اختراق Odido الضخم: عندما يرفض عملاق الاتصالات الدفع وتُسرَّب ملايين السجلات على الويب المظلم

ثُلث أمة مكشوف

في سجلات اختراقات البيانات الأوروبية، تبرز حادثة Odido — ليس فقط بحجمها، بل بالمعضلة الأخلاقية التي فرضتها والسابقة التي أرستها. عندما أعلنت شركة الاتصالات الهولندية العملاقة أن جهات تهديد قد استخرجت سجلات تخص 6.2 مليون عميل — أي ما يقارب ثُلث سكان هولندا البالغ عددهم 18.1 مليون نسمة — أثارت نقاشاً وطنياً حول حماية البيانات والمسؤولية المؤسسية والحسابات المستحيلة لدفع الفدية.

Odido، المعروفة سابقاً باسم T-Mobile Netherlands قبل إعادة تسميتها في سبتمبر 2023، هي أكبر مشغل للهاتف المحمول في هولندا من حيث الدقائق المستهلكة، بقاعدة عملاء تبلغ نحو 7 ملايين عميل عبر علامتيها التجاريتين Odido وBen. استحوذت شركتا الاستثمار Apax Partners وWarburg Pincus على الشركة من Deutsche Telekom وأعادتا تسميتها للتخلص من ارتباطها بالشركة الأم الألمانية. الاختراق، المنسوب إلى مجموعة التهديد الغزيرة الإنتاج ShinyHunters، اخترق نظام إدارة علاقات العملاء (CRM) القائم على Salesforce والذي احتوى على مجموعة بيانات شاملة: أسماء العملاء، وتواريخ الميلاد، وعناوين البريد الإلكتروني، وأرقام الهواتف، والعناوين الفعلية، وأرقام الحسابات المصرفية IBAN، والأهم من ذلك، أرقام وثائق الهوية وتواريخ انتهائها من جوازات السفر وبطاقات الهوية الوطنية ورخص القيادة التي قدمها العملاء للتحقق من هويتهم.

نطاق البيانات المكشوفة يجعل هذا أكثر من مجرد اختراق عادي. أرقام IBAN تُمكّن من الاحتيال المصرفي. أرقام وثائق الهوية الحكومية — رغم أنها ليست نسخاً أو صوراً فعلية للوثائق — توفر البيانات اللازمة لارتكاب احتيال الهوية، بما في ذلك فتح حسابات والتقدم بطلبات خدمات بأسماء الضحايا. الجمع بين الاثنين، مقروناً ببيانات شخصية شاملة، يُنشئ حزمة هوية شبه كاملة يمكن استغلالها لسنوات.

هجوم ShinyHunters

ShinyHunters هي واحدة من أكثر مجموعات اختراق البيانات إنتاجاً في السنوات الأخيرة. يُعتقد أن المجموعة تشكلت في 2019، وهي مسؤولة عن اختراقات مؤكدة لـ Ticketmaster (560 مليون سجل عميل في 2024)، وSantander Bank (30 مليون سجل عميل في 2024)، وAT&T (بيانات مكالمات وصفية لنحو 110 مليون عميل، أيضاً في 2024). ارتبطت اختراقات Ticketmaster وSantander باستغلال بيئات Snowflake السحابية باستخدام بيانات اعتماد مسروقة عبر برمجيات سرقة المعلومات (infostealer) — نمط يؤكد الطبيعة المترابطة للجريمة السيبرانية الحديثة.

اختراق Odido، الذي وقع خلال عطلة نهاية الأسبوع في 7-8 فبراير 2026، اتبع أسلوباً مختلفاً لكنه فعّال بالقدر ذاته: الهندسة الاجتماعية. وفقاً للتقارير اللاحقة، حصل المهاجمون أولاً على كلمات مرور الموظفين عبر رسائل تصيد احتيالي موجّهة. ثم اتصلوا بنفس الموظفين، منتحلين صفة قسم تكنولوجيا المعلومات في Odido، وأقنعوهم بالموافقة على طلبات مصادقة متعددة العوامل (MFA) احتيالية. هذه التقنية الكلاسيكية في الهندسة الاجتماعية — التصيد الاحتيالي مقترناً بانتحال الهوية الصوتية — تجاوزت حماية MFA لدى Odido بالكامل دون استغلال أي ثغرة تقنية في منصة Salesforce ذاتها.

بمجرد الدخول، ربط المهاجمون تطبيقاً خبيثاً “متصلاً” ببيئة Salesforce الخاصة بـ Odido، والذي عمل كآلية وصول دائمة تمنحهم وصولاً مباشراً لقاعدة بيانات العملاء. تشير التقارير إلى أن القراصنة تمكنوا من استخراج بيانات قاعدة Salesforce لمدة 48 ساعة تقريباً قبل اكتشاف الوصول غير المصرح به وإنهائه. خلال تلك النافذة الزمنية، استخرجوا بشكل منهجي سجلات العملاء من Odido وعلامتها التابعة Ben.

