متنوعتين. وتلتها شركة إنشاءات في 6 أكتوبر.
القراءة. ويتسق تنوع القطاعات والأحجام مع علامة RaaS يختار شركاؤها التابعون أهدافهم بحسب الوصول لا الصناعة، والقاعدة الصناعية الكبيرة في تركيا تتيح لهذا النوع من الوصول خيارات كثيرة. والترتيب هو نفسه في فرنسا حيث Qilin أولى أيضًا، لكن حصتها هنا أصغر. وفي 9 أكتوبر أفادت الصحافة بأن اليابان أكدت توقيف مواطن روسي يُتهم بأنه عضو في Qilin. وقد أُوقف في أوساكا في مايو، وسُلّم إلى ألمانيا في 2 أكتوبر بحسب التقارير. وتربطه التقارير بهجمات على شركات ألمانية لا بضحايا أتراك، ولا نقرأ ذلك انقطاعًا في النشاط: فقد استمرت ادعاءات Qilin بعد توقيفه في مايو، ويعرض المتتبع ادعاءً ضد شركة إنشاءات تركية في 6 أكتوبر، بعد أربعة أيام من التسليم.
الثقة. مرتفعة في الأعداد والتواريخ. منخفضة في كيفية اختيار الشركاء التابعين للأهداف.

الحالة 2. يوم واحد وثمانية أسماء (CRPxO)

الادعاءات. في 31 يوليو ظهرت علامة تُدعى CRPxO بثمانية إدراجات تركية: سلسلة بقالة وشركة إلكترونيات دفاعية وشركة تأمين ومجموعة إعلام وطاقة وشركة طيران وثلاثة مصارف. وستة منها بلا موقع إلكتروني في المتتبع. ويعرض متتبع ثانٍ أحد عشر إدخالًا: الأسماء الثمانية نفسها وثلاثة أسماء إضافية، هي مجموعة أدوية وشركة سيارات وفرع محلي لمصنّع سيارات. ويؤرخ الدفعة في 12 أغسطس، ويعطي كل إدخال ملفًا نمطيًا بمدينة وقطاع وحجم بيانات يتراوح بين 0.2 و4.5 غيغابايت ومهلة في 8 أغسطس، أي قبل تاريخ الإدراج.
القراءة. أن تنشر علامة واحدة أشهر الأسماء في عدة قطاعات في يوم واحد، بحقول موحدة ومهلة غير متسقة، يبدو أقرب إلى إدراج جماعي لجذب الانتباه منه إلى أحد عشر اختراقًا منفصلًا. وهذه قراءتنا لا نتيجة. والأحجام صغيرة بالنسبة لشركات بهذا الحجم، ولم نرَ تأكيدًا من أي شركة مسمّاة. ويعرض المتتبع 37 ضحية لـ CRPxO في المجمل، 26 منها في الولايات المتحدة وثمانٍ في تركيا، فالدفعة التركية ليست نشاطها الرئيسي. وتهم الدفعة أساسًا لأنها تضخّم الربع الثالث، ولأن العملاء والصحفيين قد يأخذون قائمة كهذه على ظاهرها.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في أن أيًّا منها يصف اختراقًا حقيقيًا.

