برمجيات الفدية وادعاءات سرقة البيانات في الإمارات خلال الأرباع الثلاثة الأولى من عام 2026

الخلاصة

خمس نتائج تهمّ مجالس الإدارة ومسؤولي أمن المعلومات في الإمارات.

1. تسجل الإمارات أكبر عدد من ادعاءات الابتزاز المنشورة بين أسواق الخليج في بياناتنا، ولا يُظهر عدد الادعاءات تراجعًا مستمرًا. توزعت الادعاءات على الأرباع الثلاثة بواقع 16 و12 و17 ادعاءً، على التوالي. وجاء ارتفاع الربع الثالث مدفوعًا بظهور مجموعة جديدة (Krybit، خمسة ادعاءات منذ يونيو)، وباستمرار DragonForce وINC في استهداف الشركات المتوسطة على دفعات منتظمة.
2. تمثل أربع مجموعات أكثر من نصف الادعاءات. لدى The Gentlemen وDragonForce سبعة ادعاءات لكل منهما، ولدى INC وKrybit خمسة لكل منهما: 24 من 45 (53%). أما المجموعات السبع عشرة الأخرى، فقد ظهرت ثلاث عشرة منها مرة واحدة.
3. الأهداف هي اقتصاد البناء والتجارة. تمثل الشركات الصناعية والإنشائية (10 ادعاءات) والمجموعات العائلية المتنوعة (8 ادعاءات) نحو 40% من الادعاءات، يليها التقنية (7) والضيافة والتجزئة (4) والمالية (3). ولا يظهر أي بنك على موقع تسريب.
4. تبرز مجموعة من الادعاءات المرتبطة بقطاع الطيران. جهة طيران حكومية في يناير، ومزوّد تموين جوي ومجموعة تجزئة قابضة في أغسطس، وFlydubai في 6 أكتوبر. وأفاد مجلس الأمن السيبراني لدولة الإمارات أيضًا بأنه جرى احتواء هجمات على الطيران والطاقة والتعليم في أغسطس.
5. يسير مسار موازٍ مرتبط بتداعيات الحرب إلى جانب المسار الإجرامي. يقول رئيس المجلس إن الحرس الثوري يقف خلف كثير من الهجمات، وذكر 640,000 محاولة في يوم واحد في سبتمبر. ويظهر هذا المسار في ادعاءات هاكتيفيست ومنشورات تيليغرام لا في مطالبات الفدية. يغطيه القسم السابع.

نقيّم مستوى الخطر على الشركات المتوسطة والمقاولين والمجموعات العائلية في الإمارات بأنه مرتفع ومستقر. وعلى الطيران والطاقة والحكومة بأنه مرتفع، بفعل المجرمين ومسار الحرب معًا.

1. النطاق، وما تحتمله الأرقام

يغطي هذا التقرير الادعاءات التي تستهدف منشآت إماراتية والمنشورة بين 1 يناير و30 سبتمبر 2026. وتشمل الادعاءات الخمسة والأربعون ادعاءين من جهات تهديد مرتبطة بالحرب ليسا ابتزازًا ماليًا: شركة الشارقة الوطنية للنفط (هندالة، Handala) والهيئة الاتحادية للجمارك (Nasir Security). نُبقيهما ضمن الأعداد ونتناولهما بمعزل عن البقية في حلّل. أما الادعاءات المؤرخة في أكتوبر (Flydubai ورابطة الإمارات للمحترفين وPMG وSeven Seas) فنذكرها بصورة منفصلة بوصفها تطورات لاحقة، ولا تدخل في إجمالي الادعاءات الخمسة والأربعين ولا في الأرقام الفصلية. ومن الادعاءات الخمسة والأربعين، 43 ادعاءً ابتزاز بدافع مالي وادعاءان تدميري أو ذو دافع سياسي. الأعداد هي ادعاءات مرصودة على مواقع التسريب، أي ادعاءات منشورة علنًا تسمّي منشأة، جُمعت حتى 10 أكتوبر 2026. وتُحتسب الشركة المدرجة أكثر من مرة عن الحادثة نفسها مرة واحدة. ونُسند المنشأة إلى دولة بحسب مقرها الرئيسي أو عملياتها الأساسية، استنادًا إلى نطاقها وملفها العام، ونستبعد الإدخالات التي تقع عملياتها الأساسية في مكان آخر. وتختلف الرؤية من دولة إلى أخرى، فالأعداد ليست إجماليات كاملة للحوادث ولا مقياسًا متكافئًا للخطر الوطني.

تجدر مراعاة ثلاثة تحفظات عند قراءة النتائج التالية.

• مواقع التسريب، وهي المواقع التي تنشر المجموعات عليها البيانات المسروقة، لا تُظهر إلا الضحايا الذين لم يدفعوا أو لم يفاوضوا سرًا. قد يكون العدد الفعلي للحوادث أكبر. ويذكر تقرير مطالبة تفوق 5 ملايين دولار ضد شركة خاصة إماراتية لم تُسمَّ في سبتمبر، ولا تظهر في أي موقع تسريب نتتبعه.
• ادعاء المجموعة ليس دليلًا على الاختراق. لم نتحقق من صحة أي مجموعة من البيانات المنشورة.
• إسناد الضحية إلى دولة بعينها ليس دقيقًا تمامًا، والإمارات مركز إقليمي: كثير من الشركات تعمل في عدة دول خليجية. قد تفوتنا بعض الضحايا الإماراتيين، وقد تُصنَّف بعض الشركات الإقليمية ضمن الإمارات استنادًا إلى مقرها الرئيسي فيها. لذا ينبغي التعامل مع أرقامنا بوصفها أعدادًا للحالات التي رصدناها، لا تقديرًا شاملًا لجميع الحوادث.

