وباء برمجيات سرقة المعلومات: كيف تغذي سرقة بيانات الاعتماد على نطاق واسع اقتصاد الجريمة

الكارثة الصامتة

بينما تهيمن برامج الفدية على العناوين والنقاشات في مجالس الإدارة، ينمو تهديد أقل ظهوراً لكنه أكثر ضرراً بشكل أسّي. أصبحت البرمجيات الخبيثة لسرقة المعلومات — “برمجيات سرقة المعلومات” (Infostealers) — الطبقة الأساسية للاقتصاد الإجرامي السيبراني الحديث، تحصد بصمت بيانات الاعتماد ورموز الجلسات ومحافظ العملات المشفرة والبيانات الشخصية على نطاق يتحدى الاستيعاب السهل.

الأرقام مذهلة. وفقاً لتقرير استخبارات التهديدات 2025 الصادر عن KELA، اخترقت برمجيات سرقة المعلومات 3.9 مليار بيان اعتماد عبر 4.3 مليون جهاز مصاب في 2024 وحده. ووجد تقرير SpyCloud لعام 2025 حول كشف الهوية أن 548 مليون بيان اعتماد سُرّبت عبر برمجيات سرقة المعلومات، بمتوسط 44 بيان اعتماد مكشوف لكل إصابة و1,861 ملف تعريف ارتباط (Cookie) محصود لكل جهاز مصاب. وفي يناير 2026، اكتشف الباحث الأمني Jeremiah Fowler قاعدة بيانات غير محمية تحتوي على 149 مليون زوج فريد من تسجيلات الدخول وكلمات المرور — بما في ذلك 48 مليون حساب Gmail و17 مليون حساب Facebook و900,000 حساب Apple iCloud — جُمعت بالكامل من عمليات برمجيات سرقة المعلومات.

هذه ليست إحصائيات مجردة. كل بيان اعتماد مسروق هو نقطة دخول محتملة لهجوم ببرنامج فدية أو عملية تجسس مؤسسي أو مخطط احتيال مالي أو سرقة هوية. برمجيات سرقة المعلومات هي سلسلة التوريد التي تغذي المنظومة الإجرامية السيبرانية بأكملها، وقد جعلها التصنيع عبر نموذج البرمجيات الخبيثة كخدمة (MaaS) متاحة فعلياً لأي شخص مستعد للدفع.

داخل منظومة برمجيات سرقة المعلومات

يهيمن على مشهد برمجيات سرقة المعلومات الحديث حفنة من عائلات البرمجيات الخبيثة التي تعمل كخدمات تجارية — Lumma وRedLine وStealC وRaccoon وVidar. أكبر ثلاثة — Lumma وStealC وRedLine — كانوا مسؤولين عن أكثر من 75% من الأجهزة المصابة في 2024، وفقاً لـ KELA. يقدم كل منها مجموعة ميزات مختلفة قليلاً، لكن نموذج العمل متسق بشكل لافت: خدمة قائمة على الاشتراك توفر ملفات البرمجيات الخبيثة الثنائية ولوحة إدارة لتتبع الإصابات وأدوات لتنظيم البيانات المسروقة وبيعها.

Lumma Stealer: رائد السوق

برز Lumma Stealer (المعروف أيضاً بـ LummaC2) كأغزر برمجيات سرقة المعلومات في 2024-2025، حيث أفادت ESET بارتفاع 369% في الاكتشافات بين النصفين الأول والثاني من 2024. حددت Microsoft أكثر من 394,000 جهاز Windows مصاب عالمياً بـ Lumma خلال فترة شهرين فقط بين مارس ومايو 2025. وادعى مطور البرمجية الخبيثة وجود حوالي 400 عميل نشط يشترون عروضها كخدمة.