الحالة 3. Deadlock وDoommageddon: تركيا سوق واحدة بين أسواق كثيرة

الادعاءات. تقف علامتان وراء 11 ادعاءً تركيًا في نافذتنا. نشرت Deadlock ستة بين 22 مايو و19 أغسطس: مصنّع قطع معدات كهربائية وشركة معدات حفر ونقل ترابي وشركتا بلاستيك وهندسة في يوم واحد ومختبر طبي ومشغّل محطة موانئ. ونشرت Doommageddon خمسة ادعاءات خلال الفترة المشمولة بالتقرير، من 8 مارس إلى 28 أغسطس، منها مستورد محلي لمصنّع سيارات وشركة كيماويات وشركة آلات وشركة عقارات وشركة لوجستيات. وأضافت في 5 أكتوبر ادعاءً آخر ضد مدرسة، خارج نطاق الفترة المشمولة بالتقرير. ويظهر اسم بالتسمية نفسها أيضًا بين أنشط الناشرين في خلاصة المنتديات التركية لدى إحدى الجهات المتخصصة، بخمسة منشورات.
القراءة. تركيا سوق واحدة بين أسواق كثيرة لدى العلامتين. إذ يعرض المتتبع 106 ضحايا لـ Deadlock في 42 دولة منذ مايو، تتقدم عليها إيطاليا (12) وإسبانيا (11) والولايات المتحدة (7) وبولندا (7) على تركيا (6)، و16 ضحية لـ Doommageddon، ستة منهم أتراك، تليهم الهند (3) والبرازيل (2). وتنشر العلامتان في الغالب أسماء صناعية ولوجستية متوسطة الحجم، وهذا يتسق مع مجموعات تختار أهدافها بحسب الوصول لا الجغرافيا، لذا ينبغي لشركات التصنيع التركية أن تقرأهما ضمن نمط صناعي أوروبي أوسع. وتوجد بين المصنّعين شركة تشغيل موانئ ومختبر، فيمتد الضغط إلى اللوجستيات والصحة أيضًا. ولدينا تقارير تقنية قليلة عن العلامتين، لذا لا نعرض ملفًا لهما أدناه.
الثقة. مرتفعة في الأعداد والتواريخ. منخفضة في هوية العلامتين وطريقة دخولهما.

الحالة 4. المجموعات القابضة والأسماء الكبيرة

الادعاءات. يسمّي ستة ادعاءات على الأقل مجموعة قابضة أو صناعية كبيرة أو علامة معروفة: اثنان لدى Qilin وواحد لكل من The Gentlemen (مصنّع أجهزة منزلية) وBlackNevas (مجموعة ضيافة وكازينو) وDoommageddon (مستورد محلي لمصنّع سيارات)، وإدراج ثانٍ لـ The Gentlemen في 7 سبتمبر. ويدّعي إدراج مصنّع الأجهزة المنزلية وجود آلاف مساحات التوثيق الداخلية ومشاريع التتبع، ويقول إن الوصول جاء من وسيط مرتبط بمزوّد خدمات تابع لطرف ثالث. أما إدراج 7 سبتمبر فيحمل ملفًا لمجموعة تغليف صغيرة لا يتطابق مع اسم شركة كبيرة معروفة، وهذا يبيّن كيف يمكن أن يضلل الملف المولّد آليًا.
القراءة. تدير المجموعات القابضة تقنية معلومات مشتركة عبر شركاتها التابعة، فقد يطال الادعاء ضد اسم واحد شركات شقيقة، ويُعدّ مزوّد الخدمات التابع لطرف ثالث المذكور في إدراج ما خيطًا يستحق التحقق لا مسارًا مثبتًا. وما نفعله هو أن نسأل عن الأنظمة المشتركة التي تربط شركات المجموعة، وهل يمكن أن يمسّ ادعاء ضد شركة تابعة أو مورّد أو مزوّد خدمات شركتك.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في ادعاءات الوصول، فلم نتمكن من التحقق منها.

الحالة 5. الصحة والنقل والسجل العقاري والدفاع

الادعاءات. جاءت خمسة ادعاءات في الرعاية الصحية من خمس مجموعات: مصنّع أجهزة طبية (Direwolf، 4 يناير) ومجموعة مستشفيات خاصة (Qilin، 15 يونيو) وشركة أدوية (Qilin، 23 يوليو) ومستشفى (Direwolf، 30 أغسطس) والفرع المحلي لشركة أدوية متعددة الجنسيات (N0n، 18 سبتمبر). ويعرض المتتبع الثاني أيضًا ادعاءً ضد مجموعة من 36 مستشفى بتاريخ 12 أبريل لا يحمله المتتبع الأول. وفي النقل أدرجت The Gentlemen شركة قطار عالي السرعة ومشغّل طريق سريع خلال خمسة أيام في فبراير، وأدرجت Deadlock مشغّل محطة موانئ في أغسطس، وأدرجت CRPxO شركة طيران في 31 يوليو. وأدرجت APT73 وكالة السجل العقاري في 22 مايو، وأدرجت NightSpire مورّدًا دفاعيًا في 30 مارس.
القراءة. تتجه عدة مجموعات إلى خدمات يظهر فيها أثر التوقف بوضوح وتكبر فيها البيانات الشخصية. فالمستشفى أو السجل يحتفظ ببيانات عدد كبير من الناس، فيطال ادعاء سرقة البيانات هناك المواطنين حتى دون تشفير. ولا نعرف ما الذي سُرق، إن سُرق شيء، ولم نرَ تأكيدًا من الجهات المتأثرة.
الثقة. مرتفعة في وجود الإدراجات. منخفضة في الأثر، فلا يؤكده أي مصدر.