مصطلحات. RaaS (برمجيات الفدية كخدمة): نموذج يتيح لمطوري برمجيات الفدية توفير أدواتهم وبنيتهم التحتية لشركاء تابعين ينفذون الهجمات مقابل تقاسم العائد. EDR (أنظمة الكشف والاستجابة عند نقطة النهاية): تقنيات أمنية ترصد الأنشطة على الأجهزة والخوادم، وتساعد على اكتشاف التهديدات والاستجابة لها. برمجيات سرقة المعلومات (Infostealers): برمجيات خبيثة تسحب بيانات الاعتماد والجلسات المحفوظة من الأجهزة المصابة. العلامة التجارية البيضاء (White-label): نموذج ينفذ فيه الشركاء التابعون الهجمات باسمهم الخاص باستخدام المنصة.

2. الخط الزمني: أكبر سوقين خليجيين يتحركان بشكل مختلف

شهد الربع الأول ارتفاعًا في النشاط لسببين. نشرت The Gentlemen أربعة ادعاءات في 24 يومًا، وبدأت الحرب. إذ شنت إيران ضربات استهدفت دول الخليج منذ 28 فبراير، وتفيد التقارير بأن ضربات المسيّرات ألحقت أضرارًا بثلاثة مراكز بيانات لـ AWS في الإمارات في أوائل مارس وتسببت في انقطاعات. ثم انخفض عدد الادعاءات في الربع الثاني إلى 12، قبل أن يرتفع في الربع الثالث إلى 17 مع ظهور Krybit واستمرار نشاط DragonForce وINC بوتيرتهما المعتادة. وسُجّلت أربعة ادعاءات خلال الأيام التسعة الأولى من الربع الرابع (Seven Seas وFlydubai ورابطة الإمارات للمحترفين وPMG).

المسار الأول مرتبط بالحرب. قال رئيس مجلس الأمن السيبراني لدولة الإمارات إن الحرس الثوري «أحد اللاعبين الرئيسيين» خلف الهجمات على الدولة، وإن محاولات الاختراق اليومية ارتفعت من 90,000 إلى 200,000 قبل الصراع إلى ما بين 600,000 و800,000 بعده، مع 640,000 في يوم واحد في سبتمبر. وهذه محاولات اختراق بحسب وصف المسؤول لا اختراقات مؤكدة، ولا تفصّل الأرقام بحسب الجهة الفاعلة. ووصف هجمات متقدمة ومنظمة على الطيران والطاقة والتعليم في أغسطس، بعد هجمات على مؤسسات مالية في يوليو، وقال إن الذكاء الاصطناعي سرّع الهجمات. وقدّرت Positive Technologies حصة الإمارات بـ 35% من هجمات الفضاء السيبراني في الخليج في النصف الأول 2026، مقابل 15% للسعودية. معظم هذا النشاط آلي ولا يتحول إلى منشور في موقع تسريب. أما الجزء الذي ينعكس في ادعاءات منشورة فيظهر في ادعاءات صادرة عن جهات تهديد مرتبطة بالحرب في مارس (القسم الخامس، الحالة 2).

المسار الثاني إجرامي. لا يبدو أن هذا المسار مرتبط مباشرةً بالحرب؛ فهو يستغل خدمات VPN وجدران حماية مكشوفة للإنترنت وبيانات اعتماد ضعيفة، كما يفعل في مناطق أخرى. رصدت CloudSEK ارتفاع نشاط برمجيات الفدية في الشرق الأوسط من 17 حادثة في أبريل 2025 إلى 357 في يونيو 2026. وتشير إفادة Rescana الصادرة في مايو إلى أن المهاجمين يستغلون الثغرات خلال 48 ساعة من الإفصاح عنها، وأن معظم الاختراقات في الإمارات تبدأ بالتصيد أو رسائل احتيالية.

الإمارات والمملكة جنبًا إلى جنب

سبع مجموعات تظهر في البلدين: The Gentlemen وDragonForce وINC Ransom وAPT73 وKrybit وTengu وهندالة. الإمارات أكثر تشتتًا بين المجموعات الأكبر وأكثر تنوعًا بحسب القطاع. أما المملكة فأكثر تركزًا في مجموعة واحدة وسلسلة قيمة واحدة، وهي تتسارع بينما تبقى الإمارات ثابتة. وتختلف الرؤية من دولة إلى أخرى، فالفارق في الادعاءات المرصودة لا يعني فارقًا مماثلًا في الحوادث الفعلية. ويغطي تقريرنا المرافق عن المملكة الجانب السعودي بالكامل.

3. المجموعات في لمحة

Qilin غائبة هنا أيضًا. المجموعة الأكثر غزارة في العالم بحسب أرقام الربع الأول لم تُسجّل لها أي ادعاءات في بياناتنا المتعلقة بالإمارات لعام 2026، كما في المملكة. نقرأ ذلك على أنه فجوة في الرؤية لا دليل أمان، ونعود إليه في التوقعات.

للإمارات جهات متكررة أكثر من المملكة. تنشط أربع مجموعات بصورة متكررة (The Gentlemen وDragonForce وINC وKrybit)، وأربع أخرى نشرت مرتين، وثلاث عشرة ظهرت مرة واحدة. والدرس الدفاعي هنا مماثل لما خلصنا إليه في تقرير المملكة: كثرة المجموعات الصغيرة تجعل تتبّع أسماء المجموعات وحدها غير كافٍ.

4. من هو المستهدف

تصنيفنا للادعاءات الخمسة والأربعين. يُحتسب كل ادعاء مرة واحدة، ونجمع شركات الصناعة والإنشاءات في فئة تحليلية واحدة. وحيث تمتد المجموعة على عدة قطاعات نصنّفها بحسب نشاطها الرئيسي، وتشكل المجموعات العائلية المتنوعة فئة مستقلة.

