الواقع الجديد لبرمجيات الفدية: 49% مزيد من المجموعات، 2,122 ضحية في الربع الأول — ماذا بعد؟

حين يصبح “المرتفع” هو المستوى المرجعي

لا تزال المحادثة المعيارية حول مخاطر برمجيات الفدية في المؤسسات تُصوّر التهديد على شكل حدث استثنائي: ارتفاع غير عادي يستدعي استجابة استثنائية يعقبه عودة إلى وضع أكثر هدوءاً. هذا التأطير بات خاطئاً من الناحية الواقعية.

وثّق تقرير GRIT للربع الأول 2026 الصادر عن GuidePoint Security 2,122 ضحية نُشرت على مواقع تسريب البيانات خلال الربع — ثاني أعلى ربع أول على الإطلاق. بلغت معدلات نشر الضحايا في المتوسط 150 إلى 200 أسبوعياً، مستقرةً من ربع لآخر ومن سنة لأخرى. وصفت تحليلات Industrial Cyber هذا بأنه بلوغ برمجيات الفدية “مستوىً جديداً مرتفعاً مرجعياً” — الهضبة التي كان مديرو المخاطر يأملون أن تعقب حملة القمع المستدامة. حملة القمع حدثت. واستقرت الهضبة عند مستوى لا يزال كارثياً وفق أي معيار تاريخي.

أضاف تقرير Dragos السنوي 2026 لأمن التكنولوجيا التشغيلية البُعد الصناعي: استهدفت 119 مجموعة فدية 3,300 منظمة صناعية حول العالم في 2025، بارتفاع 49% مقارنةً بـ 80 مجموعة كانت نشطة العام السابق. شكّل قطاع التصنيع أكثر من ثلثَي الضحايا الصناعيين. الزيادة ليست من مجموعات قائمة تتضخم — بل من مجموعات جديدة تدخل السوق، خافضةً عتبة التطور المتوسط وموسّعةً نطاق الأهداف.

النظام البيئي صار صناعياً

ما تعنيه 119 مجموعة لنموذج مخاطرك

بُني نموذج مخاطر برمجيات الفدية المعتاد للمؤسسات لعالم مؤلف من 15 إلى 20 مجموعة رئيسية يمكن تتبّع أساليبها وتقنياتها وإجراءاتها، وإحباط بنيتها التحتية جزئياً من قِبل جهات إنفاذ القانون، والتنبؤ بشكل نسبي بمعايير استهدافها. عالم من 119 مجموعة تركّز على الصناعة يتصرف بطريقة مختلفة. تنبثق عن هذا التكاثر عدة تغييرات هيكلية:

أبرز تقرير GuidePoint للربع الأول 2026 مجموعة The Gentlemen، وهي مجموعة برمجيات الفدية كخدمة التي ظهرت في أغسطس 2025 وقفزت من 35 ضحية في الربع الرابع 2025 إلى 182 في الربع الأول 2026، لتصبح المجموعة الثانية الأكثر نشاطاً عالمياً. انخفضت المجموعتان الراسختان Qilin وAkira بنسبة 25% و22% على التوالي خلال الفترة ذاتها. هذا التذبذب — مجموعات جديدة تصعد سريعاً فيما تتراجع أخرى — يعني أن الاستخبارات حول “مجموعات التهديد النشطة” تصبح قديمة بوتيرة أسرع. ملف خصم بُني في الربع الرابع 2025 قد يكون غير ذي صلة إلى حد بعيد بحلول الربع الثاني 2026 إذا كانت المجموعة المسؤولة عن 40% من هجمات قطاعك قد خُلِفت بداخل جديد.

نموذج RaaS (برمجيات الفدية كخدمة) يقود هذا التكاثر. توفر مجموعات كـ The Gentlemen بنية تحتية لبرمجيات الفدية — أدوات تشفير ومنصات تفاوض ومواقع تسريب — للشركاء الذين يتولّون الوصول الأولي واختيار الضحية. ينضم الشركاء ويغادرون الأنظمة البيئية بحرية. انخفضت حاجز الدخول لحملة فدية جديدة إلى: شراء وصول أولي من وسيط وصول، واستئجار بنية تحتية RaaS، واختيار ضحية. دون الحاجة إلى تطوير برمجيات خبيثة. ودون بناء بنية تحتية دائمة للمجموعة. هذه هي الصناعية التي تنتج 119 مجموعة.

