استرجاع الملفات بعد هجوم الفدية: الترتيب والدفع

أربع مشكلات لا واحدة: لماذا يتعطّل التعافي في الأسبوع الثالث

كلمة «تعافٍ» تخفي أربعة أعمال مختلفة. البيانات: الملفات وقواعد البيانات وصناديق البريد والتخزين الكائني والنسخ الاحتياطية نفسها. السؤال ليس هل توجد نسخة، بل هل هي أقدم من أول دخول للمهاجم، وهل جرّب أحد استرجاعها فعلًا. الأنظمة: أنظمة التشغيل والافتراضية وخدمات النطاق والتطبيقات التي تجعل البيانات ذات معنى، والإعدادات التي تربطها. قاعدة بيانات مستعادة على خادم مُعاد بناؤه بصلاحيات حساب خدمة خاطئة ليست تعافيًا، بل وجود. الهوية: كلمات المرور والرموز والجلسات والشهادات وحسابات الخدمة وعلاقات الاتحاد وكل مكان ترك فيه المهاجم مفتاحًا تحت السجادة. الثقة: ما يحتاجه العميل والجهة التنظيمية والتأمين وموظفوك ليصدقوا أن البيئة نظيفة، وهو مشكلة دليل لا مشكلة تقنية، والدليل يُجمع والحطام ما زال موجودًا.

في بيانات مسح 2026 على 2158 مؤسسة في 17 دولة (الربع الأول من العام)، كان الدخول عبر هوية مسروقة هو نقطة البداية في 79% من الهجمات، ومن بين هؤلاء كان لدى 97% منهم مصادقة متعددة العوامل في مكان ما من مؤسستهم. الفارق ليس في الشراء بل في التغطية والإنفاذ: حساب مسؤول واحد بلا عامل ثانٍ يكفي. وهذا الرقم هو سبب أن الهوية تُعالَج قبل البيانات لا بعدها. مؤسسة يمكنها استعادة كل بايت ويفشل تعافيها لأنها أعادت بيئة ما زال المهاجم يملك بيانات دخولها؛ ومؤسسة أخرى تفقد جزءًا كبيرًا من بياناتها وتنجو تجاريًا لأن ما يهم كان في نظام له نسخة قديمة مُختبَرة. الفرق بين الحالتين ليس الميزانية، بل معرفة أي حالة أنت فيها خلال اليوم الأول.

ولذلك فإن أول عمل إداري في الحادثة ليس الاتصال بمورّد فك تشفير، بل تسمية أربعة أشخاص: من يملك قرار العزل، ومن يملك قرار الدفع، ومن يخاطب الجهة التنظيمية، ومن يخاطب العملاء. في مؤسسة صغيرة قد يكون هذان شخصين، وهذا مقبول، بشرط أن يكون مكتوبًا قبل الساعة الثانية صباحًا. الحادثة التي يُبحث فيها عن صاحب القرار أثناءها تخسر ساعات في نقاش داخلي لا ينتج قرارًا.

أول ثلاثون دقيقة: العزل قبل أي شيء آخر

الترتيب هنا محسوم في كل مرجع تشغيلي معتبر، ومنه دليل StopRansomware الذي تنشره وكالة الأمن السيبراني الأمريكية مع MS-ISAC وNSA وFBI (نسخته الحالية سبتمبر 2023): اعرف ما تأثر واعزله، عزلًا منسقًا لا سباقًا إلى نزع كابلات جهازًا جهازًا. إذا بدا أن عدة شبكات فرعية مصابة، فالعزل على مستوى المحوّل لا على مستوى الجهاز. والسبب عملي: العزل الفردي يستغرق وقتًا يشتغل فيه المشفّر على المشاركات الشبكية، والمشاركة التي تُشفَّر تُشفَّر بالكامل قبل أن يصل الدور إلى الجهاز الخامس.

والقاعدة الثانية هي الأكثر مخالفة في الممارسة: لا تُطفئ الجهاز. إيقاف التشغيل يمحو الذاكرة، والذاكرة تحمل في بعض العائلات المفتاح نفسه، والشيفرة المحقونة، وحالة الاتصالات، ومقابض الملفات التي تثبت ما كان مفتوحًا. الأفضل فصل الشبكة وترك الجهاز يعمل، أو تعليقه إذا كان لا بد من إيقافه، لأن التعليق يكتب محتوى الذاكرة إلى القرص ويحفظه للتحليل. الجهاز الذي أُعيد تشغيله في الدقيقة الأولى يفقد أكثر مما يوفّر.

ثلاث خطوات تُنسى في هذه الدقيقة وتكلّف أسبوعًا:

• افصل أهداف النسخ الاحتياطي أولًا. لا تدخل إلى خادم النسخ لتُغلقه من واجهته، اسحب كبله أو أعزل منفذه. الدخول إليه ببيانات الدخول نفسها التي يملكها المهاجم يعني أنك تفتح له الباب ليشفّر آخر نسخة سليمة.
• أوقف المهام المجدولة. مهام النسخ وتدوير السجلات وحذف الملفات المؤقتة والصيانة على الأنظمة المتأثرة. مهام النسخ التي تعمل بعد بدء التشفير تكتب نسخة مشفّرة فوق نسخة سليمة، فيصبح آخر ما تملك هو أسوأ ما تملك.
• صوّر مذكرة الفدية بهاتفك. لا بلقطة شاشة تُحفظ على الجهاز المصاب، ولا بطباعة. صورة بهاتف جهاز آخر تحفظ النص والاسم والامتداد والعنوان، ويمكن نقلها إلى وسيط نظيف فورًا.

