برمجيات الفدية المشفرة

ما برمجيات الفدية المشفرة؟

برمجيات الفدية المشفرة هي برامج ضارة أو مخططات ابتزاز تمنع الوصول إلى البيانات، أو تشفر الملفات، أو تسرق المعلومات الحساسة، أو تعطل أنظمة الكمبيوتر، ثم تطالب بدفع مبلغ بالعملات المشفرة.

يُطلق عادةً على المبلغ المطلوب «فدية مشفرة».

قد يتعهد المهاجمون بتوفير مفتاح لفك التشفير، أو استعادة الوصول إلى النظام، أو حذف البيانات المسروقة، أو الامتناع عن نشر المعلومات السرية بعد استلام المبلغ.

لكن لا يوجد ما يضمن وفاء المهاجمين بأي من هذه الوعود.

وقد يُستخدم مصطلح «برمجيات الفدية المشفرة» أيضًا لوصف برمجيات الفدية التي تستهدف تحديدًا مستخدمي العملات المشفرة، ومالكي المحافظ، وشركات البلوكشين، وعمليات التعدين، والتطبيقات اللامركزية، أو المؤسسات التي تحتفظ بأصول رقمية.

يجب عدم الخلط بين برمجيات الفدية المشفرة وCryptojacking، الذي يستخدم موارد الحوسبة الخاصة بالضحية سرًا لتعدين العملات المشفرة.

وتختلف هذه البرمجيات أيضًا عن عمليات الاحتيال العادية المرتبطة بالعملات المشفرة، إذ تنطوي برمجيات الفدية عادةً على وصول غير مصرح به إلى الأنظمة، أو برمجيات ضارة، أو بيانات مسروقة، أو تهديد مباشر للعمليات الرقمية.

كيف تُستخدم العملات المشفرة في هجمات الفدية؟

تُستخدم العملات المشفرة عادةً وسيلةً للدفع، لا التقنية التي تسبب الإصابة ببرمجيات الفدية.

عادةً ما يزوّد المهاجم الضحية بعنوان محفظة عملات مشفرة ويطلب منها تحويل مبلغ محدد قبل موعد نهائي.

قد تحدد رسالة الفدية الأصل المطلوب، وشبكة البلوكشين، ومبلغ الدفع، وتعليمات التواصل مع المهاجم.

وقد يستخدم بعض المهاجمين بوابة اتصال مخفية تتيح للضحية التفاوض، وتلقي تعليمات الدفع، وطلب تجربة لفك التشفير.

قد يخصص المهاجم عنوان محفظة مختلفًا لكل ضحية حتى يمكن تتبع المدفوعات كلٌّ على حدة.

بعد استلام العملات المشفرة، قد يحولها المهاجم عبر عناوين أو خدمات إضافية في محاولة لإخفاء مصدرها الإجرامي.

لكن هذه التحويلات لا تجعل معاملات العملات المشفرة غير مرئية، لأن البلوكشين العامة تحتفظ عادةً بسجلات دائمة للمعاملات.

لماذا يطلب مهاجمو برمجيات الفدية الدفع بالعملات المشفرة؟

قد يفضل مهاجمو برمجيات الفدية العملات المشفرة لأنها تتيح التحويل دوليًا دون اشتراط استخدام المرسل والمستلم البنك نفسه.

يمكن إرسال الدفعة مباشرةً إلى عنوان محفظة في أي وقت من اليوم.

يصعب عادةً على المرسل إلغاء معاملة البلوكشين بعد تأكيدها أو استردادها عبر طلب رد المبلغ.

يمكن للمهاجم إنشاء عدة عناوين محافظ دون إظهار اسمه الشخصي على البلوكشين.

ويمكن أيضًا نقل العملات المشفرة عبر عدة محافظ وخدمات بعد الدفع.

لكن هذه الخصائص لا تجعل العملات المشفرة مجهولة الهوية تمامًا.

عادةً ما تكون عناوين المحافظ مستعارة الهوية؛ أي إن العنوان ظاهر، حتى عندما لا تُعرض هوية مالكه الحقيقية علنًا.

يمكن للمحققين تتبع مسارات المعاملات وربط عنوان ما بخدمة أو جهاز أو حساب أو شخص يمكن تحديد هويته.

ما مدى خطورة برمجيات الفدية المشفرة؟

قد تعطل برمجيات الفدية عمليات الرعاية الصحية والتصنيع والحكومة والتعليم والنقل والتمويل وغيرها من العمليات الأساسية.

قد يؤدي الهجوم إلى فقدان البيانات، وتعطل الأعمال، وتكاليف قانونية، وإشعارات للعملاء، ونفقات للأمن السيبراني، والإضرار بالسمعة، وفقدان الإيرادات.

سجّل تقرير الجرائم عبر الإنترنت لعام 2025 الصادر عن FBI أكثر من 3,600 شكوى تتعلق ببرمجيات الفدية، وأفاد بخسائر تجاوزت 32 مليون دولار.

وذكر التقرير أيضًا أن هذا الرقم لا يشمل عادةً خسائر الأعمال، ووقت الموظفين، والأجور، والملفات، والمعدات، وخدمات المعالجة التي تقدمها جهات خارجية.