• قطاعا الصناعة والإنشاءات: 10 ادعاءات. Al Arif Contracting وAl Shafar GRC وAl Ishrak Contracting وMidal Cables وHarwal وMCT وWozair وAboura Metals وIntherpro وGeebee Garments.
• المجموعات العائلية والمجموعات القابضة متعددة الأنشطة: 8. Al-Futtaim وLals وAASA وAl Khaja وAl Dhow وAIMS وARENCO وMohammad Omar Bin Haider.
• التقنية: 7. GBM وSibca وsecure.ae وShipox وPropertyfinder وProgress Security Systems وGIT Dubai.
• الضيافة والتجزئة: 4. فندقان وتاجر ديكور منزلي وعلامة أزياء.
• النقل والطيران: 3. Emirates National Group وAutostrad وEmirates Flight Catering.
• الخدمات المهنية: 3. شركة تدريب وشركة محاماة وشركة متخصصة في الطباعة وأتمتة المكاتب.
• المالية: 3. شركة تحصيل ديون ومجموعة تأمين وإعادة تأمين وشركة وساطة فوركس.
• الجهات الحكومية والطاقة والمرافق: 5. وزارة اتحادية وجهة طيران حكومية في دبي والهيئة الاتحادية للجمارك (ادعاء جهة تهديد مرتبطة بالحرب) وهيئة مرافق الشارقة وشركة الشارقة الوطنية للنفط (ادعاء جهة تهديد مرتبطة بالحرب).
• التعليم وغيره: 2. Abu Dhabi Indian School وDolrad.

تبرز ثلاثة أنماط. البناؤون والمصنّعون في الصدارة: 22% من الادعاءات في شركات صناعية وإنشائية، وهي تدير تقنية معلومات رشيقة وتعتمد على شبكات مقاولين من الباطن وتحتفظ ببيانات مشاريع لعملاء كبار. المجموعات العائلية فئة مستهدفة ثانية كما في المملكة: ثماني مجموعات متنوعة، منها مجموعة تجزئة وسيارات لها عمليات في أنحاء المنطقة. وتظهر ادعاءات استهداف القطاع العام بوتيرة محدودة: ثلاث جهات حكومية على مواقع التسريب، مقابل ثماني جهات في المنتديات.

لا يقتصر خطر برمجيات الفدية في الإمارات على الشركات الكبرى المعروفة، بل يمتد إلى المقاول والمورّد والمجموعة العائلية المجاورة.

5. ملفات الحالات

توضح الأرقام حجم المشكلة، وتوضح الحالات الفردية كيف تعمل هذه الجهات. تبيّن كل حالة أدناه ما جرى ادعاؤه، وما يوحي به التوقيت والبنية، ومدى ثقتنا به.

الحالة 1. منظومة الطيران (Nova وEverest، من الربع الأول إلى الرابع)

الادعاءات. Dubai Air Wing، جهة حكومية تُعنى بالطيران المخصص لكبار الشخصيات (Nova، 13 يناير، مع وعد بنشر بيانات الموظفين والبيانات المالية لاحقًا). وEmirates Flight Catering ومجموعة Al-Futtaim (Everest، كلتاهما 5 أغسطس). وFlydubai (Everest، 6 أكتوبر): 4.36 جيجابايت في 16,517 ملفًا، تقول المجموعة إنها تشمل وثائق العمليات الجوية وتدريب الطواقم وسجلات الموظفين وشفرة مصدرية خاصة بـ Boeing. وفي الربع الرابع سمّى ادعاء منفصل أيضًا Seven Seas، مجموعة خدمات بحرية.
القراءة. الأهداف تقع في سلسلة: جهة طيران حكومية، ومورّد خدمات أرضية، ومجموعة قابضة تعمل في قطاعي التجزئة والسيارات، وناقل جوي. ويتناسب نموذج عمل Everest مع هذه السلسلة: تشتري إمكانية الوصول إلى الشبكات أو تستعين بأطراف توفر هذا الوصول، وتسرق البيانات مبكرًا، وقد تتجاوز التشفير بالكامل، فقد تفقد شركة طيران بياناتها دون أي انقطاع. كما يعرض ادعاء Flydubai خطرًا يمتد عبر شفرة مصدرية تابعة لطرف ثالث: وإذا صحّ ادعاء تسريب الشفرة المصدرية الخاصة بمصنّع الطائرات، فقد يشكّل ذلك خطرًا على سلسلة التوريد، لا على الناقل الجوي وحده. ويتسق بيان مجلس الأمن السيبراني في أغسطس بشأن احتواء هجمات استهدفت قطاع الطيران مع ضرورة تعزيز الاهتمام بهذا القطاع، لكنه لا يربط أي ادعاء إجرامي بجهة دولة.
الثقة. متوسطة. الادعاءات ومحتوياتها من الجهة المهاجمة، ولم تؤكدها أي ضحية.

الحالة 2. مسار الحرب في مارس (Handala وNasir Security)

الادعاءات. 2 مارس: تدّعي هندالة اختراق شركة الشارقة الوطنية للنفط، بـ 1.3 تيرابايت من البيانات المالية وعقود النفط وتفاصيل المشاريع. 3 مارس: تدّعي اختراق أرامكو في المملكة. 23 مارس: تنشر Nasir Security منشورين تمهيديين يَعِدان بـ «أضخم عملية اختراق في تاريخ الإمارات». 26 مارس: تدّعي الوصول إلى الهيئة الاتحادية للجمارك بخطاب ديني وسياسي ذي طابع مقاوم، دون تقديم أدلة.
القراءة. تصل هذه الادعاءات في الأسابيع الأربعة الأولى من الحرب، وقد صيغت هذه الادعاءات في صورة رسائل سياسية، لا مطالب ابتزاز مالي. لا يذكر أي منها سعرًا أو مهلة. وفي الفترة نفسها تفيد التقارير بأن مسيّرات إيرانية ألحقت أضرارًا بثلاثة مراكز بيانات لـ AWS في الإمارات، ما يبرز تزامن التهديدات المادية والسيبرانية، دون أن يثبت التزامن وجود تنسيق بينهما. تربط التقارير العامة هندالة باستخبارات إيران وتصف برمجيات المسح لديها، لذا يستدعي ادعاؤها الاستعداد للتعافي حتى لو بدت أحجامه مضخّمة. أما Nasir Security إذ لا تتوفر عنها معلومات عامة كافية أو بيانات تقنية أو عينة يمكن تحليلها، لذا نصنّفها نشاط تأثير.
الثقة. متوسطة في إسناد هندالة، ومنخفضة في الأثر المدّعى لدى المجموعتين.

