عندما تقتل برامج الفدية: أزمة سلامة المرضى في القطاع الصحي

الخط الأحمر تم تجاوزه

لسنوات، ناقش مجتمع الأمن السيبراني ما إذا كانت برامج الفدية يمكن أن تتسبب مباشرة في وفاة المرضى. انتهى ذلك النقاش. مجموعة متنامية من الأدلة — بيانات سريرية وتحقيقات في الحوادث وأبحاث أكاديمية — تُثبت الآن وجود علاقة سببية بين هجمات برامج الفدية على القطاع الصحي ووفيات المرضى. السؤال لم يعد ما إذا كانت برامج الفدية تقتل، بل كم عدد الوفيات التي يمكن نسبها إليها وما الذي يستعد القطاع الصحي لفعله حيال ذلك.

أبرز الأدلة السريرية تأتي من دراسة محكّمة نُشرت في مجلة الكلية الأمريكية لأطباء الطوارئ (Journal of the American College of Emergency Physicians) عام 2024، أجراها باحثون في مركز الأمن السيبراني للرعاية الصحية بجامعة كاليفورنيا سان دييغو (UCSD). فحصت الدراسة نتائج السكتة القلبية في مستشفيات غير مُستهدفة مجاورة لمنظمة رعاية صحية تعرضت لهجوم ببرنامج فدية خلال حادثة في مايو 2021. أثناء فترة الهجوم، انهار معدل النجاة من السكتة القلبية خارج المستشفى (OHCA) مع نتائج عصبية مواتية من 40.0% إلى 4.5% فقط في المستشفيات المجاورة التي تستقبل المرضى المُحوّلين. كانت الآلية مباشرة: عندما تُحوّل سيارات الإسعاف من المستشفيات المُستهدفة، تزداد أوقات النقل إلى المرافق البديلة، مما يؤخر الإنعاش المتقدم والرعاية بعد السكتة القلبية — منتجاً نتائج أسوأ بشكل قابل للقياس.

وفي فبراير 2026، تعرض المركز الطبي بجامعة ميسيسيبي (UMMC) — أحد أكبر الأنظمة الصحية في الولاية، بسبع مستشفيات و35 عيادة وأكثر من 10,000 موظف — لهجوم ببرنامج فدية أجبر على الإغلاق المتزامن لجميع مواقع العيادات الـ 35 في أنحاء الولاية، وإلغاء جلسات العلاج الكيميائي والعمليات الاختيارية، وتدهور نظام السجلات الطبية الإلكترونية EPIC. ظلت العيادات مغلقة لنحو 11 يوماً. أبرز هجوم UMMC أزمة برامج الفدية في الرعاية الصحية أمام الرأي العام.

هذه ليست حالات معزولة. وفقاً لتقرير BlackFog لعام 2025 حول حالة برامج الفدية، ارتفعت الهجمات المُعلنة بنسبة 49% مقارنة بالعام السابق إلى رقم قياسي بلغ 1,174 هجوماً في 2025. احتفظ قطاع الرعاية الصحية بموقعه كالقطاع الأكثر استهدافاً، حيث يمثل 22% من جميع الهجمات المُعلنة — أكثر من ضعف معدل القطاعات الأكثر تضرراً التالية. في 2025، تضمنت 96% من جميع هجمات برامج الفدية تسريب بيانات قبل التشفير، وبلغ متوسط تكلفة اختراق البيانات الصحية 7.42 مليون دولار.

حالة UMMC: كارثة صحية في فبراير 2026

يوضح هجوم برنامج الفدية على المركز الطبي بجامعة ميسيسيبي في فبراير 2026 التأثير المدمر الواقعي للهجمات السيبرانية على الرعاية الصحية.

الهجوم

اكتُشف الهجوم في ساعات الصباح الباكر من يوم الخميس 19 فبراير 2026، مؤثراً على شبكة UMMC والعديد من أنظمة تكنولوجيا المعلومات، بما في ذلك نظام السجلات الطبية الإلكترونية EPIC. أكد مسؤولو UMMC أن هجوم ببرنامج فدية كان المسؤول عن إيقاف شبكة الحاسوب. أُبلغت جهات إنفاذ القانون، ونسّق UMMC مع وزارة الأمن الداخلي ومكتب التحقيقات الفيدرالي (FBI).