وأخيرًا الاتصال. مجموعة محادثة على هاتف شخصي أفضل من بريد الشركة، لأن بريد الشركة قد يكون تحت سيطرة المهاجم أو خارج الخدمة. وقائمة من يُبلَّغ في الساعة الأولى يجب أن تكون قصيرة: من ينفّذ العزل، ومن يقرر، ومن يوكل التحقيق. الإبلاغ الواسع في الدقيقة العشرين يُنتج عشرين نسخة من المذكرة على عشرين جهازًا وضغطًا لإعادة التشغيل، وهو ما لا تحتاجه.

الساعة الأولى: الدليل قبل التنظيف

كل تنظيف يبدأ قبل جمع الدليل يمحو شيئًا لا يمكن استعادته. المطلوب في الساعة الأولى ليس تحقيقًا كاملًا، بل خمسة أشياء من عيّنة ممثِّلة: صورة ذاكرة، وصورة قرص لجهاز أو اثنين، وتصدير سجلات أداة الحماية، ونسخة من مذكرة الفدية وملفين مشفّرين مع أصل واحد غير مشفّر، وسلم زمني مبدئي.

لماذا هذه الأشياء بالتحديد؟ ملفان مشفّران مع أصل واحد هما ما يحتاجه أي مطابق آلي لتحديد العائلة ومحاولة استنتاج طريقة التشفير. ومذكرة الفدية تحمل اسم العائلة وعنوان التواصل، وكثيرًا ما تحمل بصمة يمكن مطابقتها في قواعد عامة. وسجلات الحماية تعطي العملية التي شفّرت والحساب الذي شغّلها والاتصال الخارجي الذي سبقها. وسجل الأحداث يعطي وقت أول دخول، وهو الرقم الذي يقرر أي نسخة احتياطية يمكن الوثوق بها لاحقًا. أما الذاكرة فهي الشيء الوحيد الذي لا يمكن استعادته بعد إعادة التشغيل أو بعد إغلاق البرامج.

وهنا تفصيل يُهمل: نوافذ الاحتفاظ قصيرة. سجلات جدار الحماية قد تكون سبعة أيام أو ثلاثين، وسجلات الشبكة الخاصة قد تدور أسبوعيًا، وسجلات النطاق قد تُستبدل حسب حجمها لا حسب تاريخها. لهذا فإن أول طلب تقني في الحادثة هو تعطيل التدوير أو نسخ السجلات إلى وسيط خارجي، لا تحليلها. السجل الذي يُحلَّل بعد أن دار ليس سجلًا.

ولا تحذف المذكرة بعد قراءتها، ولا «نظّف» الجهاز بأداة إزالة برامج ضارة قبل أن تحصل على صورة، ولا تُعد تثبيت النظام في الساعة الأولى. السبب ليس شعائريًا: بعض التحاليل تُعيد بناء طريقة التشفير من آثار البرنامج على القرص، وإزالة البرنامج تُزيل الأثر. وإذا كان الدفع مطروحًا لأي سبب، فإزالة البرنامج قبل وصول المفتاح قد تفقدك القدرة على استخدامه، وهي نقطة تذكرها بعض الأدلة التجارية وتُسقطها أخرى.

من عائلته؟ الامتداد والمذكرة والبصمة

معرفة العائلة ليست فضولًا أكاديميًا. هي التي تحدد إن كان هناك فك تشفير مجاني، وإن كانت هذه المجموعة تسرق البيانات قبل التشفير، وإن كان أسلوب دخولها معروفًا (ثغرة في جهاز شبكة خاص، أو سطح مكتب بعيد مكشوف، أو بريد تصيّد، أو حساب مورّد)، وإن كان سلوكها التفاوضي معروفًا. الأربعة يحددون خطة الأسبوع كله.

الطريق العملي أربع خطوات. أولًا الامتداد: امتداد موحّد لكل الملفات مثل .locked أو .akira أو اسم المجموعة نفسه، وبعض العائلات لا تضيف امتدادًا بل تغيّر الأسماء فقط. ثانيًا اسم المذكرة: README.txt أو HOW_TO_DECRYPT.txt أو restore-files.txt أو ملف بامتداد صفحة ويب، والاسم نفسه بصمة. ثالثًا العنوان المذكور: موقع في شبكة تور أو معرّف محادثة، وهو ما يربط الحالة بمجموعة معروفة أو بمنتحل يستخدم اسمها. رابعًا المطابقة الآلية: خدمة ID Ransomware تطلب ملفًا مشفّرًا وتُعيد العائلة واحتمال وجود فك تشفير، ومشروع No More Ransom يوفّر أداة Crypto Sheriff التي تقارن ملفين مشفّرين بأصل واحد وتُعيد النتيجة.