الحالة 3. The Gentlemen: دفعة في الربع الأول ثم وتيرة أبطأ

الادعاءات. Sibca (21 يناير)، وMarina Home Interiors (6 فبراير)، وEmirates National Group (12 فبراير)، وAutostrad (13 فبراير)، ثم انقطاع دام 127 يومًا حتى الادعاء المتعلق بـ Al Khaja Holding (20 يونيو)، وAl Dhow Group (1 يوليو)، وAIMS Group (9 أغسطس).
القراءة. أربعة ادعاءات في 24 يومًا مقابل ثلاثة في الأشهر الستة التالية يمكن تفسيرها بأن الشركاء التابعين يعالجون دفعة من عمليات الوصول التي اشتروها، ثم ينتقلون إلى أهداف أخرى. والأهداف تشمل مجموعات عائلية وشركات لوجستيات ومتكاملي تقنية معلومات. وفي المملكة فعلت المجموعة العكس: ادعاء واحد في كل من الربعين الأول والثاني، ثم أربعة في الثالث. وقد يعكس النمطان تغيّرًا في توزيع نشاط الشركاء التابعين بين السوقين، دون أن تغادر المجموعة الإمارات (ادعاء AIMS عمره شهران فقط).
الثقة. مرتفعة في الإيقاع. متوسطة في قراءة الانتقال.

الحالة 4. DragonForce تعمل على دفعات (يونيو ويوليو)

الادعاءات. 12 يونيو: Al Shafar GRC (مصنّع خرسانة مسلحة بالألياف الزجاجية)، وCorniche Hotel Abu Dhabi، وAl Ishrak Contracting. 14 يوليو: Midal Cables وGraphic International Centre، شركة متخصصة في الطباعة وأتمتة المكاتب، وتعمل منذ عام 1982.
القراءة. وصلت وردت خمسة من ادعاءات DragonForce السبعة في الإمارات ضمن دفعتين، نُشرت كل منهما في يوم واحد. ولا قطاع مشتركًا بين الضحايا، وقد يشير هذا النمط إلى نشاط شركاء تابعين يستخدمون منصة بعلامة تجارية بيضاء: مشغّل واحد يمرّ على قائمة شركات متوسطة يمكنه الوصول إليها ثم ينشر دفعة واحدة. ونمط اليوم الواحد تلميح كشف بحد ذاته. فإذا سُمّيت شركة إماراتية تتعامل معها، فتحقق من أن مورّد تقنية المعلومات أو مزوّد الإنترنت أو مزوّد الخدمات المُدارة لديها يخدم الشركات الأخرى أيضًا.
الثقة. مرتفعة في الدفعات. منخفضة في أي ناقل مشترك.

الحالة 5. سجل Krybit في الخليج (من يونيو إلى سبتمبر)

الادعاءات. Progress Security Systems (12 يونيو)، وAASA Group (19 يونيو)، وGIT Dubai (1 يوليو)، وIntherpro (12 سبتمبر)، وKashkha (13 سبتمبر)، إضافة إلى Efada في المملكة (24 سبتمبر). ستة ادعاءات خليجية من علامة ظهرت في مارس.
القراءة. ضحيتان من خمس ضحايا الإمارات تعملان في مجال تقنيات الأمن أو التصوير (Progress Security Systems، وهي متكامل أنظمة في أبوظبي، وGIT Dubai)، وهي فئة هدف مجزية لأن عملاءها يثقون بها. وتصل الادعاءات في جولات قصيرة: اثنان في يونيو بينهما أسبوع، وواحد في 1 يوليو، ثم ادعاءان في يومين متتاليين من سبتمبر، بعد انقطاع دام عشرة أسابيع. وهذا يتسق مع شريك تابع يصرّف وصولًا في نوافذ قصيرة ويهدأ فيما بينها. ومن المرجح أن تغيّر علامة بهذا العمر اسمها، فتتبّع بنيتها وشركائها التابعين لا اسمها فقط.
الثقة. مرتفعة في الأعداد. منخفضة في الأدوات وفي مدة بقاء العلامة.

الحالة 6. 27 أبريل: وزارة ومرفق في اليوم نفسه (APT73)

الادعاءات. وزارة التغير المناخي والبيئة، وهيئة كهرباء ومياه وغاز الشارقة، في اليوم نفسه الذي نشرت فيه المجموعة نفسها ادعاءين مرتبطين بالسعودية.
القراءة. يغطي تقريرنا عن المملكة هذه الدفعة بالكامل. وتتمثل الدلالة الخاصة بالإمارات في طبيعة الأهداف نفسها: وزارة اتحادية وهيئة مرافق على موقع تسريب أمر نادر في بياناتنا، وقد جاءتا مع منشأتين خاصتين لا صلة بينهما. وقد تكون نقطة الاشتراك مورّدًا مشتركًا لخدمات تقنية المعلومات.
الثقة. متوسطة في أنها دفعة واحدة، ومنخفضة في الناقل.