يُباع Lumma عبر نموذج اشتراك متدرج: 250 دولاراً شهرياً للحزمة القياسية، يرتفع إلى 1,000 دولار للميزات المتقدمة بما في ذلك الإصدارات المخصصة وتقنيات التهرب المتقدمة، مع حزمة عليا بقيمة 20,000 دولار تمنح الوصول إلى الشيفرة المصدرية وحقوق إعادة البيع. تستهدف البرمجية الخبيثة مخازن بيانات الاعتماد في المتصفحات وملفات محافظ العملات المشفرة وإضافات المصادقة الثنائية وعملاء FTP وعملاء البريد الإلكتروني وملفات تعريف الارتباط للجلسات. تضمنت الإصدارات الأخيرة تقنيات مضادة للتحليل تكشف بيئات الاختبار المعزولة والأجهزة الافتراضية وأدوات الباحثين الأمنيين.

في مايو 2025، قادت وحدة الجرائم الرقمية في Microsoft عملية تعطيل عالمية ضد Lumma، واستولت على حوالي 2,300 نطاق خبيث بالتنسيق مع Europol ومكتب التحقيقات الفيدرالي ووزارة العدل الأمريكية. غير أن التعطيل كان مؤقتاً — رصدت Trend Micro مئات عناوين URL جديدة للتحكم والقيادة تظهر في الأسابيع التالية لعملية الإزالة، وبحلول أواخر 2025، أفادت ESET أن البرمجية تعافت جزئياً، رغم أن الاكتشافات في النصف الثاني من 2025 انخفضت بنسبة 86% عن ذروتها.

RedLine وRaccoon: اللاعبان الراسخان

RedLine Stealer، الذي حُدد لأول مرة في مارس 2020، أصبح ما وصفته ESET بأغزر برمجيات سرقة المعلومات في التاريخ، مسؤولاً عن 51% من جميع إصابات برمجيات سرقة المعلومات من 2020 إلى 2023 وفقاً لأبحاث Kaspersky. في أكتوبر 2024، عطّلت عملية Magnus — جهد مشترك بين الشرطة الهولندية ومكتب التحقيقات الفيدرالي وأجهزة أخرى — البنية التحتية لـ RedLine، واستولت على خوادم ونطاقات وقنوات Telegram. رغم ذلك، لا يزال RedLine قيد الاستخدام النشط.

تعرض Raccoon Stealer لتعطيل كبير عند اعتقال مشغّله الرئيسي، المواطن الأوكراني Mark Sokolovsky، في هولندا في مارس 2022. كان Sokolovsky، الذي كان يؤجر Raccoon بـ 200 دولار شهرياً عبر العملات المشفرة، قد حُكم عليه في النهاية بخمس سنوات في السجن الفيدرالي بعد ربط دوره بأكثر من 52 مليون بيان اعتماد مستخدم مخترق. رغم الاعتقال، استأنفت نسخة مُعاد بناؤها من البرمجية عملياتها.

نموذج البرمجيات الخبيثة كخدمة

حوّل نموذج تسليم البرمجيات الخبيثة كخدمة (MaaS) برمجيات سرقة المعلومات من أدوات للقراصنة المهرة إلى منتجات سلعية متاحة للمجرمين منخفضي المهارة. مقابل حوالي 250 دولاراً شهرياً — أقل من كثير من اشتراكات البرمجيات المشروعة — يحصل المشترك على الملف الثنائي للبرمجية الخبيثة ولوحة إدارة مبنية على الويب لتتبع الإصابات وتنظيم البيانات المسروقة وأدوات التوزيع والدعم التقني. بعض الخدمات تقدم حتى خدمة عملاء متجاوبة عبر قنوات Telegram.

دفع هذا التسليع النمو الانفجاري في نشاط برمجيات سرقة المعلومات. انهارت حواجز الدخول لسرقة بيانات الاعتماد إلى ما يقرب من الصفر، والاقتصاديات مواتية بشكل ساحق للمهاجمين. اشتراك واحد يمكنه حصاد بيانات اعتماد من آلاف الضحايا، حيث تبلغ قيمة كل مجموعة بيانات اعتماد من بضعة سنتات (لحسابات المستهلكين منخفضة القيمة) إلى آلاف الدولارات (لبيانات اعتماد VPN أو مسؤول السحابة المؤسسي).