والحد الذي يجب قوله بوضوح: تحديد العائلة ينجح غالبًا، وفك التشفير المجاني ينجح أقل بكثير في النسخ الحالية. الأدوات تُبنى على عيّنة، والمشغّل يغيّر المُشفّر بعد كل أداة تُنشر. المثال الموثق: أداة فك تشفير لعائلة Akira نُشرت في يونيو 2023 لنسخة مبكرة، ثم غيّر مشغّلوها المُشفّر فتوقفت الأداة؛ وفي مارس 2025 نُشرت طريقة لاستعادة المفتاح بمساعدة وحدة معالجة الرسوميات لبعض نسخ لينكس وأنظمة الافتراضية، وهي تحتاج قدرة حسابية كبيرة ولا تغطي نسخة ويندوز الشائعة. أي أن الجواب الصادق لمن يسأل «هل يوجد فك تشفير؟» هو: أحيانًا، ولسنوات أقدم، ولا أحد يستطيع أن يضمنه قبل التجربة.

فك التشفير المجاني: الأرقام وما هو ممكن فعلًا

يُشغَّل مشروع No More Ransom من مركز الجريمة الإلكترونية الأوروبي مع الشرطة الهولندية وشركاء من القطاع الخاص، وهو مجاني. بحسب أرقامه المنشورة ساعد أكثر من ستة ملايين متضرر، ويوفّر أكثر من 120 أداة قادرة على فك تشفير أكثر من 150 عائلة، ومتاح بسبع وثلاثين لغة بينها العربية. المطابقة تعتمد على أصل واحد وملفين مشفّرين، وهو سبب أن صورة القرص قبل التنظيف ليست ترفًا: بدون أصل غير مشفّر من الجهاز نفسه لا يمكن للأداة أن تتحقق من صحة المفتاح.

وما يجب أن يُقال عن العائد: الأدوات المجانية تغطي أعدادًا كبيرة من العائلات القديمة وأعدادًا صغيرة من العائلات النشطة. القيمة الحقيقية اليوم ليست في العائلة الشهيرة بل في الأجزاء: بعض العائلات الحديثة تستخدم تشفيرًا متقطعًا (تشفّر أول كيلوبايت أو ميغابايت من كل ملف لتُسرّع العملية)، وهذا يترك مساحات قابلة للاستخراج في الملفات الكبيرة. في تلك الحالات لا يعود الملف كما كان، لكن الصور والفيديو ومقاطع الأعمال الطويلة قد تُستخرج جزئيًا بأدوات استعادة الملفات المحذوفة، وهي عملية على نسخة من القرص لا على القرص الأصلي.

وفي المقابل، سوق كامل يقوم على الأمل. مواقع «استعادة» تطلب مبلغًا لتحليل العيّنة ثم تختفي، وقنوات تُعلن امتلاك المفتاح العام لكل النسخ، ووسطاء يطلبون صورة من العيّنة أولًا ثم يعرضون «وساطة» مع المجموعة مقابل نسبة. القاعدة العملية: لا تُرسل عيّنة إلى جهة تطلب مالًا، لأن العيّنة الوحيدة التي تحتاجها للتحليل المجاني هي نفسها ما ستبيعك إياه. ولا تُشغّل أداة فك تشفير من مصدر غير معروف على البيانات الأصلية: شغّلها على نسخة، وعلى ملفات محددة، وبعد حفظ الأصل.

النسخة الاحتياطية موجودة، إذًا نحن بخير؟ ست نقاط فشل

في بيانات 2026 استعادت 66% من المؤسسات التي شُفّرت بياناتها من نسخها الاحتياطية، مقابل 54% في العام السابق. هذا تحسّن حقيقي، وهو في الوقت نفسه وصف للناجين لا ضمانة لك. الفشل يتجمع في ست نقاط متكررة، كل واحدة قابلة للفحص قبل الحادثة:

• النسخة موجودة على مشاركة داخل النطاق. خادم النسخ منضم إلى النطاق، ويستخدم الحساب نفسه أو حساب خدمة مخترقًا. المهاجم لا يحتاج إلى اختراق نظام النسخ، بل إلى بيانات دخول يملكها بالفعل، فتُشفَّر النسخة مع الأصل. النسخة التي تُحتسب في التعافي هي التي لا تُلمس ببيانات دخول النطاق.
• الاحتفاظ أقصر من مدة بقاء المهاجم. إذا دخل المهاجم قبل ثلاثة أسابيع وفجّر التشفير اليوم، فنافذة احتفاظ 30 يومًا تحتفظ بأسبوع واحد سليم. الفرق بين التعافي وإعادة البناء هو معرفة تاريخ أول دخول قبل اختيار نقطة الاسترجاع، وهذا التاريخ يأتي من السجلات لا من التخمين. لهذا فإن 90 يومًا من النسخ غير القابلة للتغيير هي عنصر تعافٍ لا رفاهية تخزين.
• النسخة تُستعاد لكنها تحمل ما تركه المهاجم. استرجاع نقطة سليمة للبيانات مع إبقاء النطاق كما هو، أو مع بقاء حساب خدمة أنشأه المهاجم، أو أداة إدارة بعيدة ثبّتها، يعيد الأصل ويعيد معه المدخل. أي نسخة يجب أن تُختبر، وأي بيئة يجب أن تُبنى قبلها.
• لم يُجرَّب الاسترجاع قط. النسخة التي لم تُستعد إلى جهاز نظيف ليست نسخة، بل ملف. الاختبار الحقيقي استرجاع ربع سنوي ينفّذه شخص ليس مسؤول النسخ نفسه، ويقيس الزمن الفعلي لا النظري.
• الزمن الحسابي لا يترك مجالًا. استرجاع 40 تيرابايت عبر وصلة 1 غيغابت في الثانية يستغرق نحو 89 ساعة في أفضل حال، والسرعة الفعلية أقل من ذلك بكثير لأن الاسترجاع عشوائي القراءة أكثر من النسخ. أي هدف زمني للتعافي أقصر من هذا الرقم يحتاج تصميمًا آخر: نسخة محلية ساخنة، أو استرجاعًا بالأولوية لأنظمة محددة، أو تخزينًا أقرب.
• لا توجد طبقة غير متصلة. الطبقات المتصلة تُعيد في الأعطال اليومية، والطبقة غير المتصلة أو غير القابلة للتغيير هي التي تُعيد بعد عملية فدية. التصميم الذي يعمل يجمع الطبقات الأربع: نسخة سحابية، ونسخة محلية، ونسخة غير متصلة، ونسخة غير قابلة للتغيير خلال نافذة محددة، مع مصادقة متعددة العوامل على وحدة تحكم النسخ وببيانات دخول ليست من النطاق.

