في مشهد يُثبت أن العدالة الرقمية لا تُفضي بالضرورة إلى تراجع الجريمة الإلكترونية، كشفت بيانات الربع الأول من 2026 عن تحوّل هيكلي عميق في منظومة برمجيات الفدية العالمية. فبعد عامين من التشرذم وتكاثر المجموعات الصغيرة في أعقاب ضربات إنفاذ القانون المتلاحقة، يعود المشهد إلى نمط التركّز حول أقطاب كبرى أكثر قدرة وأشد خطورة.
سجّلت مواقع تسريب البيانات 2,122 ضحية خلال الربع الأول من 2026، مما يجعل هذه المرحلة الثانية في مستوى تسجيل الضحايا قياساً بأي ربع أول في التاريخ. وقد استأثرت المجموعات العشر الأكثر نشاطاً بنسبة 71 بالمئة من إجمالي الضحايا، في انعكاس حاد للتشرذم الذي شهده الربع الثالث من 2025، مما يُشير إلى أن منظومة الفدية تعود مجدداً إلى التمركز حول عدد أقل من المشغّلين المهيمنين.
الأرقام وحدها لا تُعبّر عن كامل حجم التحوّل. فالمسألة لا تتعلق فقط بعدد الضحايا، بل بطبيعة اللاعبين الذين يتصدرون المشهد، وما يحملونه من خبرات مُتراكمة أثناء عملهم مع مجموعات سابقة تعطّلت أو سقطت.
Qilin وLockBit وThe Gentlemen: من يقود موجة الفدية الجديدة
حافظت Qilin على مكانتها بوصفها أكثر عمليات الفدية نشاطاً للربع الثالث على التوالي بتسجيل 338 ضحية، فيما تُمثّل The Gentlemen القصة الأبرز في هذا الربع إذ قفزت من 40 ضحية في الربع الرابع من 2025 إلى 166 ضحية في الربع الأول من 2026، لتحتل المرتبة الثالثة عالمياً. وتأكّدت عودة LockBit 5.0 بتسجيل 163 ضحية والصعود إلى المرتبة الرابعة.
خلفية عودة LockBit تعود إلى عملية Cronos التي نفّذتها جهات إنفاذ القانون الدولية في فبراير 2024 وأسفرت عن الاستيلاء على بنيته التحتية. بعد مرور عامين على ذلك التفكيك، يبدو أن المنتسبين السابقين إلى LockBit أعادوا تنظيم صفوفهم وباتوا يبنون عمليات مستقلة بدلاً من انتظار استعادة المنظومة القديمة عافيتها، محملين معهم المعرفة المؤسسية بالبنية التحتية للتشفير وإدارة مفاوضات الفدية وتنظيم شبكات الانتساب في مغامرات إجرامية جديدة.
أما The Gentlemen، فقصتها أكثر إثارة من مجرد أرقام. مؤسس المجموعة الذي يعمل تحت اسم hastalamuerte كان منتسباً متمرساً عمل سابقاً مع Embargo وLockBit وMedusa قبل أن ينضم إلى Qilin، وغادرها إثر نزاع على عمولة غير مدفوعة تُقدَّر بنحو 48 ألف دولار. وقد وظّف خزيناً مُعدّاً مسبقاً من نحو 14700 جهاز مُخترق عبر ثغرات FortiGate، مما مكّنه من نشر 38 ضحية في الأسابيع الأولى من التشغيل.
البرنامج الذي تعمل به The Gentlemen يُغري الشركاء بحصة 90 بالمئة من الفدية، وهو أعلى بعشر نقاط مما كان يُقدّمه LockBit تاريخياً، فضلاً عن أداة تشفير تعمل دون صلاحيات مدير النظام وتدعم بيئات Windows وLinux وNAS وBSD وESXi، وتتضمن وضعاً صامتاً مُصمَّماً لتفادي أنظمة الكشف المعتمدة على تتبع تغيير أسماء الملفات.
تشرذم ثم تمركز: دورة متكررة تزيد الخطر لا تُقلّله
بلغت المجموعات النشطة ذروتها عند 85 مجموعة في الربع الثالث من 2025 حين انخفضت حصة العشر الأوائل إلى 57 بالمئة، ثم عاد التمركز ليرفع تلك الحصة إلى 71.1 بالمئة وهو أعلى تركّز منذ الربع الأول من 2024، في حين انخفض عدد المجموعات النشطة من 85 إلى 71. وعلى الرغم من ظهور 21 مجموعة جديدة، فإن معظمها لم يتجاوز عشر ضحايا ولم تتمكن من ملء الفراغ الذي خلّفه اختفاء المشغّلين متوسطي المستوى.
هذا النمط له منطق اقتصادي واضح. المجموعات الكبرى لبرمجيات الفدية كخدمة تستثمر في الاتساق التشغيلي بما في ذلك أدوات فك تشفير فعّالة، لأن نموذج أعمالها يعتمد على الانطباع بأن دفع الفدية يُفضي فعلاً إلى استعادة البيانات. في المقابل، أفرز تشرذم 2025 عشرات المشغّلين العابرين الذين لا حافز لديهم للاستثمار في جودة الخدمة.
بعبارة أخرى، التمركز لا يعني أقل خطورة، بل يعني خطورة أكثر انتظاماً وأعلى احترافاً وأصعب التنبؤ بها. المجموعات الكبيرة تُكمل الصفقة وتُسلّم مفاتيح فك التشفير بعد الدفع لأن سمعتها التجارية تعتمد على ذلك.
اقتصاد الفدية في مفترق طرق: نمو في الضحايا وتراجع في الأرباح
تُظهر المؤشرات الاقتصادية لمنظومة الفدية علامات ضغط حقيقية؛ فمعدلات الدفع تراجعت إلى مستويات تاريخية متدنية، وحملات سرقة البيانات الجماعية تُدرّ عوائد متناقصة. الفجوة بين تزايد الضحايا المنشورين على مواقع التسريب وتراجع قيمة كل ضحية قد تُسرّع وتيرة التمركز الجارية، إذ تُقصي المشغّلين الذين لا يستطيعون تحقيق حجم أعمال كافٍ أو درجة كافية من التطور للبقاء مربحين.
وفي سياق برامج الانتساب الناشئة، ظهرت برامج RaaS جديدة تحمل أسماء Hyflock وThe Gentlemen في مايو 2026. في الرابع عشر من مايو 2026، فتح مشغّل يستخدم اسم hyflock123 خيطَ تجنيد على منتدى Duty-Free مدّعياً العمل السابق لدى LockBit وQilin، فيما نفّذ hastalamuerte مؤسس The Gentlemen حملة تجنيد على BreachForums بحصة انتساب 90 بالمئة، وهو الشراكة التي أعلن عنها المنتدى رسمياً في السادس عشر من الشهر ذاته.
التحوّل الهيكلي الأبرز هنا هو السوق المتكامل الذي يُتيحه برنامج كـ Hyflock، إذ اعتاد المنتسب في الماضي أن يبحث منفصلاً عن الوصول إلى الشبكات المستهدفة، أما الآن فيجد في لوحة واحدة الشراء والتفاوض والنشر، مع غرفة تفاوض تُولَد تلقائياً لكل بنية تشفير. وقد انخفض الوقت الوسيط بين الاختراق وتنفيذ برنامج الفدية بشكل حاد في السنوات الأخيرة، وتجميع سلسلة التوريد في لوحة واحدة سيواصل دفع هذا الرقم نحو الانخفاض.