الحالة 7. بيانات عقارية تعود إلى الظهور (Coinbase Cartel)

الادعاءات. Propertyfinder، ادُّعي عليها في نوفمبر 2025 وأُدرجت للمزايدة في 30 مارس 2026 مع نظام إدارة العملاء لديها. وColdwell Banker UAE في ديسمبر 2025، مع الإشارة إلى إيرادات تبلغ 17.3 مليون دولار. ومن الأهداف العقارية الأقدم Asteco (2024).
القراءة. يتكرر القطاع نفسه، ويمكن أن تُعاد إدراجات البيانات نفسها بعد أشهر. تعتمد Coinbase Cartel على سرقة البيانات والتهديد بنشرها، دون تشفير الأنظمة، وسبق أن أُصيبت أجهزة نحو 80% من ضحاياها ببرمجيات سرقة المعلومات. وتحتفظ منصة عقارية بأسماء وأرقام هواتف ونسخ جوازات وهويات إماراتية وتفاصيل دفع للمشترين والمستأجرين، لذلك تكتسب حماية بيانات الاعتماد وإلغاء الجلسات النشطة أهمية خاصة، إلى جانب النسخ الاحتياطية.
الثقة. متوسطة. الصلة ببرمجيات سرقة المعلومات مصدرها تحليل جهات متخصصة للمجموعة عمومًا لا لهذه الضحايا.

الحالة 8. تسريب على مراحل: 700 جيجابايت في خطوتين (Stormous)

الادعاءات. 2 مايو: تنشر Stormous إعلانًا أوليًا يستهدف مجموعة للتأمين وإعادة التأمين، وتدّعي السيطرة على 700 جيجابايت تشمل بيانات تدقيق الامتثال وسجلات مصرفية. 11 مايو: تنشر إدراجًا محدّثًا وأوسع.
القراءة. الإفصاح على مراحل يعيد ضبط الساعة ويطيل التغطية الإعلامية، وبذلك تمارس المجموعة الضغط مرتين على الضحية نفسها. وتحتفظ شركات التأمين وإعادة التأمين بمطالبات وبيانات تدقيق تخص شركات أخرى، وقد يمتد الضرر إلى عملاء لم تُخترق أنظمتهم مباشرةً. ومن المرجح أن تحتاج الجهات الرقابية المالية في الإمارات وشركاء إعادة التأمين إلى إخطار سريع.
الثقة. متوسطة.

6. جهات التهديد النشطة: الحضور والدافع والتكتيكات

تقف وراء 31 ادعاءً من أصل 45 تسع جهات نعرض ملفاتها أدناه، وتتوزع الادعاءات الأربعة عشر الباقية على اثنتي عشرة مجموعة نتناولها في نهاية هذا القسم. تستند المعلومات التقنية العامة عنها إلى تقارير حوادث عالمية لا إلى الحالات الإماراتية. ليس لدينا دليل على مستوى الحادثة من الضحايا الإماراتيين، لذا ينبغي فهم التكتيكات أدناه على أنها أساليب معروفة عن كل جهة عمومًا، لا إثباتًا لما جرى لشركة إماراتية بعينها. تشير معرّفات التقنيات إلى MITRE ATT&CK.

ملخص: الدافع والحضور

القواسم المشتركة بين الجهات

تختلف أسماء المجموعات، لكن أساليب عملها تتشابه. تعرض المصفوفة التقنيات الموثقة لدى كل مجموعة رئيسية. والتقنية التي تتشاركها مجموعات كثيرة هدفًا أفضل للكشف من مؤشرات أي مجموعة بمفردها.

العلامات تعكس التقارير العامة عن كل مجموعة عالميًا، لا أدلة حوادث إماراتية.

ملفات مجموعات التهديد

المجموعات الصغيرة الأخرى، وسابقة أقدم

• APT73. ادعاءان في 27 أبريل، تناولتهما الحالة 6 وتقريرنا عن المملكة.
• BlackNevas. ادعاءان إماراتيان في أكتوبر 2025 (Choithrams، سلسلة بقالة، وTrojan Construction، مجموعة في أبوظبي من ثماني شركات تابعة) تضمّن الادعاءان عرضًا للوصول إلى الشبكة ومعلومات عن موظف في تقنية المعلومات يتعرض للضغط للتعاون. وهي غائبة عن بياناتنا الإماراتية لعام 2026، لكنها عادت إلى الخليج بادعاءات مرتبطة بالسعودية وبسلطنة عُمان.
• Medusalocker. ادعاءان (Dolrad في 1 يوليو، وAboura Metals في 12 سبتمبر)، وكلاهما يتضمن بيانات حصاد بريد إلكتروني في الإدراج. التقارير العامة شحيحة.
• Stormous. إفصاح على مراحل عن ضحية في التأمين وإعادة التأمين: إعلان أولي بحجم 700 جيجابايت في 2 مايو، ثم تحديث كامل في 11 مايو. التدرج يرفع الضغط ويطيل التغطية الإعلامية.
• Nova. ادّعت Dubai Air Wing، وهي جهة طيران حكومية، في 13 يناير. تعدّ CloudSEK مجموعة Nova موجّهة للخليج عبر نافذة مراجعتها البالغة 17 شهرًا، وقد ادّعت ضحايا مرتبطين بالسعودية في 2025.
• Nasir Security. جهة تهديد مرتبطة بالحرب. في 23 مارس نشرت منشورين تمهيديين يَعِدان بـ «أضخم عملية اختراق في تاريخ الإمارات»، ثم ادّعت في 26 مارس الوصول إلى الهيئة الاتحادية للجمارك بخطاب ديني ومقاوم. لم تقدّم حجم بيانات ولا دليلًا. نتعامل معها كنشاط تأثير إلى أن يظهر دليل.
• Meowciety403. ادعاء واحد: شركة وساطة وفوركس في دبي، نُشر في 2 سبتمبر. يذكر الإدراج 216 ملف PDF تغطي الموارد البشرية والشؤون القانونية وتقارير الإجراءات المؤسسية اليومية، إضافة إلى مفاتيح API. ينبغي أن تكون معالجة مفاتيح API المسرّبة أولوية فورية.
• Akira. ادعاء واحد في 28 سبتمبر ضد مصنّع ملابس له منشآت في الإمارات وبنغلاديش، مع إعلان نشر 100 جيجابايت لاحقًا تشمل جوازات سفر وبيانات مالية. Akira علامة عالمية كبرى، فادعاء خليجي واحد لا يشكل اتجاهًا.
• Br0K3R (historical). وسيط وصول مرتبط بإيران نشط منذ نحو 2017، يبيع صلاحيات الوصول إلى النطاق لعصابات برمجيات الفدية ويأخذ حصة من المدفوعات. تضم قائمة ضحاياه منشآت إماراتية. هو أوضح سابقة لوصول مرتبط بدولة يغذي برمجيات فدية إجرامية.
• Lynx, CipherForce, Lamashtu, Payload. ادعاء واحد لكل منها: شركة تقنية، ومنصة لوجستيات، وفندق في الفجيرة، ومجموعة قابضة في دبي. شركات متوسطة الحجم متفاوتة في مستوى نضجها الأمني ودون نمط خليجي مميز.