ظهور قطاع البناء — مؤشر رائد

أظهرت بيانات GuidePoint للربع الأول 2026 انضمام البناء إلى أكثر خمس صناعات تضرراً بـ 131 ضحية — ارتفاع 44% على أساس سنوي. بقي التصنيع الأكثر استهدافاً. حافظت الرعاية الصحية والخدمات المالية على موضعَيهما. ظهور قطاع البناء مهم ليس لأن البناء ذو قيمة استثنائية (لا يضاهي الخدمات المالية) بل لأنه يُشير إلى أن الشركاء المنفّذين يستنفدون الأهداف الأولية ويوسّعون نطاق بحثهم. مع تحسّن الدفاعات في القطاعات المستهدفة تاريخياً، ينتقل الشركاء إلى قطاعات ذات نضج دفاعي أدنى. ينبغي لأي قطاع كان مرتاحاً بوصفه هدفاً ثانوياً أن يعامل ظهور قطاع البناء تحذيراً لمدة 12 شهراً.

التكنولوجيا التشغيلية/أنظمة التحكم الصناعية: مشكلة وقت البقاء

وثّق تقرير Dragos متوسطاً صناعياً لوقت بقاء برمجيات الفدية في بيئات التكنولوجيا التشغيلية (OT) قبل الكشف والاحتواء يبلغ 42 يوماً. كشفت المنظمات ذات الرؤية الشاملة للبيئة التشغيلية عن برمجيات الفدية واحتوتها في غضون 5 أيام في المتوسط. الفجوة بين 42 و5 أيام ليست اختلافاً طفيفاً في الكفاءة — بل الفرق بين حادثة محتواة واختراق كامل للبيئة التشغيلية مع تداعيات عملياتية مادية. أشار تقرير التهديدات 2026 الصادر عن Waterfall Security بالمقابل إلى ضاعفة الهجمات الحكومية والهاكتيفيست ضد البنى التحتية الصناعية في 2025 مقارنةً بـ 2024، مما يُضاعف انكشاف برمجيات الفدية بناقل تهديد ثانٍ يجب على فرق التكنولوجيا التشغيلية نمذجته في آنٍ واحد.

ما يجب على فرق إدارة مخاطر المؤسسات فعله تجاه المستوى المرجعي الجديد

1. استبدال “تكلفة التعافي من برمجيات الفدية” بـ”الانكشاف المرجعي لبرمجيات الفدية” في نموذج مخاطرك

تعامل معظم نماذج مخاطر المؤسسات برمجياتِ الفدية كحدث ذي احتمالية وتكلفة. مع نشر 150 إلى 200 ضحية أسبوعياً على المستوى العالمي — مركّزة في التصنيع والرعاية الصحية والخدمات المالية والبناء الآن — لم تعد السؤال “ما احتمالية تعرّضنا للهجوم؟” هو الصياغة الصحيحة لأي منظمة تتجاوز عتبة إيرادية معينة في قطاع مستهدف. السؤال هو “ما وضعنا الراهن من التعافي، وما فئات انكشافنا للابتزاز؟” حدّث سجل مخاطرك لاستبدال احتمالية الحدث الواحد بنموذج قائم على الانكشاف: مسؤولية تسريب البيانات (الغرامات التنظيمية والدعاوى الجماعية)، وتكلفة التعطل التشغيلي يومياً، وانكشاف التفاوض على الفدية، والخسارة في السمعة. لهذه الفئات الأربع استراتيجيات تخفيف مختلفة وينبغي تتبّعها بصورة منفصلة.

2. تدقيق تغطية تأمين برمجيات الفدية مقابل نموذج التهديد الحالي

تُظهر بيانات GuidePoint أن طلبات الفدية استمرت في الارتفاع حتى مع استقرار حجم الهجمات. تحمل كثير من المؤسسات وثائق تأمين على برمجيات الفدية اكتُتب عليها بناءً على نماذج التهديد 2023–2024. راجع وثيقتك الحالية في ضوء ثلاثة أسئلة: هل تغطي الوثيقة الابتزاز المزدوج (تسريب البيانات بالإضافة إلى التشفير)؟ هل تغطي الابتزاز متعدد الأطراف (عدة مجموعات تحتجز البيانات في آنٍ واحد)؟ هل تغطي تعطل أنظمة التكنولوجيا التشغيلية/أنظمة التحكم الصناعية، أم تقتصر على تعطل أنظمة IT؟ الوثائق التي تُخفق في أي من هذه النقاط الثلاث تمتلك ثغرات في التغطية سيكشفها نموذج التهديد 2026. تجديدات التأمين في 2026 لحظة بعينها لمعالجة هذه الثغرات؛ انتظار حادثة لاكتشافها متأخر جداً.