التأثير السريري

كان التأثير السريري الفوري شديداً. أوقف مسؤولو المستشفى الرعاية في جميع عيادات UMMC الـ 35 في أنحاء الولاية. أُلغيت المواعيد وجلسات العلاج الكيميائي والإجراءات الاختيارية. أصبح نظام السجلات الصحية الإلكترونية غير متاح، مما أجبر الأطباء على الاعتماد على بروتوكولات العمل اليدوي الورقية — وهو سير عمل يملك معظم أطباء وممرضات الجيل الحالي خبرة محدودة فيه. توقفت أنظمة إدارة الأدوية عن العمل، مما خلق مخاطر أخطاء الجرعات والتفاعلات الدوائية والأدوية المفقودة. تعطلت أنظمة التصوير التشخيصي، مما أخّر أو منع إجراء فحوصات الأشعة المقطعية والرنين المغناطيسي والأشعة السينية. تدهورت أنظمة المعلومات المخبرية، مما أخّر نتائج الفحوصات التي تُوجّه قرارات العلاج الحرجة.

ظلت خدمات الطوارئ متاحة في UMMC مع بروتوكولات التوقف المعمول بها، لكن إغلاق العيادات الخارجية أجبر على تحويل المرضى — بمن فيهم أطفال ذوو حالات طبية معقدة — إلى مرافق إقليمية مُثقلة أصلاً، مما أخّر الرعاية وخلق اختناقات عبر النظام الصحي في ميسيسيبي. لم تُعاد فتح العيادات حتى حوالي 2 مارس 2026، أي بعد أكثر من 11 يوماً من الهجوم الأولي.

الأدلة السريرية الأوسع

توفر دراسة UCSD حول حادثة 2021 أدق تقدير كمّي سريري لتأثير برامج الفدية على نتائج المرضى. قيّم الباحثون 78 حالة سكتة قلبية إجمالية في مستشفيين أكاديميين غير مستهدفين مجاورين للمنشأة المصابة ببرنامج الفدية، مقارنين فترات ما قبل الهجوم وأثناءه وبعده. ارتفع عدد حالات السكتة القلبية الإجمالية بشكل ملحوظ خلال مرحلة الهجوم (38 حالة مرصودة مقابل 21 قبل الهجوم)، متجاوزاً المستويات المتوقعة. انهيار معدل النجاة من السكتة القلبية خارج المستشفى من 40.0% إلى 4.5% أثناء فترة الهجوم — تلاه تعافٍ إلى 41.2% بعد الهجوم — يُظهر ارتباطاً زمنياً واضحاً بين الهجوم السيبراني وتدهور النتائج السريرية. يبدو أن تحويلات خدمات الطوارئ الطبية أطالت أوقات النقل إلى الرعاية المتقدمة، بما يتوافق مع الأبحاث السابقة التي تربط أوقات نقل الإسعاف الأطول بارتفاع معدل الوفيات خلال 30 يوماً.

استراتيجية الهجوم من المنبع

تواجه المؤسسات الصحية بشكل متزايد تهديدات ليس فقط من الهجمات المباشرة على أنظمتها الخاصة بل من الهجمات على مورديها وموفّري خدماتها — استراتيجية يسميها باحثو الأمن “الاستهداف من المنبع”.

أظهر هجوم Change Healthcare في فبراير 2024 الإمكانات المدمرة لهذا النهج. Change Healthcare، وهي شركة تابعة لمجموعة UnitedHealth Group، تعالج حوالي 15 مليار معاملة صحية سنوياً — عاملةً كوسيط حيوي بين مقدمي الرعاية الصحية وشركات التأمين والصيدليات. عندما استغلت مجموعة برامج الفدية BlackCat/ALPHV خدمة وصول عن بُعد عبر Citrix تفتقر إلى المصادقة متعددة العوامل، حصلوا على وصول إلى أنظمة Change Healthcare ونشروا برنامج فدية أوقف المنصة عن العمل لنحو شهرين. امتدت التأثيرات المتتالية لتعطل معالجة المطالبات وصرف الوصفات الطبية ودورات الإيرادات في المستشفيات والعيادات عبر الولايات المتحدة.