الحالة 6. أكتوبر بدأ فعلًا: ثلاثة ادعاءات وأسبوع نشط في المنتديات

الادعاءات. بين 4 و6 أكتوبر يعرض المتتبع ثلاثة ادعاءات أخرى خارج النافذة: Emperador ضد مصنّع أدوات حديدية (4 أكتوبر) وDoommageddon ضد شبكة مدارس (5 أكتوبر) وQilin ضد شركة إنشاءات (6 أكتوبر). وفي خلاصة المنتديات تستمر الإدراجات كل يوم، مع إدراجات جديدة في 6 و7 و11 أكتوبر.
القراءة. ثلاث مجموعات مختلفة في ثلاثة أيام، من مدرسة إلى مقاول، يتسق مع النمط الواسع القائم على الوصول في الحالة 1 ونمط التركيز المحلي في الحالة 3. ولا تغيّر هذه الإدراجات الأرقام الواردة أعلاه.
الثقة. مرتفعة في الإدراجات. منخفضة في ما سُرق، إن سُرق شيء.

6. جهات التهديد النشطة: الحضور والدافع والتكتيكات

خمس مجموعات مختارة لأهميتها للمدافعين لا بحسب الحجم قدّمت 37 من الادعاءات الـ 79 وتُعرض ملفاتها أدناه. وتتقدم CRPxO وDeadlock وDoommageddon على بعضها بالعدد، لكن لدينا تقارير تقنية قليلة عنها فلا نعرض ملفات لها (الحالتان 2 و3). ومعلوماتها التقنية العامة مصدرها تقارير حوادث عالمية لا الحالات التركية، لذا ينبغي فهم التكتيكات على أنها أساليب معروفة عن كل مجموعة عمومًا، لا إثباتًا لما جرى لشركة تركية بعينها. تشير معرّفات التقنيات إلى MITRE ATT&CK.

تُعرض أربع جهات لديها تقارير تقنية عامة كافية. العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث تركية. وتعني الخلية الفارغة أن التقنية غير موثقة في المصادر التي راجعناها، لا أن المجموعة لا تستخدمها. ولا يوجد عمود لـ BlackNevas لأن لدينا تقارير تقنية عامة أقل عنها.

ملفات مجموعات التهديد

مجموعات أخرى تستحق المعرفة

• CRPxO (8). دفعة 31 يوليو من الأسماء المعروفة، بتفاصيل ضعيفة ونمطية. راجع الحالة 2.
• Deadlock (6) وDoommageddon (5). علامتان تعملان في تركيا ضمن أسواق كثيرة (106 و16 ضحية عالميًا)، وتنشران أسماء صناعية ولوجستية وصحية. راجع الحالة 3.
• Krybit (4). ثلاثة مصنّعين وشركة تقنية بين أبريل وسبتمبر. وهي تعمل أيضًا في فرنسا (6) والخليج (6)، فهي من العلامات القليلة الموجودة في الأسواق الثلاثة.
• APT73 (3) وINC Ransom (2) وDirewolf (2) وNova (2). مجموعات أقل ظهورًا في العينة بحفنة ادعاءات لكل منها، تمزج شركة تمويل ووكالة السجل العقاري ومصنّعين ومستشفى ومصنّع أجهزة طبية. ونشاط INC Ransom في الخليج (ثمانية ادعاءات) أكبر بكثير منه في تركيا.
• ادعاء واحد لكل منها: Tengu وLockBit 5.0 وPayload وAuditTeam وBravox وMajinahanashi وDark Project وBarracuda وN0n وEmperador. ولدى LockBit 5.0 ادعاء تركي واحد فقط، مقابل ثمانية في فرنسا وستة في الخليج.