والدرس الأصعب في هذه القائمة هو الثاني، لأنه لا يُكتشف إلا في الحادثة. المؤسسة التي تكتشف في اليوم الثالث أن نسختها السليمة عمرها أسبوع تعيد بناء ستة أسابيع من العمل اليدوي: فواتير، ومخزون، ومراسلات، وقرارات لم تُوثّق. وهذا هو الجزء الذي يظهر في الفاتورة الحقيقية: متوسط تكلفة التعافي في بيانات 2026 — باستثناء أي فدية — بلغ 1.7 مليون دولار، بزيادة 11% عن العام السابق، والمتوسط الزمني ثلاثة أسابيع، مع تعافي 55% خلال أسبوع و83% خلال شهر و3% تجاوزوا ثلاثة أشهر. المتوسطات تُخفي التوزيع، لكن من تجاوز ثلاثة أشهر هم في الغالب من كانت نقطة استرجاعهم السليمة قديمة إلى حد يجعل التعافي إعادة تركيب.

ترتيب الإرجاع: من يعود أولًا ولماذا

الخطأ الشائع هو البدء بالملفات. الملفات بلا نظام تحملها مجرد بيانات، والنظام بلا هوية نظيفة يعيد المهاجم. الترتيب الذي ينجح في الممارسة سبع مراحل:

• نطاق معزول: شبكة نظيفة منفصلة عن الشبكة المصابة، لا تصل إليها إلا الأنظمة التي ستُبنى، وبوابات محددة.
• الهوية أولًا: وحدات التحكم بالنطاق وخدمة الأسماء وعنونة الشبكة وجهة الشهادات، مبنية من جديد لا مستعادة من نسخة قديمة، مع كلمة مرور حساب النطاق الرئيسي مُعاد تعيينها مرتين مع دورة تكرار بينهما، لأن ذلك يُبطل كل تذكرة صادرة بالمفتاح القديم أو الحالي.
• بنية النسخ نفسها: قبل استرجاع أي بيانات، تأكد أن نظام النسخ نظيف وأن بيانات دخوله مُبدَّلة، وإلا فالاسترجاع التالي يعيد التلويث.
• قواعد الشبكة والتحكم: جدار الحماية، والتوجيه، ونقاط الوصول، والإدارة المركزية، بنسخة إعداد موثقة وتاريخ موثوق لا بتاريخ اليوم.
• قواعد البيانات الأساسية ثم تطبيق الأعمال الذي يعطيها معنى، مع اختبار وظيفي حقيقي قبل ضمه إلى الشبكة النظيفة.
• البريد والتعاون بترتيب أولوية يحدده العمل لا الحجم: صندوق الإدارة والمبيعات قبل أرشيف خمس سنوات.
• الأجهزة الطرفية أخيرًا وبأفواج: إعادة بناء من صورة نظيفة لا تنظيف، مع تعطيل الإقلاع من الشبكة حيث يمكن، ومراقبة مكثفة للأسبوعين التاليين.

وقبل المرحلة السادسة يجب أن يكون كل سرّ قد تغيّر: كلمات مرور الحسابات الخدمية، وشهادات الخدمات، ومفاتيح الوصول إلى السحابة، وحسابات المسؤول المحلية، وكلمة مرور المسؤول على منصة الافتراضية، وحساب وحدة تحكم النسخ، ومفاتيح التطبيقات التي أنشأها المهاجم أو استخدمها. المهاجم الذي ترك بابًا خلفيًا لا يعود من الباب الأول، بل من حساب خدمة نسي أحدهم أنه موجود.

الابتزاز المزدوج: عندما تُسرق البيانات قبل التشفير

في بيانات 2026 شمل 16% من الهجمات تشفيرًا وسرقة معًا، وهناك حالات سرقة فقط بلا تشفير إطلاقًا. الرقم الثاني هو الذي يغيّر طبيعة الحادثة: النظام قد يكون سليمًا تمامًا والشركة في أزمة قانونية. الشركة التي تعالج «الفدية» على أنها مشكلة ملفات فقط تدخل التفاوض وهي لا تعرف ماذا سُرِق، ولا كم، ولا من أي نظام، فتضيع عليها القدرة على تقدير التعرض الحقيقي.

