برنامج الفدية Medusa يتجاوز 500 ضحية: ماذا يعني تحديث إرشادات CISA وFBI وHHS

محطة لم يرغب أي مدافع في رؤيتها

لم تعد Medusa تهديداً ناشئاً — إنها مشروع ابتزاز ناضج ومُصنَّع. في تحديث للإرشادات المشتركة صدر منتصف أغسطس 2026، أكدت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية ومكتب التحقيقات الفيدرالي ووزارة الصحة والخدمات الإنسانية أن جهات Medusa قد اخترقت الآن أكثر من 500 منظمة عبر قطاعات البنية التحتية الحرجة. وقد سجّل ملخص التحديث الصادر عن الجمعية الأمريكية للمستشفيات هذا التحديث في 19 أغسطس 2026، مضيفاً تفاصيل جديدة عن تكتيكات المجموعة ضد المستشفيات.

يهمّ رقم الـ500 ضحية لما يمثّله: ليس اختراقاً واحداً مذهلاً، بل خط إنتاج ثابتاً وقابلاً للتكرار من الاختراقات. ظهرت Medusa لأول مرة في يونيو 2021 كعملية مغلقة، ووفق التقارير حول الإرشادات المنشورة في Cyber Security News، انتقلت إلى نموذج الفدية كخدمة (RaaS) نحو عام 2023 — إذ يؤجّر المطورون الأساسيون الآن الحمولة الخبيثة لشركاء مقابل حصة من العائدات. هذا التركيب هو بالضبط ما يتيح لأعداد الضحايا الصعود إلى المئات: يوسّع المطورون الأدوات بينما تقوم مجموعة متغيّرة من الشركاء بالاختراق.

كيف تدخل Medusa فعلياً

أكثر محتوى الإرشادات قابلية للتنفيذ ليس عدد الضحايا — بل نمط الهجوم. يعتمد شركاء Medusa على مسارَي دخول معروفين: حملات التصيّد لسرقة بيانات الاعتماد، واستغلال ثغرات برمجية معروفة غير مُصحَّحة. استغلّت المجموعة مراراً ثغرات CVE عامة: يذكر تقرير Cyber Security News حول الإرشادات الثغرة CVE-2024-1709، وهي خلل في تجاوز المصادقة في ConnectWise ScreenConnect، والثغرة CVE-2023-48788، وهي ثغرة حقن SQL في FortiClient EMS من Fortinet، ضمن الثغرات المُستغلّة. كلاهما قابل للتصحيح، وكلاهما موثَّق، وكلاهما لا يزال يُستغَل لأن منظمات لم تطبّق الإصلاحات.

السرعة هي عامل التمييز. تشير الوكالات إلى أن شركاء Medusa يبدأون استغلال الثغرات المكشوفة حديثاً خلال ساعات — أحياناً قبل أن ينهي المدافعون قراءة نشرة المورّد. وبمجرد الدخول، يستخدم المشغّلون تقنيات «العيش على الأرض» (living-off-the-land) ويسيئون استخدام أدوات إدارة عن بُعد شرعية مثل AnyDesk وAtera للاندماج في حركة المرور العادية، ويطلقون في بعض الحالات برامج تشغيل نواة مصابة أو مسروقة لتعطيل برامج الكشف والاستجابة على الأجهزة الطرفية (EDR) قبل بدء التشفير.

أسلوب الابتزاز المزدوج

تطبّق Medusa مخطط ابتزاز مزدوج: يسرّب الشركاء بيانات حساسة قبل تشفير الأنظمة، ثم يهدّدون بنشر البيانات المسروقة على موقع تسريب إذا لم تدفع الضحية. يمنح هذا المهاجم أداتَي ضغط — أداة «استعِد ملفاتك» وأداة «لا تدع بياناتك تُسرَّب» — ويُبطل أفضل دفاع ضد الفدية التقليدية، وهو النسخة الاحتياطية النظيفة. تستعيد النسخة الاحتياطية عملياتك؛ لكنها لا تفعل شيئاً لمنع نشر سجلات مرضاك أو عملائك أو موظفيك.

الآلية المالية قاسية. يصف تقرير Cyber Security News حول الإرشادات دفع وسطاء الوصول الأولي مبالغ تتراوح بين 100 دولار ومليون دولار مقابل بيانات اعتماد شركات صالحة، ومطالب فدية تصل إلى 15 مليون دولار، ومدفوعات متوسطة قرب 260 ألف دولار — مع منح الضحايا عادةً نافذة تفاوض مدتها 48 ساعة عبر قنوات Tor أو Tox. هذه تقديرات مستمدة من الإرشادات وتغطيتها لا إجماليات مدقّقة، لكن النطاق يشير إلى عملية محترفة ذات نموذج تسعير، لا تخريباً انتهازياً. يؤطّر ملخّص Paubox للتوجيه الفيدرالي المحدَّث التحديث تحديداً حول تصاعد استهداف الرعاية الصحية.

لماذا تستمر الرعاية الصحية في التعرّض للضربات

المستشفيات ممثَّلة بشكل غير متناسب بين ضحايا Medusa، والسبب بنيوي. تشغّل منظمات الرعاية الصحية أساطيل كبيرة من الأجهزة الطبية القديمة والمتخصصة التي يصعب تصحيحها، وتعمل على مدار الساعة بحيث يكون التوقف غير محتمَل، وتحتفظ بالضبط بنوع البيانات الحساسة الذي يجعل الابتزاز المزدوج فعّالاً. عندما يشفّر شريك Medusa أنظمة مستشفى، يُقاس الضغط للدفع لا بالدولارات بل بالعمليات المؤجَّلة وسيارات الإسعاف المحوَّلة.