7. ما بعد مواقع التسريب: ادعاءات المنتديات

تنشر عصابات برمجيات الفدية ضحاياها على مواقعها الخاصة. أما بقية الجهات فتنشر في المنتديات الإجرامية: بائعو البيانات ووسطاء الوصول والهاكتيفيست وطالبو الشهرة. وتعرض خلاصة إحدى الجهات المتخصصة 146 منشورًا يستهدف تركيا في عامل التصفية الخاص بالدولة، عبر المنتديات وتيليغرام، والتقطنا الإدراجات الـ 32 التي تعرضها بتفاصيلها من 23 أغسطس إلى 11 أكتوبر. وتكفي هذه العينة لإظهار طبيعة النشاط، لكنها لا تكفي لقياس حجمه. لا نذكر أسماء الضحايا هنا، لأن الادعاءات غير مؤكدة وقد تؤدي تسمية الجهة المستهدفة إلى تضخيم ادعاء غير مثبت.

كيف تبدو السوق

• أسماء متفرقة. تستحوذ الأسماء الخمسة الأنشط في الخلاصة على 25 منشورًا (17%)، بواقع سبعة وخمسة وخمسة وأربعة وأربعة لكل منها. وخلافًا للسوق الفرنسية حيث يصنع اسم واحد 9%، لا يهيمن بائع واحد.
• وصول إلى جهات حكومية وخدمات عامة. تتضمن العيّنة إدراجًا يبيع واجهة ويب خلفية على نظام حكومي، ومجموعة بيانات يُقال إنها من سفارة أجنبية في تركيا، ومركز قيادة للمرور البحري، ونطاق مجلس أبحاث، وبوابة خدمة عامة. وبيع الوصول يختلف عن بيع البيانات: فيمكن استخدامه مرة أخرى.
• بيانات هوية ومستهلكين بكميات كبيرة. يذكر كثير من العناوين عدد السجلات، مثل 11 مليون صف تأمين ومجموعة بيانات من مليون صف عن سلامة المدارس وإدراج بخمسة ملايين سجل، إضافة إلى 312 جواز سفر و215 لوحة مركبة. وتعرض إدراجات أخرى قوائم عملاء مصارف وسجلات مراكز اتصال ومواقع مراهنات وقمار ومجموعة بيانات اتصالات وقوائم رعاية صحية. وبعضها إدراجات لبيانات قديمة أو مجمَّعة.
• ناشرون متكررون. نشرت بعض الأسماء عدة إدراجات في أيام قليلة، ثلاثة لكل من اسمين في 16 سبتمبر وبين 11 و12 سبتمبر، ما يوحي ببيع كتالوج لا باختراق واحد.

وكما في غيرها، قد تأتي البيانات التي ينشرها المهاجمون من تسريبات أقدم أو من عدة مصادر، وعلى الضحايا تأهيلها قبل اتخاذ إجراء. فبالنسبة لجهة عامة أو متجر تجزئة أو شركة تأمين، يعني ذلك فحص تطابق العينة مع السجلات الحالية، وعمر الحقول، وهل يعيد صاحب المنشور بيع ما هو عام أصلًا.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. ولا يمكننا ربط أي إعلان بأي ادعاء ولا نفعل.

8. تحديث خارج نطاق التقرير: أكتوبر 2026

بين 4 و6 أكتوبر يعرض المتتبع ثلاثة ادعاءات أخرى مرتبطة بتركيا على مواقع التسريب (الحالة 6)، وتُظهر خلاصة المنتديات إدراجات جديدة في 6 و7 و11 أكتوبر، منها شركة تركية لاستخبارات التهديدات نُشرت في 11 أكتوبر. وفي 9 أكتوبر أفادت الصحافة باعتقال Qilin الموصوف في الحالة 1. ولا يدخل أي من ذلك في الـ 79.