لا تُبلغ بعض المؤسسات عن مبلغ مالي، أو تبلغ عن الحادثة مباشرةً إلى أحد المكاتب الميدانية لـFBI بدلًا من تقديمها عبر مركز شكاوى الجرائم عبر الإنترنت.

لذلك يُرجح أن يكون الأثر الاقتصادي الحقيقي لبرمجيات الفدية المشفرة أكبر بكثير من إجمالي الخسائر المباشرة المُبلغ عنها.

وحدد التقرير نفسه 63 نوعًا جديدًا من برمجيات الفدية خلال 2025، ما يدل على استمرار تغير التهديد بسرعة.

كيف يعمل هجوم برمجيات الفدية المشفرة؟

1. الوصول الأولي

يحصل المهاجم أولًا على إمكانية الوصول إلى جهاز أو حساب مستخدم أو بيئة سحابية أو شبكة مؤسسية.

قد ينجم الوصول الأولي عن التصيد الاحتيالي، أو بيانات اعتماد مسروقة، أو كلمات مرور ضعيفة، أو ثغرة لم تُعالج بتحديث، أو برامج الوصول عن بُعد، أو خدمة مكشوفة على الإنترنت.

وقد يخترق المهاجمون أيضًا مورّدًا أو متعاقدًا أو مزود خدمات مُدارة أو طرفًا ثالثًا موثوقًا آخر.

قد تشمل الهجمات الحالية مكالمات هاتفية ينتحل فيها المجرم صفة موظف داخلي في تقنية المعلومات.

تتضمن تنبيهات FBI السيبرانية لعام 2026 تحذيرات من الهندسة الاجتماعية المرتبطة ببرمجيات الفدية ومن انتحال المجرمين صفة موظفي تقنية المعلومات.

2. إحكام السيطرة

بعد دخول البيئة، قد يحاول المهاجم الحفاظ على إمكانية الوصول والحصول على صلاحيات أعلى للحسابات.

قد يبحث المجرم عن بيانات اعتماد إدارية، وأدوات للإدارة عن بُعد، ووحدات تخزين مشتركة، ونسخ احتياطية، وأنظمة أمنية، وبيانات قيّمة.

وقد يبقى المهاجم غير مكتشف بينما يتعرف إلى طريقة عمل المؤسسة.

وقد تتيح هذه الفترة للمجرم تحديد الأنظمة التي سيؤدي تعطيلها إلى أكبر ضغط لدفع الفدية.

3. اكتشاف البيانات وسرقتها

تبحث عمليات كثيرة لبرمجيات الفدية عن سجلات العملاء، والمعلومات المالية، والوثائق القانونية، والملكية الفكرية، وبيانات المحافظ، والشفرة المصدرية، ومعلومات الموظفين.

قد ينسخ المهاجمون الملفات القيّمة قبل تشفير أنظمة المؤسسة.

وتشكل البيانات المسروقة وسيلة ضغط إضافية، لأن الاستعادة من النسخ الاحتياطية لا تمنع المهاجم من التهديد بنشرها.

4. تعطيل وسائل الحماية والنسخ الاحتياطية

قد يحاول المهاجم التدخل في برامج الأمان، وأدوات المراقبة، وميزات استعادة النظام، والنسخ الاحتياطية التي يمكن الوصول إليها.

قد تُشفّر النسخ الاحتياطية المتصلة أو تُحذف إلى جانب بيانات الأنظمة التشغيلية.

لذلك ينبغي للمؤسسات الاحتفاظ بنسخ احتياطية محمية لا يمكن تعديلها باستخدام حسابات الإنتاج العادية.

5. التشفير أو تعطيل العمليات

قد تشفر برمجيات الفدية الملفات على أجهزة الكمبيوتر والخوادم ومحركات الأقراص المشتركة والتخزين السحابي والأنظمة المتصلة.

تقفل بعض الأنواع الجهاز نفسه أو تمنع تشغيل التطبيقات المهمة.

وتستهدف هجمات أخرى سرقة البيانات والتهديد دون تشفير أي ملفات.

قد يتلف الهجوم التخريبي البيانات حتى عندما توحي رسالة الفدية بإمكانية استعادتها.

6. طلب فدية بالعملات المشفرة

يرسل المهاجم رسالة فدية تتضمن طلبًا للدفع بالعملات المشفرة وموعدًا نهائيًا للدفع.

قد تهدد الرسالة بزيادة المبلغ، أو نشر المعلومات المسروقة، أو التواصل مع العملاء، أو إتلاف مفتاح فك التشفير نهائيًا.

يُستخدم الضغط بالاستعجال لدفع المسؤولين إلى اتخاذ قرار قبل أن يتمكنوا من التحقيق في الهجوم أو استشارة جهات إنفاذ القانون.

7. الدفع واحتمال فك التشفير

ترسل الضحية التي تدفع العملات المشفرة إلى العنوان الذي حدده المهاجم.

قد يقدم المهاجم برنامجًا لفك التشفير، أو تعليمات غير مكتملة، أو مفتاحًا تالفًا، أو لا يقدم شيئًا على الإطلاق.

وحتى أداة فك التشفير التي تعمل قد تستغرق وقتًا طويلًا لاستعادة البيانات، وقد لا تصلح كل الأنظمة المتضررة.

