من موجة التجزئة إلى تناوب القطاعات
تبدأ قصة Scattered Spider الحديثة في أبريل وماي 2025 مع موجة التجزئة في المملكة المتحدة. وثّقت HackTheBox وCybersecurity Dive الاختراقات شبه المتزامنة في Marks & Spencer وCo-op وHarrods: أرفف فارغة في M&S، وتعليق المدفوعات اللاتلامسية، وتوقفات كلّفت تجار التجزئة نحو 300 مليون جنيه تراكمياً. أفادت Computer Weekly بأن فريق استخبارات التهديدات في Google أكّد أن العنقود نفسه كان يستهدف بالفعل تجار التجزئة الأمريكيين.
بحلول يونيو 2025، كانت المجموعة قد انتقلت إلى الطيران. تُشير استعادة BlackFog إلى هجمات على Hawaiian Airlines وWestJet ومركز اتصالات طرف ثالث لـ Qantas، كلها مرتبطة بنفس TTPs. بعد الطيران، انجرفت المجموعة نحو انتحال MSPs وموردي IT — وثّقت Infosecurity Magazine التحوّل إلى انتحال tech-vendor لاستهداف مكاتب الدعم، وأشارت HIPAA Journal إلى نشاط مركّز على MSP مع آثار مباشرة للرعاية الصحية.
يحدد منظور IT Pro لعام 2026، استناداً إلى تقييمات Sophos وTrend Micro لعام 2026، وملف تهديد من US Department of Health and Human Services، الرعاية الصحية كالقطاع التالي المرجّح للاستهداف المركّز.
هذا يمنح المدافعين شيئاً غير عادي في تتبع الفدية: تناوب قطاعات مُسمّى علناً مع أشهر من المهلة للاستعداد.
سلسلة الهجوم لم تتغيّر جوهرياً
اتّبع كل قطاع ضربته هذه المجموعة — التجزئة والطيران والتأمين وMSPs، والآن الرعاية الصحية — سلسلة الهجوم نفسها تقريباً. تتقارب استعادة حملة ExtraHop وتقييم Muddled Libra من Palo Alto Unit 42 على المراحل نفسها:
- الوصول الأولي عبر الهندسة الاجتماعية لمكتب الدعم. يتصل المهاجم بمكتب دعم IT للمستهدف مدّعياً أنه موظف شرعي أو MSP متعاقد. يستغل عمليات التحقق الضعيفة — يعرف المتصل اسم الموظف ودوره ومديره — ويُقنع مكتب الدعم بإعادة تعيين MFA أو إصدار كلمة مرور.
- SIM swap لهزم MFA عبر SMS حيثما وُجد. بالتوازي أو لاحقاً، يستخدم المهاجم وصول insider حامل من شركة اتصالات تم شراؤه سابقاً لنقل رقم الضحية إلى جهاز مُتحكَّم به.
- حصاد بيانات الاعتماد والوصول إلى وحدة تحكم السحابة. بوجود موطئ قدم واحد، ينتقل المهاجم إلى Okta أو Entra أو Workspace أو Azure ويبدأ في إحصاء تطبيقات SaaS الموحّدة — Salesforce وSnowflake وServiceNow وSlack.
- تسريب البيانات عبر API SaaS شرعية. بدلاً من إطلاق برامج ضارة مخصصة، يستخدمون قدرات تصدير Salesforce واستعلام Snowflake الخاصة بالضحية لتسريب البيانات بهدوء.
- نشر encryptor من DragonForce أو RansomHub. توثّق أبحاث Resilience علاقات الانتساب للمجموعة مع عدة مشغلي فدية، مما يمنحها القدرة على اختيار ماركة encryptor التي تناسب ارتباطاً معيناً.
لا شيء في هذه السلسلة يتطلب zero-days. يتطلب مكتب دعم مستعداً لإعادة تعيين MFA عبر الهاتف، وinsider شركة اتصالات قادراً على SIM swap، وSSO موحّد بدون فرض عوامل مقاومة للتصيد. هذا هو السقف.
لماذا الرعاية الصحية هي الهدف التالي الواضح
أربعة عوامل هيكلية تشرح التحوّل المتوقع.
