أظهر تقرير جديد صادر عن Ransom-ISAC أن كياناً حكومياً أميركياً دفع نحو مليون دولار لمجموعة تُدعى Kairos مقابل عدم نشر ملفات حساسة تمت سرقتها. المثير أن هذه المجموعة لا تُشبه عصابات الفدية التقليدية، إذ لم تستخدم أي أدوات تشفير أو قفل للأنظمة، بل اكتفت بسرقة البيانات وابتزاز الضحية بعدم تسريبها.
تفاصيل القضية والجهة المستهدفة
لم يُذكر اسم الضحية بشكل رسمي، لكن الدلائل تشير إلى مقاطعة يونيون – أوهايو. الملفات المسروقة تضمنت أسماء مثل Union.xlsx وunion.rar، إضافة إلى مجلد خاص بمكتب الادعاء العام، حيث هدد المهاجمون بأن تسريبه قد يساعد مجرمين على الإفلات من المحاكمة. في مايو 2025، أعلنت المقاطعة بالفعل عن تعرضها لهجوم وصفته بـ”الفدية”، وأبلغت أكثر من 45,000 شخص بتسرب بياناتهم، بما في ذلك أرقام الضمان الاجتماعي، التفاصيل المالية، بصمات الأصابع، وأرقام جوازات السفر.
مسار المفاوضات والدفع
المفاوضات استمرت شهراً كاملاً. بدأ المهاجمون بطلب 3 ملايين دولار مقابل عدم النشر، بينما عرضت المقاطعة في البداية 100 ألف دولار فقط. بعد عدة جولات، استقر المبلغ النهائي عند مليون دولار، أي عشرة أضعاف العرض الأول. تم الدفع في 13 يونيو 2025 عبر تحويل 9.44 بيتكوين إلى محفظة مرتبطة بالمجموعة، ثم جرى تقسيم المبلغ وتحويله عبر محافظ متعددة وصولاً إلى منصات تداول مثل Bybit وOKX وخدمة روسية تُدعى BELQI. ورغم تقديم المهاجمين “ملف إثبات الحذف”، إلا أنه لم يبرهن على محو البيانات فعلياً، ما يجعل الدفع أقرب إلى “رهان على كلمة اللص”.
تحولات في مشهد هجمات الفدية
القضية تكشف عن تحول مهم في طبيعة الهجمات: لم يعد التشفير هو السلاح الأساسي. تقرير Sophos في 2025 أشار إلى أن نصف هجمات الفدية فقط باتت تتضمن تشفيراً، بينما تعتمد البقية على الابتزاز عبر تسريب البيانات. مجموعات مثل Silent Ransom Group، المنبثقة عن Conti، تبنت هذا الأسلوب منذ سنوات واستهدفت مؤسسات قانونية ومالية أميركية دون استخدام أي أدوات تشفير.
الدروس المستخلصة للشبكات الحكومية
القضية تقدم دروساً عملية للكيانات الحكومية الصغيرة:
- تفعيل المصادقة متعددة العوامل، إذ زعمت كايروس أنها اخترقت الشبكة عبر تخمين كلمة مرور.
- مراقبة محاولات تسجيل الدخول الفاشلة المتكررة والتحويلات الكبيرة للبيانات.
- عزل ملفات حساسة مثل السجلات القانونية والموارد البشرية عن باقي الشبكة.
- الاستعداد بخطة إعلامية مسبقة لمواجهة أي حادثة تسريب.
- والأهم: عدم الوثوق بوعود المهاجمين بحذف البيانات، فهي بلا قيمة حقيقية.