ما يُفعل عمليًا في المسار الثاني، بالتوازي مع الاستعادة لا بعدها:

• اعتبرها مسروقة. لا تفترض أن الملفات لم تُنسخ. مشغّلو الفدية ينسخون قبل التشفير، وأحيانًا يبقون أسابيع داخل الشبكة يختارون ما ينسخونه: قواعد بيانات العملاء، والعقود، والملفات المالية، وبيانات الموظفين.
• وثّق موقع النشر إن وُجد. صورة مؤرخة للصفحة، وسجل الوصول، وقائمة الملفات المعروضة كإثبات. لا تتعامل مع الموقع مباشرة من شبكتك، ولا تحمّل منه.
• حدّد ما سُرِق من سجلاتك أنت. حجم البيانات الخارجة من الشبكة في الأيام السابقة، وقائمة الخوادم التي وصل إليها الحساب المخترق، وسجلات الوصول إلى مشاركة الملفات. التقدير المبني على السجلات هو ما تقبله الجهة التنظيمية، والتقدير المبني على رسالة المهاجم ليس تقديرًا.
• افصل قرار الإشعار عن قرار الدفع. التزام الإبلاغ ينشأ من معرفتك بالحادثة لا من دفعك، ولا يزول بالدفع. والوعد بحذف البيانات مقابل مبلغ ليس التزامًا قابلًا للتنفيذ: لا وسيلة للتحقق، والمجموعات التي تفعل ذلك تُعيد الابتزاز بعد أشهر بالبيانات نفسها.
• جاهز للتصعيد. التصعيد المعتاد يبدأ بعينات، ثم مهلة، ثم نشر دفعة أكبر. كل مرحلة تحتاج قرارًا مسبقًا: من يخاطب العملاء، وبأي نص، ومن يخاطب الجهة التنظيمية، وهل يوجد تأمين يغطي إدارة الأزمة والاتصالات.

والنقطة التي تُهمل في المؤسسات الصغيرة الخليجية: البيانات التي سُرقت قد تكون بيانات عملاء تخص أطرافًا أخرى بموجب عقود، وهذا يُنشئ التزامًا تعاقديًا بالإبلاغ قبل أي التزام نظامي. مراجعة العقود في اليوم الأول ليست عملًا قانونيًا ثانويًا، بل هي التي تحدد من يجب أن يعرف ومتى.

قرار الدفع: قرار قانوني لا قرار تقني

الأرقام أولًا، لأنها تُغيّر النقاش. في بيانات 2026 دفع 48% من المؤسسات التي شُفّرت بياناتها فدية، وهي أدنى نسبة في ثلاث سنوات، واستعادت 66% من النسخ الاحتياطية. متوسط الطلب 698 ألف دولار، ومتوسط ما دُفع 769 ألف دولار، و51% من الدافعين دفعوا أقل من المطلوب. وسبب أن المتوسط المدفوع أعلى من المتوسط المطلوب هو أن التوزيع ليس واحدًا: قلة دفعت مبالغ كبيرة جدًا تسحب المتوسط. أما تكلفة التعافي بلا فدية فمتوسطها 1.7 مليون دولار. الاستنتاج العملي: الدفع ليس الطريق الأرخص في المتوسط، لكنه قد يكون الطريق الوحيد للبيانات التي لا نسخة لها.

وهناك طبقة لا علاقة لها بالمهاجم. مكتب مراقبة الأصول الأجنبية في وزارة الخزانة الأمريكية أصدر في سبتمبر 2021 تحذيرًا محدثًا بشأن مخاطر العقوبات عند تسهيل مدفوعات الفدية: تسهيل الدفع لشخص أو كيان مُدرج في قوائم العقوبات محظور، والمسؤولية عن العقوبات صارمة، أي لا تُشترط نية. عمليًا يعني هذا أن قرار الدفع يحتاج فحصًا لهوية المجموعة قبل التحويل، وأن «وسيطًا» يطلب التحويل إلى محفظة لا يعرف صاحبها ليس حلًا بل نقل للمخاطرة إليك.

لذلك فإن القرار يُوثَّق لا يُتخذ شفهيًا. الملف الذي يُقبل لاحقًا أمام مجلس إدارة أو جهة تنظيمية أو شركة تأمين يحتوي: النسخة الاحتياطية المتاحة وتاريخها ونتيجة اختبارها، والوقت المتوقع للتعافي بلا مفتاح، والبيانات التي لا بديل لها، وتقييم العقوبات، ورأي المستشار القانوني، وموقف التأمين المكتوب، وأثر الدفع على الإبلاغ والتحقيق. والمؤسسة التي تدفع بلا هذا الملف تجد نفسها بعد شهرين تشرح لماذا دفعت، ولا تجد ما تشرحه.