أثر الاختراق على حوالي 190 مليون أمريكي — أكثر من نصف سكان الولايات المتحدة — مما جعله أكبر اختراق لبيانات صحية يُبلّغ عنه على الإطلاق. دفعت مجموعة UnitedHealth Group فدية بقيمة 22 مليون دولار، لكن التكلفة الإجمالية للحادثة بلغت حوالي 3.1 مليار دولار بنهاية 2024، وفقاً لإفصاحات الشركة المالية.

استراتيجية الاستهداف من المنبع استراتيجية وليست انتهازية. باختراق مورد يخدم آلاف المؤسسات الصحية، يحقق المهاجمون تأثيراً مضاعفاً — اختراق ناجح واحد يمكنه تعطيل تقديم الرعاية عبر منطقة أو تخصص بأكمله. يُعدّ مقدمو الخدمات المُدارة (MSP) الذين يتولون عمليات تكنولوجيا المعلومات للمنشآت الصحية الأصغر أهدافاً جذابة بشكل خاص، حيث يوفرون نقطة وصول واحدة لعشرات أو مئات البيئات الصحية.

عزّز الاتجاه نحو توحيد تكنولوجيا المعلومات الصحية هذا الخطر. مع تبني المستشفيات لأنظمة السجلات الصحية الإلكترونية السحابية وخدمات المعلومات المخبرية ومنصات الرعاية عن بُعد، تخلق اعتماداً على عدد أقل من الموردين الحيويين. تركّز البيانات والعمليات الصحية في حفنة من المنصات يخلق مخاطر منهجية — اختراق مورد واحد يمكن أن يتتالى عبر النظام الصحي بأكمله.

الابتزاز المزدوج وبيانات المرضى

أضاف التبني شبه الشامل لتكتيكات الابتزاز المزدوج من قبل مشغّلي برامج الفدية بُعداً من الضرر يتجاوز التعطيل التشغيلي. في الابتزاز المزدوج، يقوم المهاجمون بتشفير الأنظمة وتسريب البيانات الحساسة في آن واحد، مهددين بنشرها إذا لم تُدفع الفدية. تُظهر بيانات BlackFog لعام 2025 أن 96% من جميع هجمات برامج الفدية تضمنت تسريب بيانات قبل تشفير الملفات. بالنسبة للمؤسسات الصحية، يعني هذا المعلومات الصحية المحمية (PHI) — السجلات الطبية والتشخيصات وتاريخ العلاج وسجلات الصحة النفسية وسجلات علاج الإدمان وحالة فيروس نقص المناعة البشرية.

تجعل حساسية البيانات الصحية الابتزاز المزدوج قسرياً بشكل خاص للمؤسسات الصحية. بينما قد تتحمل شركة خدمات مالية التأثير السمعي لتسريب البيانات، فإن نشر السجلات الطبية للمرضى يُلحق ضرراً مباشراً وشخصياً بالأفراد. المرضى الذين تُنشر سجلات صحتهم النفسية أو تاريخ إدمانهم أو حالة فيروس نقص المناعة يواجهون التمييز والوصمة الاجتماعية والضائقة الشخصية التي لا يمكن لأي برنامج معالجة أن يعالجها.

وجد تقرير Sophos لعام 2025 حول حالة برامج الفدية في الرعاية الصحية أن نسبة مقدمي الرعاية الصحية الذين يتعرضون لهجمات ابتزاز فقط — حيث تُسرق البيانات دون تشفير — تضاعفت ثلاث مرات لتصل إلى 12% في 2025 من 4% في 2022/2023، وهو أعلى معدل عبر جميع القطاعات. يؤكد ذلك الضغط الخاص الذي توفره البيانات الصحية المسروقة للمهاجمين. أكثر مجموعات برامج الفدية غزارة في 2025 — Qilin — ادعت أكثر من 1,100 هجوم مُعلن وغير مُعلن وكانت وراء حادثتين من أكثر حوادث الرعاية الصحية تأثيراً خلال العام.

جداول التعافي: التعطل الممتد

جداول التعافي من برامج الفدية في الرعاية الصحية أطول وأكثر تعقيداً باستمرار مقارنة بالقطاعات الأخرى، مما يعكس الطبيعة الحرجة للأنظمة السريرية والمتطلبات التنظيمية التي تحكم استعادتها.