قبل 2026: سجل الإمارات

الإمارات هدف ثابت لبرمجيات الفدية منذ سنوات. ومن الضحايا الحكوميين والكبرى بين 2022 و2025: بلدية دبي (Daixin، يونيو 2024)، وتفريغ مزعوم لجذر ويب حكومي إماراتي (Pyrx، 2024)، والمستشفى الأمريكي في دبي (Gunra، ادعاء 40 تيرابايت، يوليو 2025)، وLux Actuaries and Consultants (Medusa، 928.5 جيجابايت، أكتوبر 2025)، وفنادق Rixos (Embargo، مارس 2025)، والهلال الأحمر الإماراتي وجمعية المهندسين (Kazu، نوفمبر 2025). وشهد أواخر 2025 أيضًا سلسلة ادعاءات ضد منشآت صغيرة، مثل مشغّلي سياحة ومدرسة خاصة سُعّرت بعملة مونيرو (Bqtlock، من 50 إلى 66 XMR)، وهو ما يُظهر الطرف الأدنى من السوق. أما وسيط الوصول المرتبط بإيران Br0K3R، النشط منذ نحو 2017، فيدرج ضحايا إماراتيين ويبيع صلاحيات النطاق لعصابات إجرامية، وهو أوضح سابقة لوصول مرتبط بدولة يغذي برمجيات الفدية.

7. ما بعد مواقع التسريب: ادعاءات المنتديات وتيليغرام

تنشر عصابات برمجيات الفدية ضحاياها على مواقعها الخاصة. أما بقية الجهات فتنشر في المنتديات الإجرامية وقنوات تيليغرام: بائعو البيانات ووسطاء الوصول والهاكتيفيست وطالبو الشهرة. تضم مجموعة البيانات التي نتتبعها 142 منشورًا موسومًا بالإمارات، تتصدرها الأسماء BIGBROTHER (7) وAnonymous2090 (6) وdravik1 (5) وsexyskin (5). وراجعنا بالتفصيل 33 منشورًا نُشر بين 25 يوليو و10 أكتوبر 2026. هذه عيّنة من أحد عشر أسبوعًا، لذا نتعامل معها بوصفها لقطة للسوق، لا مؤشرًا على اتجاه طويل الأمد. لا نذكر أسماء الضحايا هنا، لأن الادعاءات غير مؤكدة وكثيرًا منها أُعيد نشره، وقد تؤدي تسمية الجهة المستهدفة إلى تضخيم ادعاء غير مثبت.

ما تستهدفه المنشورات الثلاثة والثلاثون

• الحكومة والأمن: 8 (24%). منشوران عن ادعاء واحد ضد وزارة الداخلية (4 تيرابايت)، ووزارة التربية، ووزارة الصناعة، وهيئة الهوية والجنسية، وجهة حكومية، وادعاء «برمجيات معتمدة»، ومنشور عن وحدة عسكرية. الأعلى أهمية والأقل قابلية للتحقق.
• بيانات شخصية جماعية: 6. إدراجات لصور الهويات ورخص القيادة وسجلات المقيمين وبيانات الاتصالات وبيانات ملاك العقارات ومنصة سفر تضم أربعة ملايين سجل ومنصة مؤثرين بـ 63,000.
• منصات المستهلكين والتنقل: 5. أسواق مركبات ومنصة شحن كهربائي ومشغّل عطلات.
• المالية والتأمين: 3. ادعاء بـ 64 جيجابايت من حسابات مصرفية وهويات، وبنك إقليمي مسمّى، وإدراج بيانات تأمين.
• الرعاية الصحية: 2. مستشفى وبوابة مرضى وموقع وظائف صحية.
• وصول شبكي للبيع: 2. إعلان وصول SSL-VPN على جهاز Fortinet، ووصول إلى نظام إدارة محتوى لمنصة مدفوعات.
• الطاقة والقابضة والمهنية والتقنية وغيرها: 7. منها منشور واحد يسمّي شركة النفط الوطنية.

من ينشر، وعلى أي منصة

تظهر طبقتان بوضوح. المنتديات تحمل الطبقة التجارية. يعرض بائعو البيانات ووسطاء الوصول مجموعات من البيانات الشخصية المسحوبة ومنصات مستهلكين وإعلانات وصول، غالبًا بأسماء مستعارة تُستخدم مرة واحدة. ونشر dravik1 وحده خمسة (ادعاء ضد وزارة الداخلية مرتين في يومين، وادعاء حسابات مصرفية، ومجموعة هويات ورخص، وادعاء عن الشارقة). وتيليغرام يحمل طبقة الحرب. ثلاثة منشورات تذكر وزارة صناعة وهيئة هوية وشركة النفط الوطنية، بأسماء مثل Infrastructure Destruction Squad وفريق 404Crew Cyber Team وQital-e-adl. وهذه أسماء مستعارة لجهات تهديد ذات إطار سياسي، تستهدف الحكومة والطاقة لا ضحايا يُختارون لقيمة إعادة بيعهم.