وأخيرًا ما لا يقوله أي وسيط: الدفع لا يضمن المفتاح، ولا يضمن أن المفتاح يعمل على كل ملف، ولا يضمن عدم إعادة الابتزاز، ولا يزيل الأثر القانوني، ولا يعيد الثقة. في بيانات سابقة، كانت نسبة من دفع ولم يحصل على مفتاح عامل معتبرة، والسبب ليس خداعًا دائمًا بل أدوات فك تشفير معطوبة على نسخ أحدث من التي بحوزة المشغّل نفسه.

الأساس النظامي في السعودية: من تُبلَّغ ومتى

في السعودية لا يوجد مسار إبلاغ واحد بل ثلاثة، وأي مؤسسة قد تكون داخلة في أكثر من واحد بحسب نشاطها وبياناتها. الأول حماية البيانات الشخصية: اللائحة التنفيذية لنظام حماية البيانات الشخصية تُلزم في مادتها الرابعة والعشرين بالإبلاغ عن أي تسريب أو وصول غير مشروع إلى البيانات الشخصية خلال 72 ساعة من العلم بالحادثة، مع خمسة عناصر مطلوبة في الإبلاغ: وصف الحادثة، والبيانات المتأثرة، وعدد أصحاب البيانات المتأثرين، والأثر المحتمل، والتدابير المتخذة. وفي حال تعذّر الإبلاغ في المهلة، تُقبل التقارير المرحلية مع تبرير التأخير. هناك أيضًا نسخة معدلة من هذه المادة في مشروع تعديل مطروح في أكتوبر 2026 تحذف شرط الضرر من واجب الإبلاغ، أي أن الإبلاغ يصبح مرتبطًا بوقوع الحادثة لا بتقدير الضرر؛ والمؤسسة الحصيفة تتعامل مع الإبلاغ بالقراءة الأوسع.

الثاني القطاع السيبراني: المركز الوطني للأمن السيبراني هو جهة الإبلاغ للحوادث في الجهات المشمولة بضوابطه، وقناة 936 والبريد الرسمي هما المدخل المعلن. والأطر التي تحكم ذلك هي الضوابط الأساسية للأمن السيبراني بنسختها المحدثة، وهي أربعة نطاقات و28 نطاقًا فرعيًا وأكثر من مئة ضابط، وتحل محل النسخة السابقة، وتُلزم بخطط الاستجابة والتصنيف والإبلاغ وتبادل مؤشرات الاختراق. المؤسسة التي تُبلّغ الجهة التنظيمية وتنسى المركز الوطني تبقى مخالفة في نظر ضوابط قطاعها، والعكس صحيح.

الثالث القطاع المالي: مؤسسات القطاع المالي الخاضعة لرقابة البنك المركزي السعودي لها إطار مكافحة الاحتيال الذي يفرض إشعارًا فوريًا بالحوادث الجسيمة، والممارسة المعلنة أن الحادث المتوسط أو الأعلى يُبلَّغ فورًا ثم يُتبَع بتقرير خلال خمسة أيام عمل يتضمن تسعة عناصر. والمؤسسة المالية التي تنتظر نتيجة التحقيق التقني قبل الإبلاغ تكون قد أبلغت متأخرة بمقياس الرقابة لا بمقياسها.

وأخيرًا المسار الجزائي، وهو ليس التزامًا عليك بل سلاحك: نظام مكافحة الجرائم المعلوماتية يعاقب في مادته الثالثة بالحبس حتى سنة وبغرامة تصل إلى 500 ألف ريال، وفي المادة الرابعة بالحبس حتى ثلاث سنوات وبغرامة تصل إلى مليوني ريال، وفي المادة الخامسة بالحبس حتى أربع سنوات وبغرامة تصل إلى ثلاثة ملايين ريال، بحسب الفعل والوسيلة والنتيجة. وهذه المواد هي ما يجعل البلاغ ذا قيمة: التحقيق الذي يُفتح ببلاغ رسمي هو الذي يستطيع الوصول إلى آثار خارج شبكتك، لا فريقك.

الإمارات ومصر: نفس الحادثة بمواعيد مختلفة

في الإمارات يبدأ الالتزام من نظام حماية البيانات الشخصية: المادة التاسعة تُلزم المتحكم بالإبلاغ عن أي اختراق أو تسريب أو وصول غير مشروع إلى البيانات الشخصية «فور العلم» به، وتترك تحديد المدة للائحة التنفيذية، وهذا هو الفرق العملي عن صيغة 72 ساعة: التاريخ يبدأ من العلم، والمدة المنشورة قد تتغير. والمادة العشرون تُلزم باتخاذ التدابير التقنية والتنظيمية لحماية البيانات، وهي المدخل الذي يُستخدم لاحقًا في تقييم ما إذا كانت الشركة أهملت. والمناطق الحرة لا تتبع النظام الاتحادي: مركز دبي المالي العالمي وسوق أبوظبي العالمي لهما نظامان خاصان بمواعيد إبلاغ خاصة، والبر الرئيسي ليس منطقة حرة.