لا يؤدي الدفع إلى إزالة البرمجيات الضارة، أو معالجة الثغرة الأمنية الأصلية، أو إثبات حذف البيانات المسروقة.

أنواع برمجيات الفدية المشفرة

برمجيات الفدية بالتشفير

تجعل برمجيات الفدية بالتشفير الملفات غير قابلة للقراءة عبر تشفيرها تشفيريًا وحجب مفتاح فك التشفير اللازم.

يُطلب من الضحية إرسال عملات مشفرة مقابل المفتاح أو برنامج فك التشفير.

قد يستحيل فك تشفير قوي دون الوصول إلى المفتاح الصحيح.

وقد تتضمن برمجيات الفدية ضعيفة التنفيذ أخطاءً تتيح أحيانًا لباحثي الأمن إنشاء أداة مجانية لفك التشفير.

برمجيات الفدية القافلة

تمنع برمجيات الفدية القافلة المستخدم من الوصول إلى جهاز أو نظام تشغيل أو تطبيق.

قد تظل الملفات الأساسية غير مشفرة، لكن الضحية لا تستطيع الوصول إليها عبر الواجهة المعتادة.

وقد تزعم شاشة الفدية زورًا أنها صادرة عن جهات إنفاذ القانون أو سلطة أخرى.

برمجيات الفدية ذات الابتزاز المزدوج

يجمع الابتزاز المزدوج بين تشفير البيانات وسرقتها.

يطالب المهاجم بالعملات المشفرة مقابل مفتاح فك التشفير، ويهدد أيضًا بنشر المعلومات المسروقة أو بيعها.

تحد هذه الطريقة من الحماية التي توفرها النسخ الاحتياطية، لأن خطر كشف البيانات يظل قائمًا حتى بعد استعادة الأنظمة.

يتناول دليل CISA لمكافحة برمجيات الفدية تشفير برمجيات الفدية وحوادث ابتزاز البيانات على حد سواء.

برمجيات الفدية ذات الابتزاز الثلاثي

يضيف الابتزاز الثلاثي أسلوب ضغط آخر إلى التشفير وسرقة البيانات.

قد يتواصل المهاجمون مع العملاء أو الموظفين أو الموردين أو شركاء الأعمال الذين سُرقت معلوماتهم.

وقد يهددون أيضًا بمزيد من التعطيل أو يستهدفون طرفًا آخر مرتبطًا بالضحية الأصلية.

الابتزاز بسرقة البيانات فقط

يسرق بعض المجرمين المعلومات ويطالبون بالعملات المشفرة دون نشر برمجيات ضارة تشفر الملفات.

عدم وجود تشفير لا يعني أن الحادثة غير مؤذية، إذ قد يمتلك المهاجم بيانات حساسة أو خاضعة للتنظيم.

ينبغي للمؤسسات التعامل مع ادعاءات ابتزاز البيانات الموثوقة باعتبارها خروقات أمنية محتملة.

برمجيات الفدية كخدمة

برمجيات الفدية كخدمة نموذج أعمال إجرامي يوفّر فيه مطورو برمجيات الفدية البرمجيات الضارة والبنية التحتية للدعم لمهاجمين آخرين.

غالبًا ما يُطلق على المهاجمين المشاركين اسم «الشركاء» (Affiliates).

وقد يتقاسم المشغّل والشريك مدفوعات العملات المشفرة التي يحصلون عليها من الضحايا.

يتيح هذا النموذج لمجرمين ذوي مهارات مختلفة التعاون، وقد ينتج عنه تنفيذ هجمات كثيرة باستخدام عائلة برمجيات الفدية نفسها.

برمجيات الفدية التي تستهدف مالكي العملات المشفرة

تستهدف بعض حملات برمجيات الفدية تحديدًا أشخاصًا أو شركات يُعتقد أنها تملك عملات مشفرة.

قد يبحث المهاجمون في الأجهزة المصابة عن تطبيقات المحافظ، وإضافات المتصفح، وسجلات الحسابات، والمفاتيح الخاصة، أو عبارات الاسترداد.

لذلك قد تتحول حادثة برمجيات الفدية إلى سرقة مباشرة للعملات المشفرة، حتى إذا رفضت الضحية دفع الفدية.

ينبغي عدم حفظ عبارات الاسترداد والمفاتيح الخاصة في ملفات غير محمية على أجهزة متصلة بالإنترنت.

أبرز طرق تنفيذ هجمات برمجيات الفدية المشفرة

رسائل البريد والرسائل الاحتيالية

قد تحتوي رسالة تصيد احتيالي على مرفق ضار، أو صفحة تسجيل دخول خادعة، أو رابط يثبت برنامجًا للوصول عن بُعد.

وقد تنتحل الرسالة صفة فاتورة أو إشعار شحن أو مستند قانوني أو تحذير أمني أو طلب توظيف أو إعادة تعيين كلمة مرور.

ينبغي للمستخدمين التحقق من الطلبات غير المعتادة عبر وسيلة اتصال مستقلة قبل فتح الملفات أو إدخال بيانات الاعتماد.

