شهر الـ104 ضحية لـQilin: تحوّل رانسوم وير إلى كارتل لم يعد مجرد نظرية

مجموعة واحدة تملك الآن نحو واحدة من كل خمس مطالبات رانسوم وير

طوال معظم تاريخ رانسوم وير، كان التصنيف يتقلّب. تصعد مجموعة، فتتعرّض لإسقاط من جهات إنفاذ القانون، فتتشظّى، فتُستبدل. لكن ما يحدث في 2026 مختلف: عملية واحدة استقرّت في هيمنة دائمة. ففي أغسطس 2026، طالبت عملية Qilin لرانسوم وير كخدمة (RaaS) بـ104 ضحية على موقع التسريب الخاص بها، أي نحو ضعف الـ56 هجمة التي أبلغت عنها Akira، المجموعة الوحيدة الأخرى في المستوى نفسه. وهذه النتيجة تسجّل المرة الرابعة في خمسة أشهر التي تتصدّر فيها Qilin التصنيف الشهري.

وبنظرة أوسع، يبدو التركّز صارخاً. فمنذ انهيار RansomHub في أبريل 2026، سجّلت Qilin 398 ضحية مُطالَباً بها — أي 18.4% من كل حوادث رانسوم وير المرصودة عبر تلك النافذة الممتدة خمسة أشهر بإجمالي 2,164 هجمة، وAkira بعيدة في المركز الثاني عند 10.7%. ولم تتجاوز أي مجموعة أخرى 10%. وعلى المدى الأطول، أحصى تقرير رانسوم وير 2026 عدد 7,551 ضحية مُفصَح عنها علناً، بارتفاع سنوي قدره 24.9% عبر 146 مجموعة نشطة — وداخل هذا الإجمالي، انفجر عدّاد Qilin نفسه بنسبة 443%، من 250 إلى 1,358 ضحية على أساس سنوي. ووفق محاسبة موقع التسريب الخاص بها، كانت المجموعة قد طالبت علناً بـ2,271 ضحية، منها 118 خلال الأيام الثلاثين السابقة، وهو رقم يعكس مطالبات ابتزاز علنية لا إصابات مؤكَّدة.

الحجم ليس مصادفة طاقم واحد غزير الإنتاج. بل هو ناتج آلة شركاء مُصنَّعة — وبشكل متزايد، منسَّقة.

لماذا «الكارتل» هو المصطلح الصحيح

كلمة كارتل تؤدي عملاً حقيقياً هنا، لا مجرد وصف للحجم. ففي سبتمبر 2025، اقترحت مجموعة DragonForce علناً ائتلافاً مع LockBit وQilin على منتديات إجرامية ناطقة بالروسية. وبحلول أكتوبر، كان باحثو الأمن قد أكّدوا أن المجموعات الثلاث تنسّق لتبادل التقنيات والموارد والبنية التحتية — قطيعة متعمّدة مع النمط التاريخي لعصابات متنافسة تستقطب شركاء بعضها وتتبادل الإهانات علناً. والمنطق المُعلَن كان انضباط السوق: تقليل الصراع الداخلي، وتجميع الأدوات، وفعلياً وضع الشروط عبر النظام البيئي.

وهذا مهم لأن هؤلاء ليسوا لاعبين هامشيين. فقبل إسقاطها في 2024، يُقدَّر أن LockBit وحدها أصابت أكثر من 2,500 ضحية وجمعت أكثر من 500 مليون دولار من الفديات. واجمع شبكة شركاء LockBit، وإنتاج Qilin الحالي، ومدى DragonForce، فيُركّز التحالف حصة كبيرة من الابتزاز العالمي تحت دليل عمل مشترك. ووجد الباحثون أن Qilin وAkira وINC Ransom وPlay وSafePay كانت مجتمعة مسؤولة عن نحو 47% من كل هجمات ابتزاز البيانات في الربعين الثاني والثالث من 2025. وحين يبدأ قمة تلك القائمة بالتعاون بدل التنافس، فالأثر على المدافعين خصم أكثر توحّداً وأفضل تجهيزاً.

اقتصاد Qilin الخاص يفسّر جاذبية الشركاء. فالعملية تدفع وفق التقارير بين 80% و85% من كل فدية للشركاء، مع احتفاظ المشغّلين بالباقي — تقاسم سخيّ بشكل غير معتاد يسحب المتسللين المهرة بعيداً عن البرامج الأضعف. والتحوّل إلى كارتل يزيل ببساطة احتكاك التنافس على تلك المواهب.

الباب الأمامي لا يزال هو VPN

أكثر الحقائق فائدة تشغيلية في بيانات 2026 هي أيضاً الأقل بريقاً: المهاجمون، في الغالب، لا ينشرون ثغرات zero-day غريبة. بل يعبرون المحيط. فبحسب بيانات Huntress التي استشهدت بها CSO Online، يمثّل VPN نقطة الوصول الأولية في نحو 70% من الحالات للفاعلين المتقدمين في التهديد — وجزء كبير من تلك الحركة يستخدم بيانات اعتماد مسروقة صالحة ضد حسابات بلا مصادقة متعددة العوامل، لا استغلالاً أصلاً.