9. أساليب الوصول الأولي

تُظهر مواقع التسريب الضحايا لا الاختراقات، لذا يعتمد هذا القسم على تقارير الجهات المتخصصة العامة وعلى صياغة الإدراجات. الصورة المتسقة:

• وصول عن بُعد مكشوف وحسابات صحيحة. تشير تقارير متخصصة إلى أن الشركاء التابعين لمجموعتي Qilin وThe Gentlemen قد يستغلون حسابات VPN وأجهزة حافة الشبكة المكشوفة وأدوات إدارة تندمج في الأنشطة التشغيلية المعتادة.
• شراء الوصول وبيانات اعتماد مسروقة. يعرض بائعو المنتديات السجلات والوصول بأسعار زهيدة، والإدراج الذي يصف طريق دخوله يقول إن الوصول جاء من وسيط. ويذكر تقرير جهة متخصصة عن تركيا أكثر من 5,000 مستخدم مخترق و82 نطاقًا مكشوفًا من بيانات برمجيات سرقة المعلومات، بحسب نافذتها ومنهجية عدّها.
• أنظمة مشتركة بين المجموعات والمزوّدين. تحتفظ المجموعات القابضة ومزوّدو الخدمات الذين يديرون أدوات التعاون والمشاريع بملفات شركات كثيرة، وهذه فرضية تستحق التحقق من بين فرضيات عدة.
• سرقة البيانات دون تشفير الأنظمة. عدة إدراجات تركية ادعاءات سرقة بيانات دون ما يدل على قفل الشبكة، وتبيع سوق المنتديات البيانات والوصول مباشرة.

10. الإطار التنظيمي

يهم نظامان. يُلزم قانون حماية البيانات الشخصية رقم 6698 (KVKK) المتحكم بإخطار مجلس حماية البيانات الشخصية بالخرق في أقرب وقت ممكن، ويفسّر قرار المجلس الصادر في 24 يناير 2019 (رقم 2019/10) ذلك بأنه خلال 72 ساعة على الأكثر من العلم بالخرق، مع إبلاغ المتضررين بمجرد تحديدهم. وفي قرار منفصل صدر في 25 ديسمبر 2025 (رقم 2025/2451)، حدّد المجلس مدة بقاء إشعارات الخرق منشورة على موقعه بـ60 يومًا كحد أقصى، وفق الشروط التي قررها. أما قانون الأمن السيبراني رقم 7545 فهو نافذ منذ 19 مارس 2025. وهو ينطبق على الأشخاص الطبيعيين والاعتباريين والكيانات غير المسجلة التي توجد أو تعمل أو تقدم خدمات في الفضاء السيبراني، لا على البنية التحتية الحيوية وحدها، ويوجب عليها إبلاغ رئاسة الأمن السيبراني (Siber Güvenlik Başkanlığı) بالثغرات والحوادث السيبرانية المكتشفة دون تأخير. ولا يحدد القانون عددًا من الساعات، وتفيد شركة محاماة تركية بأن اللوائح التنفيذية لم تكن قد صدرت حتى يوليو 2026. ويخضع التقصير في الإبلاغ لغرامة إدارية من مليون إلى 10 ملايين ليرة تركية، بحسب أرقام 2025 الاسمية التي تُعدَّل سنويًا. ولم نراجع لوائح الجهات التنظيمية القطاعية، مثل سلطات المصارف والطاقة، وقد تضيف واجبات خاصة بها. استشر مستشارًا قانونيًا في أي حالة بعينها. لسنا قانونيين.

11. التوقعات للربع الرابع 2026 والأول 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات أعلاه.