أوضح متحدث باسم Salesforce أن الشركة “ليس لديها أي مؤشر في هذا الوقت على أن هذه المشكلة ناجمة عن أي ثغرة في منصتنا.” نتج الاختراق بالكامل عن الهندسة الاجتماعية التي استهدفت موظفي Odido.

طلب الفدية — والرفض

بعد تأكيد الاختراق، تلقت Odido طلب فدية من ShinyHunters: أكثر من مليون يورو مقابل حذف البيانات المسروقة والتعهد بعدم نشرها.

بناءً على نصيحة كبار مستشاري الأمن السيبراني والجهات الحكومية المعنية بما فيها الشرطة الوطنية الهولندية، اتخذ مجلس إدارة Odido قرار عدم الدفع. صرحت الشركة علناً بأنها “لن تسمح بابتزازها.” استند القرار إلى عدة عوامل. أولاً، لا توجد طريقة موثوقة للتحقق من أن المهاجمين يحذفون فعلاً البيانات المسروقة بعد تلقي الدفع — فقد يتم نسخ البيانات أو مشاركتها مع شركاء أو الاحتفاظ بها لاستغلالها مستقبلاً. ثانياً، الدفع يُموّل العمليات الإجرامية ويُحفّز هجمات مستقبلية. ثالثاً، عززت الشرطة الوطنية الهولندية هذا الموقف علناً، ناصحةً: “نصيحتنا لضحايا برامج الفدية هي: لا تدفعوا إذا طالب المجرمون بفدية.”

توافق هذا القرار مع إجماع ناشئ بين متخصصي الأمن السيبراني والجهات التنظيمية بأن مدفوعات الفدية في حالات اختراق البيانات غير موثوقة جوهرياً. على عكس هجمات برامج الفدية (ransomware) حيث يُنتج الدفع نتيجة قابلة للتحقق (فك تشفير الملفات)، فإن فدية اختراق البيانات لا تقدم سوى وعد — وعد من مجرمين أثبتوا بالفعل استعدادهم لانتهاك الثقة.

أربعة أيام من تسريب البيانات

ردت ShinyHunters على رفض Odido باستراتيجية إصدار مُتحكَّم بها مصمَّمة لتعظيم الضغط والاهتمام العام. على مدى أربعة أيام متتالية بدءاً من 26 فبراير، نشرت المجموعة البيانات المسروقة على دفعات مُرحَّلة في منتديات الويب المظلم.

احتوت الدفعة الأولى في 26 فبراير على نحو 680,000 سجل عميل فردي و320,000 سجل تجاري — تشمل الأسماء والعناوين المنزلية وأرقام الهواتف وعناوين البريد الإلكتروني ونحو 275,000 رقم حساب مصرفي IBAN. كان مثيراً للقلق بشكل خاص وجود ملاحظات خدمة عملاء داخلية تكشف عن مشكلات دفع وتسجيلات ديون وتفاصيل تحقيقات احتيال. حذرت ShinyHunters من نشر بيانات إضافية خلال الأيام الـ 16 التالية إذا لم تدفع Odido.

في 27 فبراير، صدرت دفعة أخرى بنحو مليون سطر من البيانات، ليبلغ المجموع المنشور مليوني سطر خلال اليومين الأولين. شملت البيانات المسرّبة أرقام حسابات مصرفية وتفاصيل وثائق هوية، مما ولّد تغطية إعلامية واسعة في هولندا.

جلب يوم 28 فبراير الدفعة الثالثة المتتالية. شملت هذه الدفعة نحو 365,000 رقم رخصة قيادة و245,000 رقم بطاقة هوية أوروبية و180,000 رقم جواز سفر. كما رصد صحفيو RTL في هذه الدفعة ملاحظات خدمة عملاء داخلية مفصّلة تصف حالات ملاحقة وتهديدات وعنف منزلي وعناوين محمية — معلومات حذّر مركز العنف المنزلي الوطني Veilig Thuis من أنها قد تؤثر مباشرة على السلامة الجسدية للضحايا.

أكمل يوم 1 مارس التسريب بالبيانات المتبقية، مشكّلاً ما بدا أنه الحصيلة الكاملة. احتوت مجموعة البيانات الكاملة على معلومات أكثر من 6.5 مليون فرد ونحو 600,000 شركة، بما في ذلك أكثر بقليل من 5 ملايين رقم وثيقة هوية فريد من جوازات سفر ورخص قيادة وتصاريح إقامة.