وحيث يحدث الاستغلال، فإنه يتركّز على أجهزة الحافة نفسها التي تشغّلها كل مؤسسة. فقد وثّق التقرير نفسه حملة «Fortibleed» كشفت 75,000 جدار حماية FortiGate في يونيو 2026، إلى جانب إساءة استخدام نشطة لـPalo Alto GlobalProtect (CVE-2026-0257) وCitrix NetScaler وCheck Point VPN وCisco وبوابات Ivanti. وفي بيانات NCC Group الفصلية، كانت Qilin مسؤولة عن 14% من الهجمات، متقدمة على ميدان ضمّ The Gentlemen (238 ضحية في الربع الثاني من 2026) وAkira (127). والخيط الجامع لا لبس فيه: شبكة VPN وجدار الحماية المكشوفان على الإنترنت هما أكثر قطعة متنازع عليها في أمن المؤسسات، والمجموعات الفائزة هي التي تعاملها كناقل دخولها الأساسي.

ماذا يعني ذلك لفرق الأمن

قد يبدو عنوان الكارتل مجرداً. لكن الآثار الدفاعية ليست كذلك — فهي تتلخّص في عدد قليل من الخطوات عالية الأثر التي تنبع مباشرة من كيفية اختراق Qilin وأقرانها فعلاً.

1. عامل كل جهاز مكشوف على الإنترنت كأصل يُصحَّح خلال أيام لا كل ربع سنة

لأن نحو 70% من الاختراقات المتقدمة تبدأ عند VPN وثغرات الحافة تُسلَّح خلال أيام من الكشف، فإن وتيرة التصحيح الفصلية القديمة لعبة خاسرة لهذه الأجهزة تحديداً. احتفظ بجرد حيّ لكل VPN وجدار حماية وبوابة مكشوفة على الإنترنت؛ واشترك في موجز نشرات المزوّد؛ والتزم بزمن تصحيح طارئ يُقاس بالأيام لأجهزة الحافة حتى لو تطلّب ذلك نافذة صيانة خارج الدوام.

2. اجعل المصادقة متعددة العوامل على VPN غير قابلة للتفاوض وألغِ الحسابات المحلية الدائمة

البيانات صريحة: جزء كبير من رقم الـ70% هو بيانات اعتماد مسروقة تصيب حسابات بلا MFA، لا استغلال. افرض مصادقة متعددة العوامل مقاومة للتصيّد على كل مسار وصول عن بُعد، وعطّل البروتوكولات القديمة مثل IKEv1 حيثما أصبحت مهجورة، ودقّق الحسابات المحلية أو حسابات الخدمة التي تتجاوز مزوّد الهوية. حساب واحد مُستثنى هو التحكم كله.

3. افترض الابتزاز المزدوج واحمِ البيانات لا مجرد الاستمرارية

عمليات Qilin اليوم تسرق البيانات قبل تشفيرها، لذا لم تعد النسخ الاحتياطية غير المتصلة تُحيّد التهديد وحدها. صنّف وقسّم أكثر بياناتك حساسية، وراقب عمليات النقل الصادرة الكبيرة، وتدرّب على مسار الإفصاح والقانون لابتزاز يقتصر على سرقة البيانات — السيناريو الذي لا يكلّف فيه المهاجم نفسه عناء تشفير أي شيء.

4. جهّز أنظمتك لعُدّة الشريك لا لبصمة مجموعة واحدة

لأن التحوّل إلى كارتل يعني بنية تحتية وتقنيات مشتركة، فإن الكشف المبني حول مؤشرات مجموعة واحدة يتقادم بسرعة. أعطِ الأولوية للكشف القائم على السلوك — تسجيلات دخول VPN شاذة، وسحب بيانات الاعتماد، والحركة الجانبية، وتجهيز أدوات التسريب — على مؤشرات الاختراق الثابتة المرتبطة بعلامة واحدة.

الدرس الهيكلي

أكمل رانسوم وير في 2026 تحوّلاً بدأه قبل سنوات: من مشهد متسللين مستقلين إلى صناعة بشركات مهيمنة، ومنتجات موحّدة، والآن كارتل ينسّق بدل أن يتنافس. وشهر Qilin بـ104 ضحية هو الطرف المرئي من هذا التركّز، لكن القصة الأكثر ديمومة هي التحالف المتشكّل تحته وناقل الدخول المُملّ في اتساقه الذي يغذّيه. وللمدافعين، الخبر السار المدفون في البيانات أن الهجمات الفائزة ليست بارعة — بل انتهازية، وتتركّز على أصول تملكها بالفعل وتستطيع التحكم بها بالفعل. والمؤسسات التي تُخترق في هذه البيئة نادراً ما يُتفوَّق عليها في الابتكار. بل يُتفوَّق عليها في الصيانة.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• هجوم رانسوم وير Qilin يضرب 104 مؤسسة في أغسطس — GBHackers
• تقرير رانسوم وير 2026: 7,551 ضحية، 146 مجموعة، ارتفاع Qilin بـ443% — GBHackers
• LockBit وQilin وDragonForce توحّد قواها للهيمنة على نظام رانسوم وير البيئي — The Hacker News
• مجموعات رانسوم وير تطرق شبكات VPN الضعيفة لديك — CSO Online
• رانسوم وير Qilin 2026: التكتيكات والتقنيات والإجراءات والضحايا ودليل الدفاع — MOXFIVE
• رانسوم وير Qilin: نموذج التشغيل وسلسلة الهجوم والملف التقني — Proven Data