كشفت وكالات استخبارات وأمن سيبراني من الولايات المتحدة والمملكة المتحدة وألمانيا عن تصاعد خطير في نشاط عصابة الفدية الإلكترونية SafePay، بعدما تجاوز عدد ضحاياها 600 مؤسسة ومنظمة في أمريكا الشمالية وأمريكا الجنوبية وأوروبا وأستراليا منذ أغسطس 2024، ما يجعلها واحدة من أبرز مجموعات الفدية التي برزت خلال العامين الماضيين. وقد جاء هذا الكشف في إطار تحذير أمني مشترك يسلط الضوء على أساليب العصابة وتكتيكاتها المتطورة في استهداف المؤسسات الحكومية والخاصة والبنى التحتية الحيوية.
وتشير المعطيات إلى أن نجاح SafePay لا يعود إلى امتلاكها ثغرات غير معروفة أو أدوات اختراق استثنائية، بل إلى قدرتها على استغلال نقاط ضعف معروفة ومهملة في بيئات العمل، إلى جانب الاعتماد على شبكات وسطاء الوصول الأولي الذين يبيعون للمجموعة مفاتيح الدخول إلى الأنظمة المستهدفة.
استغلال الثغرات المعروفة مفتاح الهجمات الكبرى
بحسب التحذير الأمني المشترك، تعتمد SafePay بصورة أساسية على استغلال ثغرات أمنية مكشوفة ومصححة مسبقًا في العديد من المنتجات المتصلة بالإنترنت وأجهزة الحافة الشبكية. ومن بين أبرز الثغرات التي استُخدمت خلال الهجمات CVE-2020-3259 وCVE-2023-20269 وCVE-2023-27532 وCVE-2024-40711 وCVE-2024-40766.
ويعكس هذا النموذج أحد أبرز التحديات التي تواجه المؤسسات الحديثة، حيث لا تزال نسبة كبيرة من الاختراقات الناجحة ترتبط بعدم تثبيت التحديثات الأمنية في الوقت المناسب. فالمهاجمون غالبًا لا يحتاجون إلى تطوير أدوات معقدة طالما أن الأنظمة المستهدفة تحتوي على ثغرات معروفة ومتاحة للعامة.
وفي الحالات التي لا تنجح فيها استغلالات الثغرات، تلجأ العصابة إلى أساليب أخرى تشمل كشف بيانات الاعتماد أو هجمات تخمين كلمات المرور بالقوة الغاشمة للوصول الأولي إلى الشبكات المستهدفة. وبعد الحصول على موطئ قدم داخل البيئة الرقمية للمؤسسة، تبدأ مراحل أكثر تعقيدًا تشمل تثبيت آليات البقاء والاستمرارية، ثم تصعيد الامتيازات والتحرك الجانبي داخل الشبكة قبل سرقة البيانات ونشر برمجيات الفدية.
نموذج عمل احترافي قائم على الوسطاء
تكشف البيانات الواردة في التحذير الأمني أن الجماعات الحديثة لم تعد تعتمد كليًا على قدراتها الذاتية للوصول إلى الضحايا، بل أصبحت تعمل ضمن منظومة إجرامية متكاملة تشبه إلى حد كبير سلاسل التوريد في عالم الأعمال الشرعية.
وفي هذا النموذج يظهر ما يعرف بوسطاء الوصول الأولي، وهم جهات متخصصة في اختراق المؤسسات أو الحصول على بيانات دخولها ثم بيع هذا الوصول لمجموعات الفدية. وتقوم تلك المجموعات بعد ذلك باستكمال بقية مراحل العملية الهجومية.
ويُلاحظ أن هذا النموذج أصبح شائعًا على نطاق واسع بين عصابات الفدية خلال السنوات الأخيرة لأنه يسمح بتوزيع المهام وتقليل المخاطر ورفع كفاءة العمليات. فبدلًا من أن تستثمر المجموعة وقتها في البحث عن الأهداف واختراقها، تستطيع شراء وصول جاهز إلى أنظمة حساسة مقابل مبالغ مالية متفاوتة.
مقارنة مع تهديدات الفدية الأخرى
يأتي التحذير الجديد بعد أشهر قليلة من إعلان الوكالات الأمريكية أن جماعة Medusa للفدية تمكنت من استهداف أكثر من 500 ضحية في قطاعات البنية التحتية الحيوية حتى أبريل 2026. كما أوضحت الجهات الأمنية حينها أن مطوري Medusa وشركاءهم واصلوا الاعتماد على استغلال الثغرات غير المصححة باعتبارها وسيلتهم الرئيسية للوصول الأولي إلى المؤسسات المستهدفة.
وتشير المعلومات إلى أن Medusa تعتمد بدورها على وسطاء الوصول الأولي، حيث تدفع مبالغ تتراوح بين 100 دولار ومليون دولار للحصول على إمكانية الوصول إلى الضحايا المحتملين. وفي الوقت نفسه لم ترصد الوكالات الأمنية أي مؤشرات تدل على قيام عناصر Medusa بتطوير ثغرات يوم صفري أو ثغرات حديثة غير معروفة بشكل مستقل.
ويعطي هذا التشابه بين SafePay وMedusa صورة واضحة عن تطور اقتصاد الجريمة الإلكترونية، حيث تعتمد المجموعات المختلفة على منظومة متشابكة من البائعين والوسطاء والخبراء التقنيين الذين يقدمون خدمات متخصصة مقابل عوائد مالية كبيرة.
لماذا تتزايد خطورة هجمات الفدية؟
شهدت الأعوام الأخيرة تحول هجمات الفدية من عمليات ابتزاز محدودة إلى صناعة إجرامية عالمية تدر مليارات الدولارات سنويًا. ولم يعد الهدف مقتصرًا على تشفير الملفات وطلب الفدية، بل أصبح يشمل سرقة البيانات الحساسة أولًا ثم التهديد بنشرها في حال رفض الضحية الدفع.
كما ساهمت بيئات العمل الهجينة والاعتماد المتزايد على الخدمات السحابية والعمل عن بُعد في توسيع مساحة الهجوم المتاحة للمجرمين الإلكترونيين. وأصبحت المؤسسات تمتلك أعدادًا متزايدة من الأنظمة والتطبيقات المكشوفة على الإنترنت، ما يمنح المهاجمين فرصًا أكبر للبحث عن نقاط ضعف غير معالجة.
ويرى خبراء الأمن السيبراني أن أخطر ما تكشفه قضية SafePay هو أن مئات الاختراقات الناجحة لم تعتمد على أدوات خارقة أو تقنيات غير مسبوقة، بل على ثغرات معروفة وبيانات اعتماد مكشوفة وإعدادات أمنية غير محكمة. وهذا يعني أن جزءًا كبيرًا من المخاطر يمكن تقليصه عبر الالتزام الصارم بإدارة التحديثات الأمنية، وتطبيق المصادقة متعددة العوامل، ومراقبة الأنشطة المشبوهة داخل الشبكات، وتقليل عدد الخدمات المعرضة مباشرة للإنترنت.
وتؤكد هذه التطورات أن معركة الأمن السيبراني لم تعد تقتصر على امتلاك التقنيات الدفاعية الحديثة، بل تعتمد بدرجة كبيرة على الانضباط التشغيلي والقدرة على سد الثغرات المعروفة قبل أن تتحول إلى بوابة لاختراقات واسعة النطاق تقودها عصابات الفدية العالمية.