والمسار الجزائي في الإمارات: القانون الاتحادي رقم 34 لعام 2021 يعاقب على الدخول غير المشروع بالحبس والغرامة من 100 ألف إلى 300 ألف درهم، ويشدّد في الظروف المشددة إلى ستة أشهر على الأقل وغرامة من 150 ألف إلى 500 ألف درهم؛ وتعاقب المادة الثالثة على اختراق الأنظمة الحكومية بغرامة تبدأ من 200 ألف درهم؛ وتفرض المادة السادسة على الوصول إلى البيانات الشخصية ستة أشهر وغرامة من 20 ألف إلى 100 ألف درهم؛ وتخص المادة التاسعة بيانات الدخول بغرامة من 50 ألف إلى 100 ألف، وترتفع إلى 300 ألف إذا استُخدمت لتمكين وصول شخص آخر. المؤسسات المالية لها مسارها عبر المصرف المركزي، والقطاع الصحي له مساره، وشرطة الجرائم الإلكترونية هي مدخل البلاغ العام.

وفي مصر: القانون 175 لعام 2018 يفرض في مادته الثانية الاحتفاظ بسجلات النظام لمدة 180 يومًا على الأقل، وهذا البند وحده يحدد ما إذا كان التحقيق ممكنًا بعد أسبوعين؛ ويُعاقب في مواد أخرى على الدخول غير المشروع وتدمير البيانات. القطاع المصرفي يتبع تعليمات البنك المركزي المصري في الشكاوى والبلاغات، والجهة الوطنية للاستجابة للحوادث السيبرانية هي قناة التنسيق، وإدارة مكافحة جرائم الحاسبات بوزارة الداخلية هي مدخل البلاغ الجنائي. القراءة المشتركة للثلاث دول: كلها تطلب الإبلاغ من وقت العلم، وكلها تُشدّد العقوبة على تدمير البيانات، ولا واحدة منها تقبل «كنا نتعافى» سببًا للتأخير.

ساعة التأمين: الإشعار الذي يُنسى

وثيقة التأمين السيبراني، إن وُجدت، ليست ورقة مالية تُقرأ بعد الحادثة. معظم الوثائق تُلزم بالإشعار «فورًا» أو خلال مهلة قصيرة من العلم بالحادثة، وتُلزم باستخدام مورّد تحقيق من قائمتها، وتشترط موافقة مسبقة على التكاليف، وتحتوي استثناءات تتعلق بالأنظمة غير المحدّثة وبغياب المصادقة المتعددة العوامل وبالدفع دون موافقة. النتيجة العملية: الاتصال بشركة التأمين في الساعة الأولى لا بعد العثور على مورّد، وعدم التوقيع على عقد تحقيق قبل معرفة إن كان المورّد داخل القائمة، وعدم تحويل أي مبلغ فدية قبل موافقة مكتوبة، لأن الدفع غير المعتمد قد يُسقط التغطية كاملة ويترك الحادثة بلا تمويل.

والخطأ الثاني هو ترتيب التكاليف: تكاليف الاستجابة (التحقيق، والاستعادة، والقانوني، والاتصالات) وتكاليف الانقطاع وتكاليف الإشعار قد تكون في أقسام مختلفة من الوثيقة بحدود مختلفة. المؤسسة التي لا تعرف حدودها قبل الحادثة تكتشف في الأسبوع الثاني أن تغطية التحقيق انتهت وأن ما بقي هو تغطية قانونية لا تُستخدم للاستعادة.

ما لا يستطيع أحد فعله، مهما دفع صاحبه

الحدود جزء من المقال لا خاتمته. لا يستطيع أحد أن يضمن لك مفتاحًا قبل التجربة، ولا أن يفك تشفير نسخة لم تُبنَ لها أداة بعد، ولا أن يعيد ملفًا حذفه المهاجم بعد نسخه، ولا أن يقصّر زمن الاسترجاع عن سرعة الوسيط الذي تستعيد منه، ولا أن يثبت أن المهاجم خرج؛ الإثبات يأتي من المراقبة بعد الاستعادة لا من تقرير قبلها. ولا أحد يستطيع أن يمنحك حصانة من العقوبات أو من الإبلاغ مقابل دفعك.

والحد الأهم: لا يستطيع أحد أن يعيد الثقة بالبيانات وحدها. العميل الذي يقرأ خبرًا عن اختراقك يحتاج تاريخًا وإجراءً ودليلًا، والجهة التنظيمية تحتاج تقريرًا يطابق ما تراه في سجلاتك، وشركة التأمين تحتاج ما يثبت أن الاستثناء لا ينطبق. الثقة مشكلة توثيق، ولذلك يجب أن يبدأ التوثيق في الساعة الأولى: كل قرار، ووقته، ومن اتخذه، وما كان معروفًا حينها. هذا السجل هو ما يُقرأ بعد ستة أشهر، وهو الوحيد الذي لا يعيده أي نسخ احتياطي.