سلسلة القتل: من الإصابة إلى الاستغلال

فهم كيف تعمل برمجيات سرقة المعلومات ضروري للدفاع ضدها. تتبع سلسلة القتل النموذجية نمطاً متوقعاً، رغم أن التفاصيل تختلف حسب عائلة البرمجية الخبيثة وطريقة التوزيع.

التوزيع

تصل برمجيات سرقة المعلومات إلى الضحايا عبر نواقل متعددة. أكثرها شيوعاً تشمل الإعلانات الخبيثة (Malvertising) التي تعيد التوجيه إلى صفحات تنزيل برامج مزيفة، وتسميم نتائج محركات البحث (SEO Poisoning) الذي يضع مواقع خبيثة في نتائج البحث لاستعلامات البرامج الشائعة، ورسائل التصيد الاحتيالي مع مرفقات مصابة، وقنوات توزيع البرامج المشروعة المخترقة. تقنية فعالة بشكل خاص خلال 2024-2025 تضمنت صفحات CAPTCHA مزيفة — ما يُسمى هجمات “ClickFix” — حيث يُخدع المستخدمون لتنفيذ أوامر خبيثة أثناء اعتقادهم أنهم يكملون عملية تحقق بشري.

حصاد بيانات الاعتماد

بمجرد تنفيذها على نظام الضحية، تستخرج برمجية سرقة المعلومات البيانات المخزنة بسرعة. تخزن المتصفحات الحديثة بيانات الاعتماد في قواعد بيانات مشفرة، لكن مفاتيح التشفير متاحة لأي عملية تعمل بصلاحيات المستخدم. تفك البرمجية الخبيثة تشفير كلمات المرور المخزنة في المتصفح وبيانات الملء التلقائي وأرقام بطاقات الائتمان وسجل التصفح وتُسرّبها في ثوانٍ. محافظ العملات المشفرة وتكوينات VPN وبيانات اعتماد FTP وبيانات عملاء البريد الإلكتروني مستهدفة أيضاً.

سرقة رموز الجلسات

ربما تكون أخطر قدرات برمجيات سرقة المعلومات الحديثة هي سرقة رموز الجلسات. عندما يصادق مستخدم على خدمة ويب — حتى مع المصادقة متعددة العوامل — تصدر الخدمة ملف تعريف ارتباط جلسة يسمح بالطلبات اللاحقة دون إعادة المصادقة. تلتقط برمجيات سرقة المعلومات ملفات تعريف الارتباط هذه، التي يمكن استيرادها إلى متصفح المهاجم لتولي جلسة الضحية المصادق عليها. هذا يتجاوز المصادقة متعددة العوامل بالكامل: لا يحتاج المهاجم أبداً لتقديم العامل الثاني لأنه يستخدم جلسة أكملت المصادقة بالفعل.

وفقاً لـ SpyCloud، حُصد ما متوسطه 1,861 ملف تعريف ارتباط لكل إصابة ببرمجية سرقة معلومات في 2024. وأكدت Microsoft أن 80% من الاختراقات الأخيرة التي تتضمن تجاوز المصادقة متعددة العوامل حدثت عبر إساءة استخدام رموز الجلسات. التقنية خطيرة بشكل خاص لأنها تعمل بغض النظر عن طريقة المصادقة المستخدمة — المفاتيح المادية وتطبيقات TOTP والإشعارات الفورية ورسائل SMS تصبح جميعها غير ذات صلة بمجرد سرقة الجلسة المصادق عليها.

