خفايا معركة الظل.. أسلحة جديدة تعيد رسم خريطة الهجمات السيبرانية

خلال النصف الأول من عام 2026 برز تحول نوعي في مشهد التهديدات السيبرانية على مستوى العالم، ولا سيما في منطقة الشرق الأوسط التي تعيش صراعاً إقليمياً متصاعداً، فيما تكشف أحدث تحليلات الأمن السيبراني، عن تغير استراتيجي للمجموعات «الخبيثة»، من هجمات برامج الفدية واسعة النطاق إلى عمليات تجسس صامتة ودقيقة، مع تبني تقنيات متطورة تعتمد على الذكاء الاصطناعي ولغات برمجة جديدة، واستهداف قطاعات حيوية تشمل الطيران والدفاع والاتصالات والمالية.من الفدية إلى التجسسالتغير في التهديدات الإلكترونية، كشفت عنه أحدث إحصائيات الأمن السيبراني لشركة «كاسبرسكي»، خلال مؤتمرها السنوي الذي عقد مؤخراً في جورجيا، إذ أكدت تصديها خلال النصف الأول من عام 2026 إلى 75 مليون هجمة من مصادر عبر الإنترنت، بينما حظرت 250 ألف هجمة برمجيات فدية، في حين منعت 3.4 مليون هجمة باستخدام الأبواب الخلفية، وإحباط 2.4 مليون هجمة لبرمجيات سرقة كلمات المرور.ويؤكد سيرغي لوزكين، رئيس فريق البحث والتحليل العالمي في منطقتي آسيا والمحيط الهادئ والشرق الأوسط وتركيا وإفريقيا لدى كاسبرسكي، أن مشهد التهديدات يشهد تحولاً جذرياً، حيث تتراجع برامج الفدية عددياً لكنها تصبح أكثر تعقيداً، مع انتقال المهاجمين إلى استراتيجيات تعتمد على التخفي والاستهداف الدقيق للمؤسسات ذات القيمة العالية.ويوضح أن هذا الانخفاض لا يعني تحسناً في الأمان، بل يعكس تحولاً نحو عمليات اختراق طويلة الأمد تهدف إلى البقاء داخل الشبكات وجمع المعلومات قبل تنفيذ الهجمات، فيما يلفت إلى أن فريق GReAT يتابع حالياً أكثر من 900 مجموعة وعملية مرتبطة بالتهديدات المتقدمة المستمرة (APT)، وما يقارب 90% من هذه العمليات مرتبطة بسياق التجسس السيبراني.ثلاث "مجموعات خبيثة" رئيسيةالتحليلات كشفت أنه مع اندلاع الحرب الإيرانية، برزت ثلاث مجموعات تهديد إلكتروني رئيسية، استهدفت العديد من دول المنطقة، وبينما يؤكد لوزكين، أن الرابط بينها بحسب ما توصل إليه فريقه البحثي أن جميعها، تتحدث الفارسية، فقد ربطها خبراء أمن سيبراني آخرون بجهات إيرانية، ورغم أنها بدأت أنشطتها منذ سنوات، إلا أن دورها برز مع اندلاع الحرب بين أمريكا وغيران، غير أنها كانت تستهدف دول المنطقة بشكل واضح، مستخدمة طرق اختراق جديدة.أول هذه المجموعات هي «MuddyWater» وهي مجموعة تهديد متقدم مستمر. وبينما كانت تعتمد سابقاً على أدوات بسيطة، فقد شهدت نقلة نوعية في عام 2026 من خلال «عملية أولالامبو»، وهي حملة برامج خبيثة اعتمدت بشكل أساسي على الذكاء الاصطناعي واستهدفت منظمات وأفراداً في منطقة الشرق الأوسط وشمال إفريقيا، وقد تم رصدها لأول مرة في 26 يناير 2026.وبحسب التقرير السنوي لكاسبرسكي فإن المجموعة طورت النافذة الخلفية CHAR الجديدة كلياً، وهي أداة تحكم عن بعد (RAT) تعتمد على لغة Rust، في محاولة لتجنب توقعات الرصد التقليدية، وتعقيد التحليل العكسي.كما أظهرت التحليلات العميقة أن المجموعة استخدمت الذكاء الاصطناعي في التطوير، حيث رُصدت سلاسل تصحيح أخطاء تحتوي على رموز تعبيرية (Emojis) - وهي سمة نادراً ما تظهر في الشيفرة البشرية - ما يؤكد تجارب المجموعة مع أدوات الذكاء الاصطناعي التوليدي لتسريع تطوير البرمجيات الخبيثة. واستهدفت حملة مارس 2026 الواسعة مؤسسات دبلوماسية وقنصليات وكيانات في الشرق الأوسط، إلى جانب أوروبا الوسطى والشرقية.أما المجموعة الثانية، فهي «Mirage Kitten»، حيث ركزت عملياتها على التجسس السيبراني ضد قطاعات الفضاء، والطيران، والدفاع، والاتصالات في الشرق الأوسط وإفريقيا.