قائمة تحقق بالوقت: ما يُفعل ومتى

القائمة التالية مرتبة زمنيًا، وكل بند فيها له مالك واحد معروف مسبقًا في مؤسسة تعمل بشكل صحيح:

• الدقائق 0-30: تسمية من يقود الحادثة؛ عزل الشبكات المصابة على مستوى المحوّل؛ فصل أهداف النسخ الاحتياطي ماديًا؛ إيقاف المهام المجدولة والنسخ؛ تصوير مذكرة الفدية بهاتف؛ فتح قناة اتصال خارج البريد المؤسسي؛ إبلاغ الإدارة العليا وقرار الإبلاغ التنظيمي الأولي.
• الدقائق 30-120: صورة ذاكرة وصورة قرص لعيّنة؛ تصدير سجلات الحماية؛ تعطيل تدوير السجلات؛ تحديد تاريخ أول دخول تقديريًا؛ مطابقة العائلة عبر خدمة تحديد آلي؛ الاتصال بشركة التأمين؛ الاتصال بمورّد التحقيق إن كان داخل القائمة.
• الساعات 2-6: تحديد نطاق البيانات المسروقة من سجلات الخروج؛ تحرير قرار الإشعارات (تنظيمي، وعملاء، وتعاقدي)؛ إعداد البيئة النظيفة للاسترجاع؛ تدوير أسرار البنية التحتية عالية الخطورة؛ تقرير أولي للإدارة بثلاثة خيارات وتكلفة كل منها.
• اليوم الأول: إبلاغ الجهة التنظيمية المختصة حسب الاختصاص؛ إبلاغ المركز الوطني أو قناة القطاع؛ إشعار البنك إذا كانت بيانات دفع متأثرة؛ إعداد قائمة أولويات الاسترجاع؛ اختبار أول استرجاع على نظام غير حرج.
• الأيام 2-7: استرجاع بالمراحل مع اختبار وظيفي قبل كل ضم؛ إعادة بناء الهوية وتدوير كل سرّ؛ مراقبة مكثفة للأبواب الخلفية؛ إشعار العملاء المتأثرين؛ مسودة تقرير الحادثة النهائي؛ مراجعة السبب الجذري وربطه بخطة الإصلاح.

هذا الأسبوع قبل أن يحدث: ما يشتري الوقت فعلًا

التعافي ليس ما تفعله بعد الحادثة فقط، بل ما جعلته ممكنًا قبلها. سبعة إجراءات لها أعلى عائد مقابل تكلفتها، وكلها قابلة للتنفيذ في مؤسسة متوسطة الحجم:

• نسخة غير قابلة للتغيير لمدة 90 يومًا، ببيانات دخول منفصلة عن النطاق ومصادقة متعددة العوامل على وحدة التحكم، مع نسخة واحدة غير متصلة تُفصل فعليًا لا تُعطَّل ببرنامج.
• اختبار استرجاع ربع سنوي ينفّذه شخص ليس مسؤول النسخ، بزمن مقاس ومكتوب، ونتيجة تُرفع للإدارة. النسخة التي لم تُختبر ليست أصلًا.
• مصادقة مقاومة للتصيّد لحسابات المسؤول، وإلغاء صلاحيات المسؤول الدائمة، وفصل مسار الإدارة عن مسار البريد والتصفح.
• حماية ضد العبث بأداة الحماية، وقاعدة إنذار واحدة على الأقل لحذف نقاط استعادة النظام أو تعطيل الأداة أو تشغيل عملية تشفير جماعي.
• مراقبة الخروج: من يستطيع أن يعرف حجم ما يخرج من شبكتك مساء الأحد؟ المؤسسة التي لا تعرف حجم الخروج الطبيعي لا تستطيع أن تقول إن بيانات سُرقت أو لم تُسرق.
• تمرين طاولة سنوي يضم الشخص الذي يرد على الهاتف في الثانية صباحًا، لا المدير فقط، وينتهي بقرارات مكتوبة: من يقرر الدفع، ومن يتصل بالتأمين، ومن يوقّع الإبلاغ.
• ملف قرار جاهز يقول مسبقًا: أي بيانات لا بديل لها، وأي أنظمة تعود أولًا، ومن يملك التوقيع على مبلغ الفدية إن وصل الأمر. القرار المكتوب قبل الحادثة أرخص من القرار المتخذ تحت ضغط المهلة.

ولا يعتمد أي من هذه الإجراءات على منتج بعينه، ولا يوجد منتج يجعل مؤسسة في مأمن من هجوم فدية. ما تفعله هذه الإجراءات أنها تحوّل الحادثة من مفاوضة بلا خيارات إلى قرار بين خيارات معروفة، وهذا هو الفرق بين ثلاثة أسابيع وثلاثة أشهر.

من أين تبدأ عمليًا

إن كنت في منتصف الحادثة الآن، فالترتيب هو ما سبق: عزل، ودليل، وعائلة، ونسخة، ثم قرار. وإن كنت تبني القدرة قبلها، فابدأ من نقطتين تُقاسان: عمر أحدث نسخة سليمة مُختبَرة، وعدد الحسابات القادرة على حذف تلك النسخة. إذا كان عمر النسخة أقدم من أسبوعين، أو كان عدد هذه الحسابات أكثر من اثنين، فالمشكلة ليست في الأداة بل في التصميم. وللربط بالمسار الأوسع، فإن ترتيب الاستجابة للحوادث ودور كل فريق في الساعات الأولى موضّح في خطة الاستجابة للحوادث السيبرانية، والقدرة على استعادة التوافر بعد أي عطل هي أحد التدابير التي تُقاس بها حماية البيانات في دليل المادة 32 والتدابير التقنية والتنظيمية. وإذا احتجت إلى حفظ الأدلة وتحليلها بترتيب يصلح لتقرير رسمي أو مطالبة تأمين، فذلك نطاق التحقيق الجنائي الرقمي، ويُتفق عليه بتفويض مكتوب قبل بدء العمل.

أسئلة شائعة