بيانات الاعتماد المسروقة

يمكن لكلمات المرور التي تُجمع عبر التصيد الاحتيالي أو البرمجيات الضارة أو اختراقات البيانات أو إعادة استخدام كلمات المرور أن تتيح وصولًا مباشرًا إلى أنظمة الأعمال.

يمكن للمصادقة متعددة العوامل تقليل قيمة كلمة المرور المسروقة، لكن لا يزال من الممكن استهداف أساليب المصادقة الأضعف.

ينبغي توفير حماية قوية خصوصًا للحسابات الإدارية وحسابات الوصول عن بُعد.

البرمجيات التي لم تُحدّث

يبحث المهاجمون باستمرار عن ثغرات معروفة في البرمجيات المتصلة بالإنترنت، وجدران الحماية، وأدوات الوصول عن بُعد، والخوادم.

يمكن للتحديثات الأمنية في الوقت المناسب سد الثغرات قبل استخدامها لاختراق الشبكة.

ينبغي للمؤسسات الاحتفاظ بجرد دقيق لمعرفة الأنظمة التي تحتاج إلى تحديثات أو استبدال.

الخدمات عن بُعد

قد تتيح خدمات سطح المكتب البعيد والشبكات الخاصة الافتراضية وأدوات الإدارة عن بُعد، إذا لم تُؤمّن جيدًا، نقطة دخول لمهاجمي برمجيات الفدية.

ينبغي حصر الوصول عن بُعد ومراقبته وحمايته بمصادقة قوية وتعطيله عندما لا تكون هناك حاجة إليه.

الوصول عبر أطراف ثالثة

قد يمتلك مورّد أو مزود تقني وصولًا موثوقًا إلى بيئات كثير من العملاء.

وقد يتيح اختراق أحد المزودين للمهاجم الوصول إلى مؤسسات متعددة.

ينبغي للعقود والضوابط التقنية أن تحصر وصول الأطراف الثالثة في الأنظمة والفترات الزمنية الضرورية فعلًا.

انتحال صفة الدعم التقني

قد يتصل المهاجم بموظف مدعيًا ضرورة تثبيت برنامج لحل مشكلة تقنية.

وقد يتيح البرنامج المطلوب الوصول عن بُعد، ثم يُستخدم لاحقًا لسرقة البيانات أو نشر برمجيات الفدية.

ينبغي للموظفين التحقق من طلبات الدعم غير المتوقعة عبر إجراءات مكتب المساعدة المعتمدة في المؤسسة.

هل دفع الفدية المشفرة مجهول الهوية؟

لا يكون دفع الفدية المشفرة مجهول الهوية تلقائيًا، إذ قد تُسجل المعاملة على بلوكشين عامة.

قد يظل مبلغ الدفع، وعنوان الإرسال، وعنوان الاستلام، والطابع الزمني، والتحويلات اللاحقة ظاهرة.

يمكن للمحققين فحص حركة الأموال ومعرفة ما إذا وصلت إلى خدمة يمكن تحديد هويتها.

قد تحتفظ خدمة حفظ الأصول بسجلات الهوية والأجهزة والحسابات والمعاملات التي لا تظهر على البلوكشين.

كما يمكن لتحليل البلوكشين ربط عناوين تبدو جزءًا من العملية الإجرامية نفسها.

لكن التتبع لا يضمن استرداد الأموال، إذ قد تتحرك بسرعة أو تصل إلى ولايات قضائية يصعب فيها التعاون القانوني.

هل يمكن استرداد فدية مدفوعة بالعملات المشفرة؟

يصعب عمومًا على المرسل التراجع عن دفعة مؤكدة بالعملات المشفرة.

قد يصبح الاسترداد ممكنًا عندما تحدد جهات إنفاذ القانون محفظة المهاجم وتصادرها، أو تجمد الأموال لدى إحدى الخدمات، أو تحصل على المفاتيح الخاصة اللازمة.

في أغسطس 2025، أعلنت وزارة العدل الأمريكية مصادرة أكثر من 2.8 مليون دولار من العملات المشفرة وأصول أخرى مرتبطة بنشاط مزعوم لبرمجيات الفدية وغسل الأموال.

وصادرت عملية أخرى في 2025 بنية تحتية لبرمجيات الفدية وأكثر من مليون دولار من العملات الافتراضية، ما يبين أن عائدات الفدية المشفرة يمكن أحيانًا تحديدها وتجميدها.

لكن هذه الحالات لا تعني إمكانية استرداد كل دفعة من الضحايا.

قد يساعد الإبلاغ السريع وتقديم أدلة كاملة عن المعاملات على تزويد المحققين بمعلومات أفضل.

هل ينبغي دفع الفدية المشفرة؟

لا يؤيد FBI دفع الفدية، لأن الدفع لا يضمن استعادة البيانات ويحفز المجرمين على مواصلة استهداف الضحايا.

وتنصح إرشادات الوكالة بشأن برمجيات الفدية الضحايا بالإبلاغ عن الهجمات حتى إن قرروا عدم الدفع.

قد يؤدي الدفع إلى الحصول على مفتاح فعال لفك التشفير، لكنه قد ينتهي أيضًا بأداة معطوبة، أو طلب إضافي، أو عدم تلقي أي رد.

وقد يحتفظ المهاجم بالبيانات المسروقة بعد وعده بحذفها.