تحويل البيانات إلى أموال

تُنظَّم بيانات الاعتماد المسروقة عادةً في “سجلات” (Logs) — حزم بيانات منظمة تحتوي على جميع المعلومات المستخرجة من نظام ضحية واحدة. تُباع هذه السجلات في أسواق متخصصة وقنوات Telegram حيث يمكن للمشترين البحث عن أهداف محددة — نطاق شركة معينة أو مزود بريد إلكتروني محدد أو بيانات اعتماد لخدمة معينة. تتفاوت الأسعار بشكل كبير بناءً على قيمة المحتويات، من بضعة دولارات لحزم حسابات المستهلكين إلى مئات أو آلاف الدولارات لبيانات اعتماد الوصول المؤسسي.

العلاقة مع برامج الفدية

العلاقة بين برمجيات سرقة المعلومات وبرامج الفدية ليست مجرد ارتباط — إنها اعتماد مباشر في سلسلة التوريد. وجد تقرير M-Trends 2025 الصادر عن Mandiant أن بيانات الاعتماد المسروقة كانت ثاني أكثر ناقل إصابة أولي شيوعاً في 2024، حيث شكّلت 16% من جميع التحقيقات — أعلى مستوى تصل إليه هذه الفئة على الإطلاق. وبالنسبة لهجمات برامج الفدية تحديداً، ربطت Mandiant نسبة 21% من الحوادث ببيانات اعتماد مسروقة.

تعزز بيانات SpyCloud هذه العلاقة: 54% من ضحايا برامج الفدية كانت لديهم بيانات اعتماد مؤسسية مكشوفة سابقاً في سجلات برمجيات سرقة المعلومات، و40% من تلك تضمنت عناوين بريد إلكتروني مؤسسية. ما يقرب من ثلث الشركات التي تعرضت لهجوم ببرنامج فدية كانت قد تعرضت سابقاً لإصابة ببرمجية سرقة معلومات.

تعمل السلسلة كالتالي: تحصد برمجية سرقة معلومات بيانات اعتماد VPN من جهاز شخصي لموظف. تُباع بيانات الاعتماد في سوق. يشتري تابع لبرامج الفدية بيانات الاعتماد ويستخدمها للوصول إلى الشبكة المؤسسية ويجري استطلاعاً وحركة جانبية ويُنشر في النهاية برنامج فدية. يمكن أن تمتد السلسلة بأكملها — من الإصابة الأولية ببرمجية سرقة المعلومات إلى نشر برنامج الفدية — أياماً أو أسابيع، مما يجعل من الصعب ربط الحدثين في تحليل ما بعد الحادثة.

تعني ديناميكية سلسلة التوريد هذه أن الدفاع ضد برامج الفدية يتطلب الدفاع ضد برمجيات سرقة المعلومات — علاقة تفشل كثير من استراتيجيات الأمن المؤسسية في إقامتها.

قاعدة بيانات الـ 149 مليون بيان اعتماد

اكتشاف قاعدة بيانات تحتوي على 149 مليون زوج فريد من تسجيلات الدخول وكلمات المرور — مُجمّعة بالكامل من عمليات برمجيات سرقة المعلومات — يوضح النطاق الذي تحدث به سرقة بيانات الاعتماد.

قاعدة البيانات، التي اكتشفها الباحث الأمني Jeremiah Fowler وكُشف عنها في 23 يناير 2026، لم تكن محمية بكلمة مرور أو مشفرة. تضمنت حوالي 96 غيغابايت من البيانات الخام تشمل رسائل البريد الإلكتروني وأسماء المستخدمين وكلمات المرور وعناوين URL المحددة لمواقع الويب اللازمة لتسجيل الدخول إلى الحسابات. امتدت البيانات عبر خدمات كبرى: 48 مليون حساب Gmail و17 مليون حساب Facebook و4 ملايين تسجيل دخول Yahoo و1.5 مليون مُدخل Microsoft Outlook و900,000 حساب Apple iCloud و420,000 حساب Binance للعملات المشفرة، إلى جانب بيانات اعتماد من مؤسسات تعليمية وأنظمة حكومية ومنصات مواعدة.