تُظهر بيانات القطاع لعام 2025 أن هجمات برامج الفدية أدت إلى متوسط ما يقرب من 19 يوماً من التوقف لمؤسسات الرعاية الصحية الأمريكية. لكن هذا الرقم يُقلل من تحدي التعافي الكامل — يبلغ متوسط التعافي الكامل إلى القدرة التشغيلية الكاملة 279 يوماً، مع تحقيق 58% فقط من المؤسسات للاستعادة التشغيلية الكاملة، وفقاً لإحصائيات الأمن السيبراني الصحي المجمّعة في 2025. يشمل التعافي الكامل ليس فقط استعادة الأنظمة بل التحقق من سلامة البيانات (ضمان عدم تعديل سجلات المرضى)، والامتثال التنظيمي (تأكيد أن البيئة المُستعادة تلبي متطلبات HIPAA وغيرها)، والتحقق السريري (اختبار أن الأجهزة الطبية وأنظمة دعم القرار السريري تعمل بشكل صحيح بعد الاستعادة).

هناك بعض العلامات المشجعة: وجدت Sophos أن ما يقرب من 60% من مقدمي الرعاية الصحية تعافوا خلال أسبوع في 2025، ارتفاعاً من 21% فقط في العام السابق. لكن هذا التعافي الأولي غالباً ما يمثل استعادة جزئية فقط — كافية لاستئناف العمليات الأساسية لكن بعيدة عن القدرة الكاملة.

خلال فترة التعافي، تعمل المؤسسات الصحية في وضع متدهور — مزيج من العمليات اليدوية والأنظمة المؤقتة والحلول البديلة التي تقلل حجم وجودة الرعاية التي يمكن تقديمها. يُحوّل المرضى إلى مرافق أخرى، وتُؤجّل الإجراءات، ويُثقل الكادر السريري بسير عمل يدوي يزيد عبء العمل ومعدلات الأخطاء.

التكلفة الاقتصادية كبيرة. أفادت مجموعة UnitedHealth Group أن حادثة Change Healthcare كلّفت الشركة في النهاية حوالي 3.1 مليار دولار — رقم لا يشمل التكاليف التي تحملتها آلاف مقدمي الرعاية الصحية المتأثرين والذين تعطلت عملياتهم. عالمياً، بلغ متوسط تكلفة اختراق البيانات الصحية 7.42 مليون دولار في 2025.

ما يجب أن يتغير في القطاع

أزمة برامج الفدية في الرعاية الصحية ليست في الأساس مشكلة تقنية — إنها مشكلة حوكمة واستثمار وبنية معمارية. تعكس نقاط ضعف القطاع عقوداً من نقص الاستثمار في الأمن السيبراني، وقرارات معمارية أعطت الأولوية للراحة على المرونة، وبيئة تنظيمية لم تواكب مشهد التهديدات.

التجزئة والبنية المعمارية

شبكات الرعاية الصحية مسطحة بشكل سيئ السمعة — خاصية تسمح لبرامج الفدية بالانتشار السريع من الموطئ الأولي إلى الأنظمة السريرية. تجزئة الشبكة التي تعزل الأنظمة السريرية والأجهزة الطبية والأنظمة الإدارية وشبكات الضيوف في مناطق أمنية منفصلة ستحد بشكل كبير من نطاق ضرر حدث برنامج فدية. الاستثمار كبير لكن تكلفة عدم التجزئة أعلى بشكل واضح.

النسخ الاحتياطية غير القابلة للتغيير والتعافي السريع

القدرة على استعادة الأنظمة السريرية بسرعة من نسخ احتياطية نظيفة هي أكثر التدابير فعالية لمواجهة برامج الفدية. يجب أن تكون النسخ الاحتياطية غير قابلة للتغيير (محمية من التشفير أو الحذف من قبل المهاجم)، ومختبرة بانتظام، ومدمجة في إجراءات تعافٍ يمكنها إعادة الأنظمة السريرية الحيوية إلى العمل في غضون ساعات — وليس أيام أو أسابيع.

أمن الأجهزة الطبية

الأجهزة الطبية المتصلة — مضخات الحقن وأجهزة مراقبة المرضى وأنظمة التصوير — غالباً ما تعمل بأنظمة تشغيل قديمة، ولا يمكن تصحيحها بسهولة، ومتصلة بنفس الشبكات التي تستضيف الأنظمة الإدارية. برنامج أمن مخصص للأجهزة الطبية يجرد جميع الأجهزة المتصلة ويعزلها عن الشبكة الأوسع ويراقبها بحثاً عن سلوك شاذ أمر ضروري.