وقد يستهدف المجرمون المؤسسة التي دفعت مرة أخرى، لأنهم يعلمون أنها سبق أن دفعت.

قد يتضمن القرار اعتبارات تتعلق بالسلامة والعمليات والقانون والتأمين واللوائح والشؤون المالية.

ينبغي للمؤسسات التي تواجه طلب فدية نشطًا استشارة خبراء مؤهلين للاستجابة للحوادث، ومستشار قانوني، وشركات التأمين، والإدارة العليا، والجهات المختصة بإنفاذ القانون.

مخاطر العقوبات المرتبطة بمدفوعات برمجيات الفدية المشفرة

قد ينطوي دفع الفدية على مخاطر متعلقة بالعقوبات إذا كان المستلم شخصًا أو مؤسسة أو ولاية قضائية أو عنوان محفظة خاضعًا للعقوبات.

قد تسري قواعد العقوبات الأمريكية حتى عندما لا تعرف الضحية الهوية الحقيقية للمهاجم.

يوضح التنبيه الاستشاري لمكتب مراقبة الأصول الأجنبية بشأن مدفوعات الفدية مخاطر العقوبات المحتملة المرتبطة بتسهيل هذه المدفوعات.

وقد يتعين على الوسطاء وشركات التأمين والمفاوضين والمؤسسات المالية وغيرهم من المشاركين مراعاة التزاماتهم القانونية أيضًا.

قد يكون للإبلاغ السريع والتعاون مع السلطات وممارسات الأمن السيبراني القوية أهمية عند تقييم الجهات التنظيمية للحادثة.

تختلف العقوبات ومتطلبات الإبلاغ باختلاف الولاية القضائية؛ لذا ينبغي للمؤسسة الحصول على مشورة تناسب موقعها وظروفها.

ما الإجراءات الواجب اتخاذها بعد هجوم ببرمجيات الفدية المشفرة؟

1. عزل الأنظمة المتضررة

افصل الأجهزة والخوادم والأجهزة المتضررة عن الشبكات السلكية واللاسلكية والسحابية وعن الوصول عن بُعد، بأسرع ما يمكن.

توصي إرشادات CISA للاستجابة لبرمجيات الفدية بعزل الأنظمة المتأثرة فورًا.

عمومًا، لا ينبغي إيقاف تشغيل الجهاز إلا إذا تعذر فصله عن الشبكة أو إذا وجّه فريق الاستجابة للحوادث بذلك.

قد يؤدي إيقاف الجهاز إلى فقدان أدلة متطايرة قد تساعد المحققين على فهم الهجوم.

2. تفعيل خطة الاستجابة للحوادث

أبلغ فرق الأمن والقانون والخصوصية والاتصالات والإدارة واستمرارية الأعمال الداخلية المحددة في خطة الاستجابة للحوادث.

استخدم وسائل اتصال لا تخضع لسيطرة الشبكة المخترقة.

لا تستخدم حساب بريد إلكتروني متأثرًا لمناقشة خطط الاستجابة إذا كان من المحتمل أن المهاجم ما زال قادرًا على الوصول إليه.

3. حماية الأصول المشفرة

تحقق مما إذا كانت الأجهزة المتضررة تتيح الوصول إلى محافظ العملات المشفرة، أو أجهزة التوقيع، أو المفاتيح الخاصة، أو عبارات الاسترداد، أو الحسابات الخاضعة للحفظ.

انقل الأصول غير المتأثرة إلى محافظ مؤمّنة حديثًا إذا كان من المحتمل انكشاف مفتاح خاص أو عبارة استرداد.

أنشئ المحافظ الجديدة على أجهزة موثوقة ونظيفة، باستخدام عبارات استرداد جديدة تمامًا.

لا تنشئ حسابًا آخر باستخدام عبارة استرداد مخترقة، إذ قد يتمكن المهاجم من اشتقاق ذلك الحساب.

ألغِ موافقات العقود الذكية الضارة إذا كان من المحتمل اختراق أذونات المحفظة.

4. حفظ الأدلة

احفظ رسالة الفدية الأصلية، ورسائل المهاجم، وترويسات البريد الإلكتروني، وأسماء الملفات، وعناوين المحافظ، وتعليمات الدفع، ولقطات الشاشة.

سجّل العملة المشفرة المطلوبة، والمبلغ، والشبكة، والموعد النهائي، وطريقة التواصل.

احتفظ بسجلات النظام والتنبيهات الأمنية وعينات البرمجيات الضارة وامتدادات الملفات ونشاط الحساب وسجلات الشبكة، متى كان ذلك آمنًا.

لا تعدّل الملفات الأصلية، إذ قد تكون الطوابع الزمنية والبيانات الوصفية مفيدة.

5. تحديد نطاق الهجوم

حدد الأجهزة والحسابات والتطبيقات والمحافظ والنسخ الاحتياطية ومجموعات البيانات المتأثرة.

ينبغي للمحققين تحديد نقطة دخول المهاجم، وأساليب الحفاظ على الوصول، وبيانات الاعتماد المسروقة، واحتمال سرقة البيانات.

لا يكفي استعادة خادم مشفر واحد إذا كان المهاجم لا يزال قادرًا على الوصول عبر حساب أو جهاز آخر.

