أعادت تقارير أمنية منشورة خلال الأيام الأخيرة تسليط الضوء على تحذير دولي بشأن نشاط مجموعة SafePay المتخصصة في هجمات برامج الفدية، بعدما كشفت السلطات الأمنية أن المجموعة اخترقت أكثر من 600 مؤسسة مرتبطة بالبنية التحتية الحيوية منذ ظهورها في عام 2024.
وجاء التحذير الأصلي الصادر في 20 أكتوبر 2026 ضمن تقرير مشترك شاركت فيه وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA، ومكتب التحقيقات الفيدرالي FBI، وجهاز الخدمة السرية الأمريكي، إلى جانب جهات أمنية في ألمانيا والمملكة المتحدة.
وحذرت الجهات المشاركة من أن المجموعة أصبحت من عمليات الفدية الإلكترونية النشطة عالميًا خلال عام 2026، وأن هجماتها تستهدف مؤسسات في أمريكا الشمالية والجنوبية وأوروبا وأستراليا.
CPO Magazine+1
كيف تنفذ SafePay هجماتها؟
بحسب التفاصيل الواردة في التحذير، لا تعتمد المجموعة بالضرورة على ثغرات حديثة غير معروفة، بل تستفيد من نقاط ضعف موجودة في بيئات العمل، من بينها بيانات الدخول المسروقة، والحسابات ذات كلمات المرور الضعيفة، والأنظمة التي لم تحصل على التحديثات الأمنية المناسبة.
وتستهدف هذه الأساليب بيئات الشبكات المؤسسية، خصوصًا عندما تكون وسائل الوصول عن بُعد أو حسابات المستخدمين غير محمية بصورة كافية.
وبعد الوصول غير المصرح به، تستطيع المجموعة إساءة استخدام أدوات إدارية شرعية موجودة داخل الشبكة، ما يجعل اكتشاف نشاطها أكثر صعوبة إذا لم تكن هناك أنظمة مراقبة فعالة.
وتوضح التقارير كذلك أن المهاجمين قد يحاولون تعطيل الحماية والنسخ الاحتياطية قبل تشفير الملفات.
الابتزاز المزدوج يضاعف المخاطر
تستخدم SafePay أسلوب الابتزاز المزدوج، الذي يقوم على الجمع بين تعطيل البيانات أو تشفيرها والتهديد بنشر المعلومات المسروقة.
ويضع هذا الأسلوب الشركات أمام مشكلتين منفصلتين: استعادة القدرة على تشغيل الأنظمة، والتعامل مع احتمال تسريب بيانات العملاء أو الموظفين أو المعلومات التجارية.
ويصبح أثر الهجوم أكثر خطورة عندما تستهدف العملية مؤسسة تقدم خدمات أساسية، لأن توقف الأنظمة قد يؤثر على قطاعات أوسع من الشركة الضحية نفسها.
وفي القطاع الصحي مثلًا، قد يؤدي تعطيل نظم المعلومات إلى صعوبات تشغيلية مباشرة، بينما قد تواجه المؤسسات الصناعية اضطرابًا في سلاسل الإنتاج والخدمات اللوجستية.
الثغرات القديمة ما زالت مشكلة أمنية
من أبرز ما كشفته القضية أن عددًا من الثغرات المرتبطة بأساليب المجموعة معروف منذ سنوات، وأن بعضها سبق توفير معالجات أمنية له.
وهذا يوضح أن وجود تحديث أمني لا يعني بالضرورة أن جميع المؤسسات طبقته.
فالشركات الكبيرة قد تدير مئات أو آلاف الأنظمة المترابطة، وهو ما يجعل إدارة التحديثات وتحديد الأولويات الأمنية تحديًا مستمرًا.
كما تؤدي الاعتمادية على برمجيات قديمة أو أجهزة يصعب إيقافها إلى تأخير عمليات المعالجة، خصوصًا في المؤسسات التي تحتاج إلى العمل بصورة متواصلة.
لماذا تمثل الهجمات تهديدًا للشركات؟
لا تقتصر خسائر برامج الفدية على الأموال التي قد تطالب بها الجهات المهاجمة.
فقد تتحمل المؤسسات تكاليف توقف التشغيل، واستعادة البيانات، والتحقيقات التقنية، والاستشارات القانونية، وإخطار العملاء عند ثبوت تسرب معلومات شخصية.
كما قد تتضرر الثقة التجارية بالمؤسسة إذا لم تستطع توضيح كيفية حماية الأنظمة أو استعادة الخدمات.
ويحذر FBI من أن دفع الفدية لا يوفر ضمانًا لاستعادة البيانات أو منع نشر المعلومات المسروقة.
ما الإجراءات الدفاعية المطلوبة؟
ركز التحذير المشترك على تطبيق المصادقة متعددة العوامل، وتقليص صلاحيات الوصول الإداري، وتحديث أجهزة الشبكات وبرمجيات الوصول عن بُعد.
كما شددت الجهات الأمنية على أهمية تأمين النسخ الاحتياطية وحمايتها من التعديل أو الحذف، ومراقبة الأنشطة غير المعتادة داخل الشبكات.
وتحتاج المؤسسات كذلك إلى اختبار خطط الاستجابة للحوادث بدلًا من الاكتفاء بوجود سياسات مكتوبة غير مجربة.
ومن الناحية العملية، تمثل إدارة الحسابات والصلاحيات والتحديثات عناصر أساسية للحد من قدرة المهاجمين على التحرك داخل الأنظمة.
ماذا بعد؟
من المتوقع استمرار اهتمام الجهات الأمنية بتتبع أساليب SafePay وتحديث مؤشرات الاختراق المعروفة.
أما الشركات، فالأولوية هي مراجعة نقاط الوصول الخارجية، وتقييم الأنظمة القديمة، والتحقق من إمكانية استعادة بياناتها بصورة آمنة في حال وقوع حادث.
وتؤكد هذه القضية أن جانبًا مهمًا من الأمن السيبراني يعتمد على تطبيق إجراءات حماية معروفة بصورة مستمرة، وليس فقط على امتلاك أدوات أمنية متطورة.