- ثقافة مكتب الدعم. تشغّل المستشفيات مكاتب دعم كبيرة منتشرة جغرافياً مع دوران موظفين مرتفع وضغط قوي لإزالة قيود الأطباء بسرعة. هذا بالضبط البيئة التي تستغلها Scattered Spider أفضل.
- عدم نضج الهوية الموحّدة. معظم شبكات الرعاية الصحية لديها خليط من Active Directory on-prem وMicrosoft Entra وأنظمة هوية خاصة بالقطاع (Epic، Cerner/Oracle Health). MFA المقاوم للتصيد (FIDO2، passkeys، الرموز العتادية) أقل انتشاراً بشكل موحّد من الخدمات المالية.
- رافعة التأثير التشغيلي. التوقف في التجزئة يكلف إيرادات. التوقف في الرعاية الصحية يهدد سلامة المرضى، مما يجعل ضغط الفدية أصعب في المقاومة. حسّنت Scattered Spider باستمرار للرافعة التشغيلية القصوى.
- التعرض للأطراف الثالثة. شبكات الرعاية الصحية متشابكة بعمق مع MSPs ومنتجي مطالبات التأمين وموردي EHR وSaaS متخصصة. يتلاءم الانعطاف الأخير للمجموعة نحو انتحال موردي MSP، وفقاً لـ HIPAA Journal، طبيعياً مع طوبولوجيا سلسلة التوريد للرعاية الصحية.
إعلان
دليل المدافع في الرعاية الصحية
هذه هي القائمة القصيرة من الضوابط التي تكسر سلسلة هجوم Scattered Spider بشكل قابل للإثبات. لا شيء منها جديد؛ كلها غير منشورة بشكل كافٍ في الرعاية الصحية اليوم.
- التحقق خارج النطاق لمكتب الدعم. يجب التحقق من أي طلب لإعادة تعيين MFA أو كلمة المرور عبر قناة لا يمكن للمتصل التحكم بها — عادةً اتصال رجوعي بمدير الموظف على رقم مخزّن في سجلات الموارد البشرية، لا مُقدَّم من المتصل. افرض هذا كسياسة، لا كاقتراح.
- MFA مقاوم للتصيد لكل الموظفين ذوي الوصول المميز. مفاتيح FIDO2 العتادية أو passkeys المنصة للأطباء والمديرين وموظفي IT. OTP عبر SMS والصوت لا يمكنها الصمود أمام SIM swap وينبغي سحبها من سير العمل عالي القيمة.
- Conditional access على السفر المستحيل وتسجيل الدخول من جهاز جديد. تدعمه كل منصة هوية رئيسية بشكل أصلي. إنه أعلى تنبيه إشاري لاختراق Scattered Spider نشط.
- كشف تسريب البيانات SaaS. تُعرض Salesforce وSnowflake وM365 كلها APIs لمراقبة حجم التصدير أو الاستعلام غير العادي. فعّلوها ووجّهوا التنبيهات إلى SOC — لا إلى صاحب التطبيق.
- التجزئة بين الشبكات السريرية والإدارية. الشبكة الصحية المسطحة التقليدية هي البطن اللين. نشر فدية لا يستطيع العبور من أنظمة الموارد البشرية أو مكتب الدعم إلى محطات الأعمال السريرية هو حادث قابل للنجاة جوهرياً.
- فحص الأطراف الثالثة MSP وموردي IT. راجعوا أي علاقة IT خارجية أو MSP لديها صلاحية إعادة تعيين بيانات الاعتماد أو الوصول إلى الأنظمة المميزة. اطلبوا منهم فرض معايير التحقق نفسها لمكتب الدعم، أو اسحبوا الامتياز.
ما الذي ينبغي أن يسمعه القادة من CISO هذا الربع
إذا كانت منظمتكم تدير بنية تحتية للرعاية الصحية أو مطالبات تأمين أو عمليات دافعين، فثلاثة أسئلة تنتمي إلى الاجتماع القادم للمجلس أو لجنة المخاطر التنفيذية:
- «ما التحقق الذي يُجريه مكتب الدعم قبل إعادة تعيين MFA لمتصل؟ هل اختبرناه بمكالمة هندسة اجتماعية واقعية في آخر 90 يوماً؟»
- «هل مديرونا السريريون وموظفو IT يستخدمون MFA مقاوماً للتصيد، أم ما زلنا نعتمد على SMS وpush؟»
- «لو نجح اختراق Scattered Spider غداً عبر مكتب الدعم، أي بيانات SaaS ستخرج من المنظمة، وبأي سرعة سنراها؟»
إذا لم تكن أي من هذه الإجابات ملموسة، فالمنظمة داخل سطح الهدف المحتمل لـ 2026.