لم تكن قاعدة البيانات نتاج اختراق واحد. كانت تجميعاً — مجموعة بيانات مُركّبة جُمعت من ملفات سجلات برمجيات سرقة المعلومات. كان عدد السجلات يتزايد بنشاط أثناء تحقيق Fowler، مما يشير إلى أن البرمجية الخبيثة التي تغذيها لا تزال تعمل. بعد أن نبّه Fowler مزود الاستضافة، أُزيلت قاعدة البيانات — لكن الـ 149 مليون بيان اعتماد شبه مؤكد في أيدي المجرمين بالفعل.

لوجود مثل هذه القواعد تبعات عميقة. فهي تمثل مورداً دائماً يمكن للجهات الفاعلة المعادية الاستعلام منه مراراً، بعد فترة طويلة من السرقة الأولية. حتى لو غيّر المستخدم كلمة مرور مُخترقة، تحتفظ قاعدة البيانات بمعلومات عن أنماط كلمات مرور المستخدم وعناوين بريده الإلكتروني والحسابات المرتبطة التي يمكن استخدامها لهجمات مستهدفة. كما تُمكّن قواعد البيانات من حشو بيانات الاعتماد (Credential Stuffing) على نطاق واسع — محاولات مؤتمتة لتسجيل الدخول إلى خدمات باستخدام أزواج اسم المستخدم/كلمة المرور المسروقة، مستغلةً الممارسة الشائعة لإعادة استخدام كلمات المرور.

استراتيجيات الدفاع: ما الذي يعمل فعلاً

يتطلب الدفاع ضد وباء برمجيات سرقة المعلومات نهجاً متعدد الطبقات يعالج كلاً من الوقاية والتخفيف.

المصادقة متعددة العوامل المقاومة للتصيد

طرق المصادقة متعددة العوامل التقليدية — رسائل SMS وتطبيقات TOTP والإشعارات الفورية — غير فعالة ضد سرقة رموز الجلسات. طرق المصادقة المقاومة للتصيد، خاصة مفاتيح الأمان المادية FIDO2/WebAuthn، تربط المصادقة بالنطاق المحدد وجلسة المتصفح، مما يجعل رموز الجلسات المسروقة غير قابلة للاستخدام على جهاز مختلف. يجب أن يكون نقل الحسابات عالية القيمة إلى المصادقة المقاومة للتصيد أولوية.

مراقبة بيانات الاعتماد واكتشاف الاختراقات

يجب على المؤسسات مراقبة ظهور بيانات اعتمادها المؤسسية في أسواق سجلات برمجيات سرقة المعلومات بشكل نشط. توفر خدمات مثل SpyCloud وFlare وHudson Rock إنذاراً مبكراً عند اكتشاف بيانات اعتماد الموظفين في الأسواق السرية، مما يتيح إعادة تعيين كلمات المرور وإبطال الجلسات بشكل استباقي قبل استغلال بيانات الاعتماد.

تعزيز أمان المتصفح

يجب أن تُعطّل سياسات إدارة المتصفح المؤسسي أو تُقيّد تخزين كلمات المرور في المتصفحات، وتفرض استخدام مديري كلمات المرور المؤسسيين، وتُطبّق سياسات تمسح ملفات تعريف ارتباط الجلسات عند إغلاق المتصفح للتطبيقات الحساسة. يمكن لتقنيات عزل المتصفح منع برمجيات سرقة المعلومات من الوصول إلى مخازن بيانات الاعتماد عبر تشغيل جلسات المتصفح في بيئات بعيدة.

حماية نقاط النهاية

يجب تكوين منصات الكشف والاستجابة عند نقاط النهاية (EDR) الحديثة لاكتشاف أنماط سلوك برمجيات سرقة المعلومات — الوصول السريع لمخازن بيانات الاعتماد والاتصال بالبنية التحتية المعروفة للتحكم والقيادة وتجهيز البيانات المشبوه. غير أن السرعة التي تعمل بها برمجيات سرقة المعلومات (تُكمل عادةً استخراج بيانات الاعتماد في ثوانٍ) تعني أن الكشف يجب أن يُكمَّل بضوابط وقائية.