خدمت استراتيجية التسريب المُرحَّل أغراضاً متعددة لـ ShinyHunters. حافظت على اهتمام وسائل الإعلام على مدى فترة ممتدة، وعظّمت الإحراج لـ Odido، وأظهرت اكتمال البيانات للمشترين المحتملين، وعملت كتحذير لضحايا مستقبليين حول عواقب عدم الدفع.

أزمة وثائق الهوية

يمثل كشف أكثر من 5 ملايين رقم وثيقة هوية حكومية البُعد الأكثر خطورة في اختراق Odido. رغم أن الاختراق لم يشمل نسخاً أو صوراً فعلية لهذه الوثائق — وهي حقيقة أكدت عليها Odido — إلا أن أرقام الوثائق وتواريخ انتهائها وحدها توفر مادة كبيرة لاحتيال الهوية. في هولندا، كما في معظم الدول الأوروبية، يُستخدم رقم جواز السفر أو بطاقة الهوية الوطنية بشكل روتيني للتحقق من الهوية. بهذه الأرقام، يمكن للمجرمين محاولة فتح حسابات مصرفية أو التقدم للائتمان أو ارتكاب احتيال بأسماء الضحايا.

على عكس كلمات المرور التي يمكن تغييرها، أو بطاقات الائتمان التي يمكن إلغاؤها وإعادة إصدارها، لا يمكن استبدال أو إبطال رقم الهوية الحكومية بسهولة. لا تعيد الحكومة الهولندية إصدار وثائق الهوية بشكل روتيني استجابةً لاختراقات البيانات، وتظل أرقام الوثائق قابلة للاستخدام طوال فترة صلاحية الوثيقة.

أطلقت النيابة العامة الهولندية تحقيقاً جنائياً في الهجوم السيبراني في 25 فبراير، وأكدت هيئة Autoriteit Persoonsgegevens (هيئة حماية البيانات الهولندية) أنها تراقب الوضع. في غضون ذلك، ظهرت سريعاً مواقع احتيالية تستهدف ضحايا الاختراق بعروض تعويض وهمية — رصدت Consumentenbond موقعاً احتيالياً واحداً على الأقل يدعو الضحايا للانضمام إلى دعوى جماعية مقابل 50 يورو. تسليح الاختراق لاستهداف الضحايا مرة ثانية عبر التصيد الاحتيالي وعمليات الهندسة الاجتماعية هو نتيجة متوقعة لكنها مقلقة.

عرضت Odido على العملاء المتضررين الدعم عبر صفحة حوادث مخصصة وخط دعم، لكن مجموعات الدفاع عن المستهلك وخبراء الأمن انتقدوا هذه الإجراءات باعتبارها غير كافية نظراً لشدة التعرض وديمومته.

ثغرات أنظمة CRM في الاتصالات: مشكلة نظامية

اختراق Odido ليس حادثة معزولة بل هو عَرَض لثغرة نظامية في صناعة الاتصالات. تحتفظ شركات الاتصالات، بحكم طبيعة عملها، ببعض أشمل قواعد بيانات العملاء في أي قطاع. المتطلبات التنظيمية للتحقق من الهوية والفوترة والتعاون مع جهات إنفاذ القانون تعني أن أنظمة CRM في قطاع الاتصالات تحتوي على المزيج الدقيق من البيانات الشخصية والمالية والهوياتية الذي يجعلها أهدافاً عالية القيمة.

عدة عوامل تُضاعف المخاطر. كثير من منصات CRM في قطاع الاتصالات تجمّع بيانات من عمليات تجارية متعددة — تسجيل العملاء، والفوترة، وخدمة العملاء، وتكاملات الشركاء — مما يُنشئ قواعد بيانات مركزية ضخمة حيث تكشف نقطة اختراق واحدة كل شيء. حجم الوصول المشروع للبيانات من ممثلي خدمة العملاء والعمليات الآلية والتكاملات مع أطراف ثالثة يجعل من الصعب التمييز بين الاستعلامات الخبيثة والعمليات العادية.

عانت الصناعة من اختراقات كبرى متكررة في السنوات الأخيرة. تعرضت T-Mobile US لاختراقات في 2021 (40 مليون سجل) و2022 و2023 (37 مليون سجل)، مما أسفر عن تسوية دعوى جماعية بقيمة 350 مليون دولار وغرامة من FCC بقيمة 15.75 مليون دولار. كشفت Optus في أستراليا بيانات 9.8 مليون عميل — ثُلث سكان أستراليا — في 2022 عبر واجهة برمجة تطبيقات (API) غير محمية ومتاحة للعموم. أكدت AT&T في 2024 أن بيانات مكالمات ورسائل وصفية لجميع عملائها البالغ عددهم 110 مليون تقريباً قد تم اختراقها عبر اختراق بيئة Snowflake السحابية.