كما برزت مجموعة «OilRig» والتي تم رصد أسلوبها الجديد منذ يوليو 2026، حيث استخدمت تقنيات متطورة لتجنب الكشف، من أبرزها، استغلال أحداث تقويم Outlook كقناة للتحكم والسيطرة (C2)، كما قام المهاجمون بإخفاء الأوامر والبيانات المسروقة في أحداث تقويم مجدولة لعام 2050، ما يجعل اكتشافها صعباً نظراً لبُعد تاريخها، بينما اعتمدت تشفيراً مختلطاً لحماية الحمولات.وبينما تتميز هجمات التجسس السيبراني عن برامج الفدية بعيدة ميزات، فبينما تبحث برامج الفدية أو الجرائم الإلكترونية عن مكسب مالي سريع وغالباً عبر الابتزاز فإن برامج التجسس هدفها الحصول على معلومات استراتيجية، ويمتد الهجوم من أشهر لسنوات، باختيار انتقائي ودقيق ومخفي بهدف جمع المعلومات.الذكاء الاصطناعي: سلاح ذو حدينكشفت كسبرسكي عن رصد أكثر من 92,000 هجمة من برمجيات خبيثة متنكرة في هيئة خدمات ذكاء اصطناعي شهيرة عالمياً منذ بداية عام 2026، حيث شكلت تطبيقات ChatGPT المزيفة 49% من الهجمات، بينما مثلت كل من ClaudeوGemini حوالي 18% لكل منهما.كما حدد الباحثون أكثر من 15,000 عينة من البرمجيات الخبيثة التي تتنكر في زي برمجيات ذكاء اصطناعي وكيل (agentic AI)، بما في ذلك «أحصنة طروادة»، وبرمجيات تجسس، وبرمجيات سرقة بيانات مصرفية. ورصدت مجموعة Silver Fox APT وهي توزع نسخاً مزيفة من تطبيق Claude لأنظمة Windows وmacOS وLinux بهدف التجسس طويل الأمد وجمع البيانات الحساسة.خديعة في هيئة عروض توظيفويكشف عمر أمين، كبير باحثي الأمن في فريق «GReaT» عن خديعة جديدة انتشرت في 2026، وهي عبارة عن عروض توظيف وهمية، اتسمت بطابع مخصص للغاية، وشملت رسائل تتعلق بالتوظيف تنتحل صفة علامات تجارية ومنصات موثوقة.ويوضح أنها تعتمد أدوات تهدف إلى الحفاظ على وصول طويل الأمد إلى شبكات الضحايا وسرقة بيانات حساسة، إذ رصد باحثو الشركة ضحايا لهذه الحملة في أنحاء الشرق الأوسط وإفريقيا، وشملت القائمة مؤسسات في مصر، وشركات صغيرة ومتوسطة وجهات حكومية في الأردن وتنزانيا، ومؤسسات في قطاع الطيران في باكستان، وشركات اتصالات في إثيوبيا، ومؤسسات مالية في بوركينا فاسو، بحسب ما ذكر موقع الشركة الرسمي.ويشهد عام 2026 تحولاً مفصلياً في طبيعة التهديدات السيبرانية، حيث تنتقل المخاطر من استهداف الأنظمة إلى استهداف «الثقة» نفسها في الأنظمة الذكية. ومع توقعات 99% من الشركات باستخدام الذكاء الاصطناعي في عملياتها الأمنية، فإنه قد لا تكون الحدود القادمة للأمن السيبراني في أجهزتنا أو شبكاتنا، بل في قدرتنا على الثقة بما نراه، وما نعرفه، بل وحتى كيفية اتخاذنا للقرارات في عالم يزداد اعتماداً على الذكاء الاصطناعي.من الإعلانات إلى التجسسيكشف البحث عن تحول خطر حيث تم استنساخ البنية التحتية للإعلانات الرقمية الحديثة (AdTech وRTB) واستغلالها من قبل مطوري برمجيات التجسس، لنقل بيانات المستخدمين الدقيقة.بل لم يعد المستخدم بحاجة للوقوع في فخ النقر على رابط مشبوه، فالإعلانات نفسها عبر آليات تسليم البيانات في الوقت الفعلي يمكن أن تتحول إلى منصات حقن صامتة تخترق الأجهزة في الخلفية لمجرد مطابقة عنوان الIP الخاص بالضحية.وتؤكد أرقام كاسبرسكي اقتراب حظر نحو 900 مليون تهديد إعلاني متطفل في النصف الأول من 2026 (بزيادة 22% عن العام السابق)، حيث أصبحت برمجيات الإعلانات (Adware) العمود الفقري والمغلف الأساسي للبرمجيات الخبيثة، وأحصنة طروادة وأدوات جمع البيانات غير المرخصة التي تخترق ملايين الهواتف الذكية يومياً عبر التطبيقات.