نشرت ستة أسماء في الإمارات وفي عيّنتنا السعودية خلال الأسابيع نفسها: DaOnlySpark وKeishell و4ss3 وhoneydutch وAnonymous2090 وs-root. ويشير ذلك إلى شبكة من البائعين الإقليميين تنشط في كلا السوقين. ومثالان يبيّنان الأهمية. نشر 4ss3 ادعاء وحدة عسكرية في الإمارات في 2 سبتمبر وادعاء الجيش السعودي في 26 أغسطس، بفارق أسبوع. ويتنقل Anonymous2090 بين المستشفيات والمجموعات القابضة والجامعات والعقار في العيّنتين دون نمط واضح يرتبط بقطاع معين. وحين يسمّي اسم واحد جهات حكومية أو عسكرية في البلدين خلال أيام، فالقراءة الأرجح هي السعي إلى لفت الانتباه، ويجب أن يسبق التحقق التصعيد.

لماذا يهم هذا لخطر برمجيات الفدية

قد يكون إعلان بيع الوصول عبر SSL-VPN على جهاز Fortinet مدخلًا إلى سلسلة هجوم ببرمجيات الفدية، إذ يُعد استغلال أجهزة FortiGate مسارًا موثقًا للوصول الأولي لعدة مجموعات في هذا التقرير (NightSpire وDire Wolf وINC). لا يمكننا ربط الإعلان بأي ادعاء ولا نفعل. لكن على المنشآت التي تشغّل Fortinet SSL-VPN أن تعدّ الإعلان سببًا لفحص أجهزتها الآن، لأن الفاصل بين بيع الوصول ومنشور موقع التسريب يتراوح عادةً بين أيام وأسابيع.

مستوى الثقة. الثقة في وجود المنشورات: مرتفعة. الثقة في أن كلًا منها يصف اختراقًا حقيقيًا: منخفضة. الثقة في ارتباط أي منها بحادثة فدية: منخفضة. في ادعاءات الحكومة، تحقق قبل التصعيد: هل البيانات قديمة أو عامة، وهل تطابق سجلاتك، وهل يعرض صاحب المنشور عينات.

8. كيف يدخلون

تُظهر مواقع التسريب الضحايا لا الاختراقات، لذا يعتمد هذا القسم على تقارير إقليمية عامة. الصورة المتسقة:

• يتصدر التصيد والهندسة الاجتماعية أساليب الدخول. تفيد Rescana بأن أكثر من 75% من اختراقات الإمارات تبدأ بالتصيد أو رسائل احتيالية. ويتسق أسلوب مكاتب المساعدة لدى DragonForce مع هذا الملمح.
• تُستغل الثغرات خلال 48 ساعة. تحدد إفادة مايو الثغرات المستغلة في Ivanti وMicrosoft Office وCisco IOS XR ضمن أولوياتها، وتُظهر المنطقة عمومًا أن 38% من الحوادث تبدأ باستغلال ثغرات (Positive Technologies).
• تمثل أجهزة الشبكة الطرفية إحدى نقاط الدخول الرئيسية. تظهر ثغرات Fortinet وCitrix في التكتيكات الموثقة لدى INC وNightSpire وغيرهما، وكان إعلان وصول SSL-VPN معروضًا للبيع في أغسطس.
• بيانات اعتماد وجلسات مستخدمين مسروقة. يقوم نموذج Coinbase Cartel على سجلات برمجيات سرقة المعلومات، وسبقت نحو 80% من ضحاياها إصابات.
• المطّلعون والإكراه. تجنّد Everest مطّلعين من داخل الشركات، وعرضت BlackNevas موظفًا في تقنية المعلومات يُضغط عليه للتعاون.
• يسهم الذكاء الاصطناعي في تسريع الهجمات. يقول رئيس المجلس إن الذكاء الاصطناعي سرّع الهجمات بصورة كبيرة، وتذكر CloudSEK أن مجموعات مرتبطة بإيران تستخدمه في الأدوات ورسائل التصيد.

9. الإطار التنظيمي

القانون الاتحادي لحماية البيانات الشخصية هو المرسوم بقانون اتحادي رقم 45 لسنة 2021، ويشرف عليه مكتب الإمارات للبيانات المنشأ بموجب المرسوم بقانون اتحادي رقم 44 لسنة 2021. ويفرض القانون التزامًا بالإبلاغ عن الاختراقات، لكنه يترك مدة الإبلاغ وإجراءاته للائحة التنفيذية. وتتضارب الروايات المنشورة بشأن صدور هذه اللائحة: يقول بعض المعلّقين إنها لم تصدر حتى منتصف 2026، ويقول آخرون إنها صدرت. ولم نتمكن من التحقق من أي من الروايتين عبر مصدر رسمي، ولم نتحقق من وجود مهلة إخطار نظامية عامة التطبيق في المصادر التي راجعناها، لذلك لا نذكر مهلة. وهذا لا يعني أنه لا توجد مهلة. وتضيف المناطق الحرة أنظمتها الخاصة: يدير كل من مركز دبي المالي العالمي وسوق أبوظبي العالمي قوانين حماية بيانات منفصلة بجهات رقابية خاصة بهما. وتخضع المؤسسات المالية لجهاتها الرقابية القطاعية، ويقوم مجلس الأمن السيبراني لدولة الإمارات بتنسيق الدفاع السيبراني الوطني. ووصفنا لهذه الأنظمة عام ويستند إلى تقارير ثانوية لا إلى مراجعة نصوص التشريعات. وتختلف القواعد بحسب الإمارة والمنطقة الحرة والقطاع، فتأكد من النظام الذي يحكم كل كيان قبل وقوع حادثة. لسنا قانونيين: استشر مستشارًا قانونيًا في أي حالة بعينها.

10. التوقعات للربع الرابع 2026 والأول 2027

هذه توقعات منا لا نتائج، ويستند كل منها إلى البيانات المحدودة أعلاه.