1. يستمر التدفق بمعدل 25 إلى 40 ادعاءً في الربع. سجّل الربع حتى الآن 21 و25 و33، أو 25 دون دفعة CRPxO، وجاءت ثلاثة ادعاءات في الأسبوع الأول من أكتوبر. وهذا سيناريو نوعي لا توقع إحصائي. ويفترض ثبات تغطية الرصد وقواعد الإسناد إلى حد كبير، وأي تغير في أحدهما أو إدراج جماعي آخر سيغيّره.
2. تبقى Qilin في الصدارة وخلفها ذيل طويل. فحصتها ثابتة عبر العام، والشركاء التابعون لا الشخص الموقوف هم من يختارون الأهداف، فمن غير المرجح أن يغيّر التسليم إلى ألمانيا ذلك بمفرده.
3. تواصل Deadlock وDoommageddon النشر. أدرجت Deadlock شركات تركية في كل شهر من مايو إلى أغسطس، وأدرجت Doommageddon في مارس ومايو وأغسطس ثم مجددًا في أكتوبر، فتوقّع المزيد من الأسماء الصناعية واللوجستية التركية منهما إلى جانب أسواقهما الأخرى.
4. مزيد من الإدراجات الجماعية للأسماء الشهيرة. فنشرها رخيص وإثباتها ضعيف، فيحتاج كل منها إلى تأهيل قبل الرد، وكلما اشتهر الاسم زاد الانتباه الذي يجذبه بصرف النظر عن الوقائع.
5. تتضح واجبات الإبلاغ بموجب قانون الأمن السيبراني. القانون نافذ، لكن القواعد التنفيذية التي تحدد المهل والصيغ لم تصدر حتى يوليو، فتوقع أن تخطط المؤسسات لتقرير قصير وإلزامي إلى الرئاسة بجانب إخطار KVKK خلال 72 ساعة.

12. ما يجب فعله هذا الربع

1. ابدأ بحافة شبكتك. احصر كل VPN وجدار حماية وبوابة وصول عن بُعد مواجهة للإنترنت. ضع هدفًا داخليًا مقترحًا لا يتجاوز 48 ساعة لتحديث الثغرات التي يجري استغلالها فعليًا، واعتمد ضوابط تعويضية حيث يتعذر التحديث الفوري، وحدّد الأولوية بحسب تأكيد الاستغلال ودرجة التعرض وأهمية الأصل وإرشادات المورّد.
2. احمِ المصنع. بالنسبة لشركات التصنيع ومشغّلي اللوجستيات، افصل شبكات المصنع والمستودع عن تقنية المعلومات المكتبية، واحتفظ بنسخ احتياطية غير متصلة لأنظمة الإنتاج، واختبر استعادة خط إنتاج منها. فالادعاء ضد مصنع هو ادعاء ضد الإنتاج.
3. تحقّق من عرض بيانات اعتمادك للبيع. ابحث في سجلات برمجيات سرقة المعلومات وقوائم الدمج وإعلانات الوسطاء عن حسابات الموظفين والموردين، وغيّر كلمات مرور الحسابات التي ظهرت بيانات اعتمادها، وألغِ الجلسات النشطة، وتحقق من إعادة استخدام كلمات المرور.
4. حدّد ما تشترك فيه مجموعتك ومزوّدوك. اذكر الأنظمة التي تربط شركاتك التابعة، والمزوّدين من أطراف ثالثة الذين يديرون أدوات التعاون والمشاريع والتذاكر، ثم راجع وصولهم والمصادقة متعددة العوامل والسجلات.
5. دوّن مهل الإبلاغ. اعرف من يُخطر مجلس KVKK خلال 72 ساعة، ومن يُبلغ رئاسة الأمن السيبراني دون تأخير، ومن يطلع مجلس الإدارة، ومن يقرر التفاوض. وثّق هذه الإجراءات واختبرها.
6. أهّل البيانات المدّعاة قبل أن تتفاعل. إن ظهر اسمك مع عدد سجلات، فتحقق من مصدر البيانات المحتمل وعمرها ومطابقتها لسجلاتك، ثم قرر الإخطار مع مسؤول حماية البيانات لديك.
7. راقب ظهور اسم مؤسستك. قد تنشر مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بياناتك قبل أن تعلم بالاختراق. وقد يمنحك الاكتشاف المبكر في هذه المصادر بضعة أيام.

المصادر

• Ransomware.live, Türkiye country statistics and victim records
• RansomLook, group and post records
• SOCRadar, Türkiye Threat Landscape Report 2026
• Köksal Law, Cybersecurity Law No. 7545
• CMS, KVKK limits publication period for data breach notices to 60 days
• The Record, Japan confirms arrest of Russian Qilin operative, extradition to Germany
• Check Point Research, The State of Ransomware Q1 2026
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs

تُعرض المصادر بلغاتها الأصلية. وخلاصة المنتديات التي أخذنا منها العيّنة خدمة تجارية ولا نضع لها رابطًا.