سياسات الأجهزة الشخصية

كثير من إصابات برمجيات سرقة المعلومات تحدث على أجهزة شخصية خارج ضوابط أمان المؤسسة. وجد SpyCloud أن ما يقرب من 50% من المستخدمين المؤسسيين أُصيبوا ببرمجيات خبيثة عبر جهاز شخصي أو متعلق بالعمل. إذا استُخدمت تلك الأجهزة الشخصية للوصول إلى الموارد المؤسسية — VPN والبريد الإلكتروني والخدمات السحابية — يمكن استخدام بيانات الاعتماد المسروقة ضد البيئة المؤسسية. تحتاج المؤسسات إلى سياسات واضحة حول وصول الأجهزة الشخصية إلى الموارد المؤسسية، مقترنة بضوابط وصول مشروطة تحد من المصادقة من الأجهزة غير المُدارة.

إدارة الجلسات

تطبيق مهل أقصر لانتهاء الجلسات وربطها ببصمات الأجهزة ونشر آليات التحقق المستمر من الجلسات يمكن أن يحد من النافذة التي تكون فيها رموز الجلسات المسروقة مفيدة. بينما تخلق هذه التدابير احتكاكاً للمستخدمين الشرعيين، فإن المفاضلة مبررة للتطبيقات عالية القيمة والحسابات الإدارية.

مشكلة النطاق

يقدم وباء برمجيات سرقة المعلومات تحدياً يتجاوز البرنامج الأمني لأي مؤسسة بمفردها. مع اختراق 3.9 مليار بيان اعتماد في سنة واحدة واكتشاف قواعد بيانات بـ 149 مليون بيان اعتماد جالسة غير محمية على الإنترنت المفتوح، فإن المخاطر المنهجية على الاقتصاد الرقمي واضحة. كل بيان اعتماد مسروق هو نقطة دخول محتملة، والحجم يضمن أنه حتى المؤسسات ذات الممارسات الأمنية القوية ستجد موظفين تُخترق حساباتهم الشخصية — وأحياناً بيانات اعتمادهم المؤسسية.

معالجة هذا التحدي على نطاق واسع يتطلب تنسيقاً بين بائعي الأمن ومشغّلي المنصات وجهات إنفاذ القانون والمؤسسات التي هي أهداف ومستجيبون أوائل في آن واحد. أظهر تعطيل Lumma Stealer في مايو 2025 — الذي شمل Microsoft وEuropol ومكتب التحقيقات الفيدرالي وشركات أمنية متعددة — إمكانيات العمل المنسق وقيوده. يتطلب أيضاً اعترافاً صريحاً بأن النموذج الحالي للمصادقة القائمة على بيانات الاعتماد — حيث يمنح كلمة مرور أو رمز جلسة مسروق وصولاً كاملاً — غير كافٍ جوهرياً لبيئة التهديدات الحالية. وباء برمجيات سرقة المعلومات ليس مشكلة برمجيات خبيثة؛ إنه مشكلة بنية مصادقة، وحلّه يتطلب إعادة التفكير في كيفية عمل الهوية الرقمية في أساسها.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Lumma Stealer: Breaking Down the Delivery Techniques and Capabilities — Microsoft Security Blog
• Disrupting Lumma Stealer: Microsoft Leads Global Action — Microsoft On the Issues
• Understanding the Infostealer Epidemic in 2025 — KELA Cyber Threat Intelligence
• SpyCloud 2025 Identity Exposure Report — SpyCloud
• 149 Million Logins and Passwords Exposed in Infostealer Database — TechRepublic
• M-Trends 2025: Data, Insights, and Recommendations From the Frontlines — Mandiant / Google Cloud
• Lumma Stealer: A Fast-Growing Infostealer Threat — ESET