3. دمج تغذية استخباراتية عن التهديدات خاصة بقطاعك في دورة مراجعة المخاطر

يعني تكاثر 119 مجموعة أن استخبارات التهديدات العامة حول برمجيات الفدية — “برمجيات الفدية نشطة، حافظ على التحديثات” — كفّت عن توفير إشارة ذات صلة بالقرار. تحتاج فرق إدارة مخاطر المؤسسات إلى استخبارات خاصة بالقطاع: المجموعات التي تستهدف قطاعك حالياً، وناقلات وصولها الأولية الراهنة (التصيد أو RDP المكشوف أو ثغرات VPN)، ومتوسط طلب الفدية لحجم منظمتك. هذه الاستخبارات متاحة عبر عضويات ISAC التجارية (مراكز تبادل ومشاركة المعلومات)، وعبر موردين كـ Dragos (لقطاعات التكنولوجيا التشغيلية/أنظمة التحكم الصناعية)، وعبر تقارير GRIT الفصلية الصادرة عن GuidePoint. أنشئ اجتماعاً ربع سنوياً لمراجعة مخاطر برمجيات الفدية يعتمد هذه الاستخبارات بدلاً من الإحاطات العامة حول التهديدات.

4. سدّ فجوة وقت البقاء البالغة 42 يوماً في التكنولوجيا التشغيلية — إنه الضابط الأعلى تأثيراً

بالنسبة للمنظمات التي تمتلك أي بيئة تكنولوجيا تشغيلية — تصنيع وطاقة ومرافق وأجهزة رعاية صحية وإدارة مبانٍ — يُعدّ استنتاج Dragos نقطة البيانات الأكثر قابلية للتطبيق في مشهد برمجيات الفدية 2026. بيئات التكنولوجيا التشغيلية التي تمتلك رؤية شاملة تكشف عن برمجيات الفدية وتحتويها في 5 أيام في المتوسط. أما البيئات بلا رؤية فمتوسطها 42 يوماً. فجوة الضابط هي مراقبة شبكة التكنولوجيا التشغيلية: أدوات تحليل حركة المرور السلبية (كـ Dragos Platform وClaroty وNozomi Networks) التي توفر رؤية على اتصالات شبكة التكنولوجيا التشغيلية دون تعطيل العمليات. إذا لم تمتلك بيئتك التشغيلية أي أداة مراقبة مخصصة، فإن وقت البقاء البالغ 42 يوماً هو مستواك المرجعي الحالي. سُدَّ الفجوة.

سيناريو التصحيح — ما لا يعنيه الاستقرار

كثيراً ما يُؤطَّر الاستقرار عند 150 إلى 200 ضحية أسبوعياً بتفاؤل: على الأقل لم يعد يتنامى بصورة متسارعة. هذا التأطير منقوص. يُخفي الحجم المرتفع المستقر تغييرَين هيكليَّين يجعلان الهضبة أخطر من الارتفاع المستمر بعض الشيء.

أولاً، مع استقرار حجم الهجمات، ارتفعت تطور المهاجمين. أفادت Dragos بأن الخصوم يتقدمون من استهداف أجهزة منعزلة إلى رسم خرائط لبنى كاملة من أنظمة التحكم الصناعي قبل نشر برمجيات الفدية — مما يُجسّد نضجاً في الإعداد يمدّد وقت البقاء ويعظّم التعطيل. عدد ثابت من الهجمات لا يعني خطورة ثابتة للهجمات.

ثانياً، لم تنجح جهود إنفاذ القانون في خفض المستوى المرجعي، بل في إحباط مجموعات بعينها. ينتقل شركاء كل مجموعة محبَطة إلى منصات RaaS جديدة ويواصلون العمل. حتى تُحبَط اقتصاديات برمجيات الفدية هيكلياً — سوق وسطاء الوصول، وبنية تحتية غسيل العملات المشفرة، ومنصات التفاوض على الفدية — فإن تصرف جهات إنفاذ القانون يشبه ضرب الطوابير في لعبة “اضرب الخلد”، يؤثر في توزيع الهجمات بين المجموعات لا في حجمها الكلي. لا ينبغي لفرق إدارة مخاطر المؤسسات التخطيط لانخفاض مستدام في حجم الهجمات. ينبغي التخطيط لـ 150 إلى 200 ضحية أسبوعياً لمستقبل منظور وبناء وضع التعافي وفق ذلك.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• نشاط برمجيات الفدية يبقى مرتفعاً — مجموعات تهديد جديدة تُعيد تشكيل المشهد — GuidePoint Security/BusinessWire
• برمجيات الفدية تبلغ مستوى مرتفعاً جديداً مع استقرار أحجام الهجمات — Industrial Cyber
• تقرير Dragos للأمن السيبراني في التكنولوجيا التشغيلية: الخصوم يرفعون التأثير الواقعي — BusinessWire
• حالة برمجيات الفدية في الربع الأول 2026 — Check Point Research
• حالة برمجيات الفدية في الربع الأول 2026 — Emsisoft
• تقرير تهديدات Waterfall 2026: هجمات حكومية على البنى التحتية الحيوية — Industrial Cyber