1. يُتوقع أن يظل عدد الادعاءات مرتفعًا. سُجّلت أربعة ادعاءات خلال الأيام التسعة الأولى من أكتوبر 2026. نتوقع من 12 إلى 18 في الربع، بما يتسق مع نطاق 2026.
2. يبقى الطيران والرياضة والترفيه في الواجهة. يشير ظهور اسمَي Flydubai ورابطة الإمارات للمحترفين في الأسبوع الأول إلى أهداف ذات أسماء معروفة تكون فيها القصة نفسها وسيلة ضغط.
3. تواصل Krybit وDragonForce. قد تغيّر Krybit علامتها لكن شركاءها التابعين لن يغادروا. وتواصل DragonForce معالجة الشركات المتوسطة على دفعات.
4. تنمو ادعاءات الأطراف الثالثة وسلسلة التوريد. توقّع استهداف مزيد من الاستشاريين ومتكاملي الأنظمة والمقاولين ومورّدي المنصات، حيث يكشف اختراق واحد عدة عملاء.
5. قد تتحول إعلانات بيع الوصول إلى ادعاءات باختراقات منشورة. توقّع أن تتحول عروض بيع الوصول إلى منشآت إماراتية في المنتديات إلى ادعاءات باستهدافها على مواقع التسريب خلال أسابيع.
6. تبقى Qilin السؤال المفتوح. المجموعة المتصدرة عالميًا لا ادعاء لها في بياناتنا الإماراتية. وإذا اتجه شركاؤها التابعون إلى الخليج، فقد يرتفع عدد الادعاءات سريعًا.
7. مسار الحرب يتبع السياسة. وقف إطلاق النار يخفض خطر التدمير، والتصعيد يرفعه، مع الطاقة والطيران والحكومة في الصف الأول.

11. ما يجب فعله هذا الربع

1. ابدأ بتحديث أجهزة الشبكة الطرفية. احصر كل VPN وجدار حماية وبوابة وصول عن بُعد مواجهة للإنترنت، وابدأ بـ Fortinet SSL-VPN وCitrix. ضع هدفًا داخليًا مقترحًا لا يتجاوز 48 ساعة لتحديثها عند وجود ثغرات يجري استغلالها فعليًا، واعتمد ضوابط تعويضية حيث يتعذر التحديث الفوري، وحدّد الأولوية بحسب تأكيد الاستغلال ودرجة التعرض وأهمية الأصل وإرشادات المورّد.
2. حصّن مكتب المساعدة. اشترط تحققًا قويًا من الهوية قبل أي إعادة تعيين لكلمة مرور أو إعادة تسجيل للمصادقة متعددة العوامل، خاصة للمستخدمين ذوي الصلاحيات. هذه إحدى آليات الدخول التي تستغلها DragonForce.
3. تحقّق من تسريب بيانات اعتماد مؤسستك وسرقة جلسات المستخدمين. افحص سجلات برمجيات سرقة المعلومات لحسابات الموظفين والموردين، وغيّر كلمات مرور الحسابات التي تظهر بيانات اعتمادها في التسريبات، وألغِ الجلسات النشطة إلى جانب تغيير كلمات المرور.
4. رتّب مورّديك بحسب حجم البيانات الحساسة التي يحتفظون بها. حدد الشركات الخارجية الخمس الأكثر احتفاظًا ببياناتك الحساسة، مثل الاستشاريين والمتكاملين ومورّدي المنصات. اطلب من كل منها دليلًا على المصادقة متعددة العوامل وEDR ونسخ احتياطية غير متصلة.
5. قلّص ما تحتفظ به من بيانات العملاء. منصات العقار والسفر والتنقل أهداف متكررة. لا تحتفظ بنسخ الهويات وجوازات السفر إلا للمدة اللازمة.
6. افصل خطة التدمير عن خطة الابتزاز. جهّز نسخًا احتياطية غير متصلة بالإنترنت، واختبر إجراءات الاستعادة لمواجهة الهجمات التدميرية، وجهّز الاستعدادات القانونية والإعلامية والتفاوضية لحالات سرقة البيانات. هما تمرينان مختلفان.
7. استعد لاستهداف الموظفين بالإكراه. وفّر للموظفين وسيلة آمنة وسريعة للإبلاغ عن أي محاولة تواصل مشبوهة، خاصة في تقنية المعلومات والمالية، وتعامل مع أي محاولة تواصل مشبوهة بوصفها حادثة أمنية.
8. استعدّ لاحتمال الابتزاز المزدوج. اعرف النظام الذي يحكمك (اتحادي أو مركز دبي المالي أو سوق أبوظبي العالمي أو جهة رقابية قطاعية)، ومن يُشعر من، ومن يطلع مجلس الإدارة، ومن يقرر التفاوض. وثّق هذه الإجراءات واختبرها.
9. راقب ظهور اسم مؤسستك في مواقع التسريب والمنتديات الإجرامية. قد تنشر مواقع التسريب وقنوات تيليغرام ومنتديات الوسطاء بياناتك قبل أن تعلم بتسريبها. قد يمنحك الاكتشاف المبكر في هذه المصادر بضعة أيام للاستجابة.

المصادر

• The National, Iran's IRGC behind many cyberattacks on UAE, says security chief
• The National, Ransomware activity rises across Middle East (CloudSEK data)
• Positive Technologies H1 2026 Gulf findings, via TECHx
• Check Point Research, The State of Ransomware Q1 2026
• Rescana, UAE Cyber Threat Landscape 2026
• Rescana, Flydubai Everest breach claim advisory
• Cybernews, Flydubai data hijacked
• SOCRadar, Al-Futtaim Group data breach claim
• SOCRadar, Emirates Flight Catering data breach claim
• Cyberwarfare during the 2026 Iran war (event overview)
• Hive Pro, Handala claims destructive wiper attack on GCC nation
• Picus Security, Handala threat group profile
• Proven Data, Coinbase Cartel
• Hive Pro, Coinbase Cartel: the encryption-free data extortion group
• Barracuda, NightSpire: wannabe warlords in ransomware's shadow realm
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Sophos, GOLD IONIC deploys INC ransomware
• Blackpoint Cyber, DragonForce threat profile
• SOCRadar, Dark Web Profile: Krybit
• Chambers, Cybersecurity 2026: UAE trends and developments

تُعرض المصادر بلغاتها الأصلية.