يشير هذا النمط إلى أن صناعة الاتصالات بحاجة إلى إعادة تقييم جوهرية لكيفية تخزين بيانات العملاء وتقسيمها وحمايتها. ممارسة الاحتفاظ بملفات عملاء شاملة في قواعد بيانات مركزية ضخمة — حيث يكشف اختراق واحد كل شيء — أصبحت غير قابلة للاستمرار في بيئة التهديد الحالية.

الدروس والتداعيات

يقدم اختراق Odido عدة دروس تمتد إلى ما هو أبعد من قطاع الاتصالات.

جدل دفع الفدية

أرسى رفض Odido للدفع سابقة مرئية مدعومة من جهات إنفاذ القانون الهولندية. لكن القرار لم يكن بلا تكلفة. تسبب التسريب على أربعة أيام في ضرر كبير لملايين العملاء الذين باتت أرقام وثائق هويتهم وتفاصيلهم المصرفية، وفي بعض الحالات سجلات العنف المنزلي، متداولة في أسواق الويب المظلم. الحجة المضادة — أن الدفع لا يقدم ضمانات ويموّل المشاريع الإجرامية — سليمة، لكنها عزاء بارد للأفراد المتضررين.

لن يُحل هذا التوتر بقرارات مؤسسية فردية. يتطلب وضوحاً في السياسات من الجهات التنظيمية حول ما إذا كانت مدفوعات الفدية مقبولة ومتى، وأُطراً قانونية تحمي المؤسسات من المسؤولية عند رفض الدفع، واستثماراً في البنية التحتية للهوية التي تجعل أرقام الوثائق المسروقة أقل فائدة للاحتيال.

تقليل البيانات

تضخمت شدة الاختراق بسبب حجم وحساسية البيانات التي احتفظت بها Odido. حقيقة أن نظام CRM احتوى ليس فقط على أرقام وثائق هوية لأكثر من 5 ملايين شخص، بل أيضاً على ملاحظات داخلية حساسة حول حالات عنف منزلي وعناوين محمية، تثير تساؤلات جدية حول ممارسات تقليل البيانات. التطبيق المبدئي لمبدأ تقليل البيانات في GDPR — تخزين البيانات الضرورية فقط لأغراض العمل الحالية — كان سيُقلّص نطاق الضرر.

الهندسة الاجتماعية تظل الحلقة الأضعف

رغم وجود مصادقة متعددة العوامل لدى Odido، تجاوزها المهاجمون عبر انتحال صفة موظفي تكنولوجيا المعلومات هاتفياً — تقنية لا تتطلب أي تطور تقني، بل مهارات تلاعب اجتماعي فحسب. هذا يؤكد أن العامل البشري يظل نقطة الضعف الأساسية في الوضع الأمني لمعظم المؤسسات، وأن MFA وحدها غير كافية دون أساليب مصادقة مقاومة للتصيد وتدريب قوي على الوعي الأمني.

العواقب التنظيمية والقانونية

سيختبر اختراق Odido آليات الإنفاذ العملية لقانون GDPR. مع 6.2 مليون فرد متضرر — أي نحو ثُلث السكان — ستُرسي الاستجابة التنظيمية سوابق لكيفية تعامل السلطات الأوروبية مع الاختراقات الضخمة. سبق أن غُرِّمت Odido بمبلغ 1.5 مليون يورو من قبل Rijksinspectie Digitale Infrastructuur لمخالفات أمنية سابقة، وهذه الحادثة الأكبر بكثير قد تجذب عقوبات أكبر بكثير بموجب إطار GDPR الذي يصل إلى 4% من الإيرادات العالمية السنوية. يضيف التحقيق الجنائي للنيابة العامة الهولندية بُعداً آخر من التعرض القانوني.

ستُدرَس قضية Odido لسنوات كمثال مُحدِّد للاختراق الحديث للبيانات: نطاق هائل، وبيانات حساسة، والهندسة الاجتماعية كمتجه دخول، وابتزاز إجرامي، ومعضلات أخلاقية، وعواقب تمتد إلى ما هو أبعد بكثير من المؤسسة المخترقة لتؤثر على ملايين الأفراد والثقة العامة في الخدمات الرقمية.

المصادر والقراءات الإضافية

• Odido Informs Customers of Cyber Attack — Odido Newsroom
• Dutch Telco Odido Admits 6.2M Customers Affected in Breach — The Register
• Hackers Publish Full Cache of Stolen Odido Customer Data After Ransom Refusal — NL Times
• Odido Salesforce Hack: Up to 6M Customers’ Data at Risk — Salesforce Ben
• Major Hack of Dutch Telco Odido Was a Classic Case of Social Engineering — Techzine
• Odido Data Breach Escalates Into Criminal Probe — Cybernews
• Dutch Cops Back Odido as ShinyHunters Leaks Continue — The Register