6. الإبلاغ عن الهجوم

يمكن للضحايا في الولايات المتحدة تقديم بلاغ عبر مركز شكاوى الجرائم عبر الإنترنت التابع لـFBI.

يتيح نموذج الشكوى للضحايا تقديم بيانات وصفية لمعاملات العملات المشفرة، وبصمات برمجيات الفدية، ومعلومات البريد الإلكتروني، وأدلة تقنية أخرى.

ينبغي للمؤسسات أيضًا التواصل مع الجهة الوطنية المختصة بالجرائم الإلكترونية أو الخصوصية أو الشؤون المالية أو إنفاذ القانون في ولايتها القضائية.

قد تخضع مؤسسات البنية التحتية الحيوية لمتطلبات إضافية إلزامية للإبلاغ.

7. البحث عن أداة لفك التشفير

يحصل باحثو الأمن ووكالات إنفاذ القانون أحيانًا على مفاتيح فك التشفير أو يكتشفون ثغرات في أحد أنواع برمجيات الفدية.

ينبغي للضحايا استشارة خبراء موثوقين للاستجابة للحوادث ومصادر عامة متخصصة ببرمجيات الفدية قبل افتراض أن الدفع هو وسيلة الاستعادة الوحيدة.

يوفر مشروع No More Ransom أدوات شرعية لفك التشفير لبعض عائلات برمجيات الفدية المعروفة.

لا تتوفر أداة مجانية فعالة لفك كل أنواع برمجيات الفدية.

8. الاستعادة من نسخ احتياطية نظيفة

ينبغي فحص النسخ الاحتياطية بحثًا عن البرمجيات الضارة والحسابات غير المصرح بها والملفات المعدلة قبل الاستعادة.

ينبغي إعادة بناء الأنظمة أو تنظيفها وفق خطة الاستجابة للحوادث قبل استعادة بيانات الأعمال.

قد تؤدي استعادة نسخ احتياطية مصابة إلى إعادة المهاجم إلى البيئة.

9. إعادة تعيين بيانات الاعتماد

قد يلزم استبدال كلمات المرور ورموز المصادقة وأسرار التطبيقات وضوابط الوصول إلى المحافظ وبيانات الاعتماد الإدارية.

ينبغي إعادة تعيين بيانات الاعتماد من أنظمة نظيفة بعد احتواء وسائل وصول المهاجم.

قد يؤدي تغيير كلمات المرور مبكرًا جدًا إلى كشف بيانات الاعتماد الجديدة لمهاجم لا يزال داخل الشبكة.

10. الوفاء بالتزامات الإخطار

قد تنشأ عن سرقة البيانات واجبات قانونية لإخطار العملاء أو الموظفين أو الجهات التنظيمية أو شركات التأمين أو شركاء الأعمال أو الأطراف المتضررة الأخرى.

تعتمد الإشعارات المطلوبة على نوع المعلومات والأشخاص المتأثرين والعقود والولاية القضائية المعمول بها.

ينبغي للمستشار القانوني المساعدة في تحديد الالتزامات السارية والموعد الواجب لإرسال الإشعارات.

ما الأدلة المتعلقة بالعملات المشفرة التي ينبغي حفظها؟

يُعد عنوان محفظة الفدية من أهم الأدلة المتعلقة بالعملات المشفرة.

ينبغي للضحايا الاحتفاظ بالعنوان كما ظهر تمامًا في رسالة الفدية أو بوابة الدفع.

ينبغي أيضًا تسجيل العملة المشفرة المطلوبة وشبكة البلوكشين، لأن تنسيقات العناوين المتشابهة قد توجد على شبكات مختلفة.

إذا تم الدفع، ينبغي حفظ هاش المعاملة، وعنوان الإرسال، وعنوان الاستلام، والمبلغ، والرسوم، والطابع الزمني، والخدمة المستخدمة لإرسالها.

قد تساعد السجلات التي توضح كيفية شراء العملات المشفرة المحققين على تحديد مسار الدفع كاملًا.

ينبغي حفظ المراسلات مع المهاجم، إذ قد تتضمن عناوين إضافية أو تغييرات في الدفع أو أنماطًا تكشف هويته.

ينبغي للمؤسسات عدم نشر الأدلة الحساسة علنًا، لأن ذلك قد يعرقل التحقيق أو يكشف معلومات أمنية إضافية.

كيفية الوقاية من برمجيات الفدية المشفرة

الاحتفاظ بنسخ احتياطية غير متصلة واختبارها

ينبغي نسخ البيانات المهمة احتياطيًا بانتظام وتخزينها بطريقة تمنع برمجيات الفدية من تعديل جميع النسخ المتاحة.

ينبغي عزل نسخة احتياطية واحدة على الأقل عن بيانات اعتماد وأنظمة الإنتاج المعتادة.

يجب اختبار النسخ الاحتياطية، لأن النسخة غير المختبرة قد تكون غير مكتملة أو تالفة أو بطيئة أكثر من اللازم لدعم الاستعادة.

يوفر ملف NIST لإدارة مخاطر برمجيات الفدية الصادر في يونيو 2026 إرشادات حديثة للحوكمة والتحديد والحماية والكشف والاستجابة والتعافي من حوادث برمجيات الفدية.