أين يترك ذلك المدافعين
Scattered Spider هي التوضيح الأوضح حالياً لكيفية تحوّل الفدية من البرنامج الضار أولاً إلى الهوية أولاً. البرنامج الضار مهم، لكن الاختراق يبدأ بمكالمة هاتفية. تناوب القطاعات — التجزئة، الطيران، MSPs، الرعاية الصحية — هو هدية من المهلة نادراً ما يحصل عليها المدافعون في استخبارات التهديدات. CISO الرعاية الصحية، خاصة، لديهم الأشهر بين أبريل وبقية 2026 لنقل التحقق من مكتب الدعم وMFA المقاوم للتصيد ومراقبة SaaS من الخارطة إلى الإنتاج. المنظمات التي تستخدم طلقة التحذير في موقع مختلف جداً عن تلك التي تكتشف الدرس عبر حادث.
الأسئلة الشائعة
هل Scattered Spider هي المجموعة نفسها مثل Muddled Libra وUNC3944؟
نعم. Scattered Spider هو الاسم المحايد تجاه الموردين لعنقود تهديد تتبّعه Mandiant كـ UNC3944، وPalo Alto Unit 42 كـ Muddled Libra، وMicrosoft كـ Octo Tempest، وموردون آخرون كـ Starfraud. المجموعة في معظمها شابّة، ناطقة بالإنجليزية، موجّهة بالهندسة الاجتماعية، وقد بدّلت انتماءاتها عبر ماركات فدية بما فيها ALPHV/BlackCat وRansomHub وDragonForce.
ما الذي يميّز هذه المجموعة عن شركاء الفدية التقليديين؟
ثلاثة أشياء. أولاً، يتقدمون بالهندسة الاجتماعية ضد مكاتب الدعم والأفراد بدلاً من استغلال ثغرات الخوادم. ثانياً، يفضّلون تسريب البيانات عبر APIs SaaS الشرعية (Salesforce، Snowflake) على إطلاق برامج ضارة مخصصة. ثالثاً، يدورون عبر القطاعات منهجياً — التجزئة، الطيران، MSPs، والآن الرعاية الصحية — مما يتيح للمدافعين التنبؤ بالهدف المحتمل التالي.
إذا لم نكن نعمل في الولايات المتحدة أو المملكة المتحدة، فهل ينبغي أن نستعد؟
نعم. تقنيات المجموعة ليست خاصة بالجغرافيا. تشارك الشركات متعددة الجنسيات العاملة في الجزائر ومنطقة MENA وإفريقيا طوبولوجيات SSO ومكتب الدعم وMSP نفسها التي تستغلها Scattered Spider، والممثلون المقلدون الذين يدرسون هذه الاختراقات نشطون بشكل متزايد عالمياً. الدليل الدفاعي هو نفسه بغض النظر عن منطقة عملياتكم الأساسية.
المصادر والقراءات الإضافية
- Scattered Spider تطوّرت بشكل هائل في 2025 — IT Pro
- ما نعرفه عن المجموعة السيبرانية Scattered Spider — Cybersecurity Dive
- 300 مليون جنيه ذهبت: كيف ضربت Scattered Spider أكبر تجار التجزئة البريطانيين — HackTheBox
- هجمات Scattered Spider على التجزئة تنتشر إلى الولايات المتحدة، بحسب Google — Computer Weekly
- شبكة Scattered Spider المتوسعة من هجمات الفدية — BlackFog
- حملة Scattered Spider المتواصلة — ExtraHop
- تقييم تهديد Muddled Libra — Palo Alto Unit 42
- Scattered Spider تستخدم انتحال هوية tech-vendor لاستهداف مكاتب الدعم — Infosecurity Magazine
- MSPs وموردو IT مستهدفون بواسطة Scattered Spider — HIPAA Journal
- باحثو Resilience يحددون حملات جديدة لـ Scattered Spider — Resilience