سيناريوهات الهجوم المتقدموتعتمد الهجمات على بعض الأنماط ومن بينها، حقن الأوامر غير المباشر، حيث يعد هذا النوع من الهجمات من أخطر التهديدات التي تواجه وكلاء الذكاء الاصطناعي. فبدلاً من استهداف المستخدم البشري، يقوم المهاجم بإخفاء تعليمات ضارة داخل المحتوى الذي يثق الوكيل بمعالجته، مثل تذكرة دعم فني أو تعليق برمجي. ولا يستطيع الوكيل التمييز بين التعليمات الشرعية وتلك المُهرّبة عبر البيانات التي يقرأها، ما قد يؤدي إلى تنفيذ إجراءات غير مصرح بها.وكذلك تظهر الهجمات على الذكاء الاصطناعي نفسه، عن طريق تسمم بيانات التدريب وإساءة استخدام الأدوات والإجراءات غير المصرح بها، والقرارات التلقائية غير الآمنة.تحذيرات الخبراءومع تسارع اعتماد المؤسسات على وكلاء الذكاء الاصطناعي القادرين على التخطيط واستخدام الأدوات واتخاذ القرارات المستقلة، حذر خبراء من أن هذه التقنيات تحمل في طياتها مخاطر أمنية غير مسبوقة.ويوضح ديمتري غالوف، رئيس وحدة روسيا ورابطة الدول المستقلة في فريق البحث والتحليل العالمي (GReAT)، أن «الأمن لم يعد مجرد حماية للنقاط الطرفية، بل أصبح يتعلق بالتحكم في كيفية انتشار الصلاحيات والقرارات عبر العمليات المترابطة التي يقودها الذكاء الاصطناعي».ويكشف التحليل أن معظم فرق الأمن لا تمتلك أي سجل جرد للوكلاء العاملين في بيئتها، ولا تملك أدوات إدارة الهوية والوصول (IAM) المصممة للتعامل مع الكيانات غير البشرية، ما يخلق فجوة حوكمة.ما أبرز التوصيات؟وتشير التوصيات إلى ضرورة، إدارة الثغرات، وتطبيق التصحيحات الأمنية بشكل استباقي، حيث يشكل استغلال الثغرات في التطبيقات والخدمات المتصلة بالإنترنت 44% من حالات الاختراق. وكذلك تأمين البريد الإلكتروني وتعزيز دفاعات التصيد الاحتيالي، خاصة مع استمرار استخدامه كمتجه اختراق رئيسي من قبل MuddyWater وMirage Kittenوحماية سلسلة التوريد، عن طريق مراقبة المكونات مفتوحة المصدر والمدمجين والموردين، خاصة مع تزايد هجمات سلسلة التوريد في أنظمة الذكاء الاصطناعي.ومراقبة الشبكات، من خلال البحث عن أنماط غريبة لحركة WebSocket وحركة الوكيل الداخلية، خاصة في القطاعات المستهدفة مثل الطيران والدفاع والمالية. وتحديث الأجهزة باستمرار.وإضافة إلى ذلك، التوعية الأمنية عن طريق تدريب مستمر للموظفين على مخاطر الهندسة الاجتماعية، خاصة عروض العمل الوهمية وروابط التصيد وصفحات مؤتمرات الفيديو المزيفةوالانتباه إلى أن التطبيقات التي ندعوها إلى جيوبنا قد تكون التهديد الأكثر خطورة، حيث قال أمين: «التهديد الأكثر خطورة ليس شخصاً يحاول الاختراق واقتحام شبكتك، بل هو التطبيق الذي دعوتَه إلى جيبك».ويقول راشد المومني المدير العام لمنطقة الشرق الأوسط لدى كاسبرسكي، إنه خلال العام الجاري تم رصد حوالي 270 مليون هجمة استهدفت الشرق الأوسط، فيما كان المعدل اليومي حوالي 500 ألف هجمة، وأوضح أنه يجري بالضرورة التنسيق مع الجهات الرسمية، وكذلك المنظمات الأمنية الدولية، مثل الإنتربول، لافتاً إلى أنه تم اعتراض وضبط نحو 100 مجرم إلكتروني بالتعاون مع هذه الجهات.ويؤكد المومني أن الاهتمام بالأمن السيبراني لم يعد رفاهية، وفي حين أن معظم المؤسسات أصبحت تعتمد تقنيات متقدمة، فإنه يحذر من الأخطاء الفردية، وهو ما يتطلب تدريباً وتوعية مستمرة، للأفراد العاملين على كافة المستويات، لافتاً إلى أنه في بعض الأحيان تقوم الشركات بعمل اختبارات للأفراد لاستكشاف مدى يقظتهم واحتمال تعرضهم للخداع.في هذه المعركة الخفية، يصبح التعاون بين الحكومات والقطاع الخاص، وتطوير القدرات الدفاعية الاستباقية، والتوعية المجتمعية، ركائز أساسية لمواجهة تهديدات لا تقل خطورة عن الاعتداءات التقليدية. ف«الخصوصية لم تعد رفاهية، والموافقة أصبحت خرافة»، والتحدي الأكبر هو استعادة الثقة في عالم رقمي أصبح كل جانب منه قابلاً للاستغلال.