استخدام مصادقة قوية

ينبغي أن تستخدم الحسابات المهمة كلمات مرور فريدة ومصادقة قوية متعددة العوامل.

ينبغي حصر صلاحيات الوصول الإداري في الأشخاص الذين تتطلب أدوارهم ذلك.

يمكن للحسابات الإدارية المنفصلة الحد من الضرر الناتج عن اختراق حساب مستخدم عادي.

تحديث الأنظمة بسرعة

ينبغي إعطاء الأولوية للتحديثات الأمنية للأنظمة المتصلة بالإنترنت، وبرامج الوصول عن بُعد، وأنظمة الهوية، والثغرات المعروفة باستغلالها.

ينبغي استبدال البرمجيات غير المدعومة عندما لا تعود التحديثات الأمنية متاحة لها.

تقسيم الشبكات

يمكن لتقسيم الشبكة الحد من انتشار برمجيات الفدية بعد اختراق نظام واحد.

ينبغي ألا تكون أنظمة المحافظ والبنية التحتية للنسخ الاحتياطية وخدمات الهوية وقواعد البيانات الحساسة متاحة بسهولة من كل جهاز للموظفين.

مراقبة النشاط المشبوه

ينبغي لفرق الأمن مراقبة عمليات تسجيل الدخول غير المعتادة، وعمليات نقل البيانات الكبيرة، وتعطيل أدوات الأمن، وإنشاء حسابات إدارية جديدة، والتغييرات السريعة التي تطال عددًا كبيرًا من الملفات.

قد يتيح الكشف المبكر للمدافعين إيقاف الاختراق قبل تشفير البيانات.

تأمين عمليات محافظ العملات المشفرة

ينبغي للمؤسسات التي تحتفظ بعملات مشفرة فصل أنظمة توقيع المعاملات في المحافظ عن أجهزة الأعمال العادية.

يمكن اشتراط موافقات مستقلة متعددة للمعاملات الكبيرة باستخدام التوقيع المتعدد أو إجراءات إدارة المفاتيح المؤسسية.

ينبغي عدم تخزين المفاتيح الخاصة وعبارات الاسترداد في محركات أقراص مشتركة أو حسابات بريد إلكتروني أو أنظمة محادثة أو مستندات غير مشفرة.

ينبغي ألا يؤدي اختراق شبكة الأعمال ببرمجيات الفدية تلقائيًا إلى إتاحة الوصول إلى خزائن الأصول أو محافظ العملاء.

تدريب الموظفين

ينبغي أن يعرف الموظفون كيفية التعرف على التصيد الاحتيالي، وانتحال صفة الدعم التقني، وطلبات تسجيل الدخول المشبوهة، والمرفقات غير المعتادة، والطلبات العاجلة لتثبيت البرامج.

ينبغي أن يتضمن التدريب طريقة بسيطة للإبلاغ عن النشاط المشبوه دون خوف من العقاب.

قد يمنع إبلاغ الموظف بسرعة تحول جهاز واحد مخترق إلى حادثة كبيرة لبرمجيات الفدية.

التدرب على خطة الاستجابة

ينبغي للمؤسسات إجراء تدريبات على برمجيات الفدية تشمل الاحتواء التقني وقرارات دفع العملات المشفرة والاتصالات والمراجعة القانونية واستعادة النسخ الاحتياطية.

ينبغي أن يحدد التدريب الأشخاص المخولين بعزل الأنظمة، والتواصل مع السلطات، وحفظ أدلة المحافظ، والموافقة على القرارات المالية الطارئة.

قد تفشل خطة لم تُختبر قط أثناء هجوم حقيقي.

برمجيات الفدية المشفرة مقابل عمليات الاحتيال بالعملات المشفرة

تنطوي برمجيات الفدية المشفرة عادةً على وصول ضار إلى الأنظمة، أو تشفير، أو سرقة بيانات، أو تهديد للعمليات الحاسوبية.

أما عملية الاحتيال بالعملات المشفرة، فعادةً ما تدفع الضحية إلى إرسال العملات المشفرة طوعًا عبر ادعاءات استثمارية كاذبة أو انتحال شخصية أو علاقة عاطفية أو توظيف وهمي أو قصة مضللة أخرى.

وقد تتداخل الفئتان عندما يسرق المهاجم بيانات ثم ينتحل صفة شخص موثوق للمطالبة بالعملات المشفرة.

تتطلب الحالتان الإبلاغ السريع والاحتفاظ بعناوين المحافظ وسجلات المعاملات.

برمجيات الفدية المشفرة مقابل Cryptojacking

تطلب برمجيات الفدية المشفرة العملات المشفرة مقابل استعادة البيانات أو الوصول إلى النظام أو السرية.

أما Cryptojacking فيستخدم موارد الحوسبة الخاصة بالضحية سرًا لتعدين العملات المشفرة.

قد يؤدي Cryptojacking إلى إبطاء الأنظمة وزيادة تكاليف الكهرباء دون ظهور رسالة فدية.

وقد تتعرض شبكة مخترقة لكلا النشاطين عند تثبيت أنواع مختلفة من البرمجيات الضارة.