تشير الإرشادات المشتركة #StopRansomware: Medusa (AA25-071A) الصادرة عن CISA إلى حادثة عام 2026 أعلنت فيها Medusa مسؤوليتها عن هجوم على مركز صدمات من المستوى الأول، معطّلةً تقديم الرعاية — تذكير بأن الفدية ضد الرعاية الصحية قضية سلامة مرضى، لا مجرد مشكلة تقنية. يكمل التعليم والقانون والتأمين والصناعة والتكنولوجيا قائمة الأهداف، لكن التركيز على الرعاية الصحية هو ما دفع HHS إلى المشاركة في تأليف التحديث.

ماذا يعني هذا لفرق الأمن

تُقرأ الإرشادات كقائمة تحقق لأن الدفاعات ضد Medusa معروفة — إنها فقط مُطبَّقة بشكل متفاوت. المنظمات التي تعامل النقاط التالية كانضباطات تشغيلية، لا كمشاريع لمرة واحدة، تقلّص تعرّضها بشكل ملموس.

1. صحّح الأنظمة المكشوفة على الإنترنت بمقياس الساعات، لا الأسابيع

ميزة Medusa هي استغلال ثغرات CVE معروفة قبل أن يصحّح المدافعون. اجرد كل خدمة مكشوفة على الإنترنت — بوابات الوصول عن بُعد، وأجهزة نقل الملفات، ومركّزات VPN، ونسخ ScreenConnect وFortiClient EMS — والتزم باتفاقيات مستوى خدمة للتصحيح الطارئ تُقاس بالساعات للثغرات المُستغلّة بنشاط. إذا تعذّر التصحيح فوراً، أخرِج الخدمة عن الاتصال أو ضعها خلف ضوابط وصول إضافية حتى تتمكّن.

2. اجعل النسخ الاحتياطية دون اتصال وغير قابلة للتغيير ومُختبَرة — بافتراض التسريب رغم ذلك

احتفظ بنسخة احتياطية واحدة على الأقل دون اتصال أو غير قابلة للتغيير كي لا يتمكّن شريك من تشفيرها أو حذفها، واختبر الاستعادة وفق جدول. لكن لأن Medusa تسرق البيانات قبل التشفير، فالنسخ الاحتياطية وحدها غير كافية: قلّص نطاق الأثر بتقليل البيانات الحساسة التي تحتفظ بها، وبتجزئة الشبكات كي لا يصل اعتماد واحد مُخترَق إلى كل شيء.

3. افرض مصادقة متعددة العوامل مقاومة للتصيّد وراقب أدوات الإدارة عن بُعد

اطلب مصادقة متعددة العوامل — يُفضَّل أن تكون مقاومة للتصيّد ومدعومة بالعتاد — على كل حساب وصول عن بُعد وحساب مميّز، لأن بيانات الاعتماد المسروقة ناقل دخول رئيسي. ثم عامِل AnyDesk وAtera والأدوات المماثلة كإشارات قوية: نبّه على أي برنامج إدارة عن بُعد مُثبَّت خارج مرجعيتك المعتمدة، لأن Medusa تسيء استخدام الأدوات الشرعية تحديداً لتفادي إثارة الكشف.

4. قرّر مسبقاً موقفك من الفدية وتدرّب على الاستجابة

لا تتّخذ قرار الدفع من عدمه تحت عدّ تنازلي مدته 48 ساعة. اتّفق مسبقاً — مع القانونيين والإدارة، وعند الاقتضاء الجهات المنظّمة — على موقفك والتزامات الإبلاغ ومن يملك سلطة التصرف. تدرّب على دليل الاستجابة للحوادث كي تنفّذ الفرق خطة بدل الارتجال عندما ينطفئ EDR وتبدأ الملفات في التشفير.

الدرس البنيوي

الرقم الذي ينبغي أن يقلق المدافعين ليس 500 — بل «خلال ساعات». يقوم نجاح Medusa كلياً تقريباً على مراجحة زمنية: الفجوة بين لحظة كشف الثغرة علناً ولحظة تصحيح المنظمة المتوسطة لها. كل التكتيكات الأخرى في الإرشادات، من توسّع RaaS إلى برامج تشغيل النواة التي تقتل EDR، ليست سوى تضخيم. أغلق الفجوة الزمنية وتنزع عن المجموعة منفذها الأساسي.

بالنسبة لبلد كالجزائر، حيث تترقمن المستشفيات والوزارات والمؤسسات المالية بسرعة، فإن الإرشادات معاينة مسبقة لا نشرة أجنبية. عمليات RaaS لامبالية بالجغرافيا؛ الشريك الذي يستغل ثغرة CVE عامة لا يتحقق أولاً من عَلم الهدف. المنظمات التي تصمد أفضل أمام تهديدات فئة Medusa ليست تلك ذات أكبر ميزانيات أمنية — بل تلك التي تصحّح بسرعة، وتنسخ احتياطياً دون اتصال، وقد قررت مسبقاً ما ستفعله في أسوأ يوم. هذا الانضباط متاح لأي مؤسسة، بأي ميزانية، ابتداءً من اليوم.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Agencies Issue Update on Medusa Ransomware Activity — American Hospital Association
• CISA, FBI Warn Medusa Ransomware Hackers Steal Data and Encrypt Networks — Cyber Security News
• #StopRansomware: Medusa Ransomware (AA25-071A) — CISA
• Feds Update Guidance on Medusa Ransomware After Healthcare Attacks — Paubox