إدارة مخاطر الموردين

تتطلب استراتيجية الهجوم من المنبع أن تُقيّم المؤسسات الصحية بصرامة وتراقب الوضع الأمني السيبراني لمورديها الحيويين. يشمل ذلك متطلبات أمنية تعاقدية وتقييمات أمنية دورية للموردين ومتطلبات إخطار بالحوادث وخطط طوارئ لعدم توفر المورد.

تدريب القوى العاملة والمرونة

يحتاج الكادر السريري إلى تدريب منتظم على كل من النظافة السيبرانية (لمنع الاختراق الأولي) وإجراءات التوقف اليدوية (للحفاظ على جودة الرعاية عندما تكون الأنظمة غير متاحة). تمارين التوقف — تمارين دورية تستمر فيها العمليات السريرية بدون الأنظمة الإلكترونية — تبني الذاكرة العضلية الحاسمة أثناء حادثة فعلية.

التطور التنظيمي

ينتقل المنظمون من الإرشادات الطوعية إلى التفويضات القابلة للتنفيذ. نشرت وزارة الصحة والخدمات الإنسانية الأمريكية أهداف أداء الأمن السيبراني الطوعية للرعاية الصحية والصحة العامة (CPGs) في يناير 2024، مقسمةً إياها إلى معايير “أساسية” وأهداف “معززة” لممارسات أكثر تطوراً. وفي يناير 2025، نشرت الوزارة قاعدة مقترحة لتعزيز قاعدة أمان HIPAA للمعلومات الصحية الإلكترونية المحمية (ePHI)، مع توقع الصياغة النهائية بحلول منتصف 2026. بمجرد الصياغة النهائية، ستتضمن القاعدة فترة سماح للامتثال مدتها ستة أشهر. هذه خطوات في الاتجاه الصحيح، لكن الفجوة بين الإرشادات الطوعية والمعايير الإلزامية القابلة للتنفيذ تبقى نقطة ضعف حرجة.

الضرورة الأخلاقية

الأدلة على أن برامج الفدية تضر بالمرضى — والبيانات المتزايدة التي تربطها بالوفيات — تخلق ضرورة أخلاقية تتجاوز حسابات الجدوى الاقتصادية. عندما ينخفض معدل النجاة من السكتة القلبية من 40% إلى 4.5% في مستشفيات تستقبل مرضى محوّلين أثناء هجوم سيبراني، فإن الأمن السيبراني ليس مسألة تكنولوجيا معلومات — إنه مسألة سلامة مرضى من الدرجة الأولى.

المسؤولون التنفيذيون في الرعاية الصحية الذين لم يُعطوا الأولوية لاستثمار الأمن السيبراني لم يعد بإمكانهم ادعاء الجهل بالعواقب. أعضاء مجالس الإدارة الذين لم يطلبوا إحاطات أمنية بنفس صرامة التقارير المالية يُخلّون بواجبهم الائتماني. والمنظمون الذين لم يضعوا معايير أمان دنيا قابلة للتنفيذ شركاء في أزمة يمكن تفاديها.

لن تحل أزمة برامج الفدية في الرعاية الصحية نفسها. تتطلب استثماراً مدروساً ومستداماً وتحولاً جوهرياً في نظرة القطاع للأمن السيبراني — ليس كمركز تكلفة، بل كمكوّن أساسي من سلامة المرضى. البيانات واضحة. الأدلة موثقة. السؤال الوحيد المتبقي هو ما إذا كان القطاع الصحي سيتحرك قبل أن ينتج الهجوم التالي المأساة التالية.

المصادر والقراءات الإضافية

• Ransomware Cyberattack Associated With Cardiac Arrest Incidence and Outcomes at Untargeted, Adjacent Hospitals — UCSD/PMC (2024)
• UMMC Shuts Clinics While It Grapples with Ransomware Attack — HIPAA Journal (2026)
• Healthcare Remains the Sector Most Targeted by Ransomware Groups as Attacks Increase 49% YOY — HIPAA Journal / BlackFog (2025)
• The State of Ransomware in Healthcare 2025 — Sophos
• Change Healthcare Attack Cost Estimate Reaches Nearly $2.9B — BankInfoSecurity
• HPH Cybersecurity Performance Goals — HHS Cyber Gateway