برمجيات الفدية المشفرة مقابل أداة استنزاف محفظة العملات المشفرة

تستخدم برمجيات الفدية المشفرة التشفير أو الابتزاز للضغط على الضحية كي تدفع.

أما أداة استنزاف المحفظة فتستخدم مفاتيح مسروقة أو موافقات ضارة أو توقيعات خادعة لنقل الأصول الرقمية مباشرةً من المحفظة.

وقد يثبت مهاجم برمجيات الفدية أيضًا برمجيات ضارة لسرقة المحافظ، ما قد يجعل الحادثة تشمل طلبات فدية وتحويلات غير مصرح بها للعملات المشفرة.

مفاهيم خاطئة شائعة عن برمجيات الفدية المشفرة

من المفاهيم الخاطئة أن العملات المشفرة تجعل تتبع مدفوعات الفدية مستحيلًا.

يمكن لسجلات البلوكشين العامة أن توفر أدلة قيّمة حتى عندما تكون هوية مالك المحفظة مجهولة في البداية.

ومن المفاهيم الخاطئة أيضًا أن الدفع يؤدي دائمًا إلى استعادة كل الملفات.

قد يقدم المهاجمون أداة فك تشفير غير موثوقة، أو لا يردون مطلقًا بعد استلام العملات المشفرة.

يعتقد بعض الضحايا أن النسخ الاحتياطية تزيل مخاطر برمجيات الفدية تمامًا.

تساعد النسخ الاحتياطية على استعادة العمليات، لكنها لا تمنع المهاجمين من نشر البيانات المسروقة.

ومن الأخطاء الأخرى افتراض أن حذف برنامج برمجيات الفدية يزيل المهاجم.

قد يظل اختراق الحساب الأصلي أو أداة الوصول عن بُعد أو المسؤول الضار أو بيانات الاعتماد المسروقة نشطًا.

ويعتقد بعض المستخدمين أيضًا أن بإمكان جهة حكومية إلغاء دفعة عملات مشفرة ببساطة.

يتطلب الاسترداد عادةً تتبع الأموال، وصلاحية قانونية، والسيطرة على الأصول المعنية، وتعاون الخدمات أو الولايات القضائية.

الأسئلة الشائعة

ما أبسط تعريف لبرمجيات الفدية المشفرة؟

برمجيات الفدية المشفرة هي برمجيات ضارة أو ابتزاز للبيانات يعطل الوصول إلى الأنظمة الرقمية ويطالب الضحية بالعملات المشفرة.

لماذا تطلب برمجيات الفدية العملات المشفرة؟

قد يطلب المهاجمون العملات المشفرة لأنها تنتقل بسرعة عبر الحدود، وتعمل باستمرار، ويصعب على المرسل التراجع عنها بعد تأكيدها.

هل برمجيات الفدية المشفرة هي نفسها Cryptojacking؟

لا، إذ تطالب برمجيات الفدية بالدفع، بينما يستخدم Cryptojacking جهاز الضحية سرًا لتعدين العملات المشفرة.

هل مدفوعات برمجيات الفدية المشفرة مجهولة الهوية؟

لا، فقد لا تُعرف هوية مالكي المحافظ في البداية، لكن معاملات البلوكشين غالبًا ما تكون ظاهرة للعامة وقابلة للتحليل.

هل يمكن التراجع عن دفع فدية بالعملات المشفرة؟

لا يستطيع المرسل عادةً التراجع عن دفعة مؤكدة، لكن قد تتمكن السلطات أحيانًا من مصادرة الأموال أو تجميدها في سياق التحقيق.

هل يضمن دفع الفدية الحصول على مفتاح لفك التشفير؟

لا، فقد يقدم المهاجم مفتاحًا معطوبًا، أو يطلب عملات مشفرة إضافية، أو يختفي دون مساعدة الضحية.

هل تستطيع برمجيات الفدية سرقة محفظة عملات مشفرة؟

نعم، فقد تبحث البرمجيات الضارة عن المفاتيح الخاصة وعبارات الاسترداد وملفات المحافظ وإضافات المتصفح وكلمات المرور وجلسات الحسابات النشطة.

ما أول إجراء ينبغي اتخاذه بعد اكتشاف برمجيات الفدية؟

اعزل الأنظمة المتضررة فورًا، وفعّل خطة الاستجابة للحوادث، واحمِ الأصول المشفرة، واحفظ الأدلة، وتواصل مع الخبراء والسلطات المختصة.

هل ينبغي إيقاف تشغيل جهاز كمبيوتر مصاب ببرمجيات الفدية؟

عادةً ما يكون فصله عن الشبكات هو الإجراء الأول، وقد يكون إيقاف تشغيله مناسبًا عندما يتعذر عزله أو إذا وجّه خبير الاستجابة للحوادث بذلك.

ما تفاصيل العملات المشفرة التي ينبغي الإبلاغ عنها؟

أبلغ عن عنوان المحفظة، والأصل المطلوب، والشبكة، والمبلغ، والموعد النهائي للدفع، وهاش المعاملة، والطوابع الزمنية، وأي مراسلات مع المهاجم.

هل يمكن فك تشفير برمجيات الفدية دون الدفع؟

يمكن فك تشفير بعض الأنواع باستخدام النسخ الاحتياطية أو المفاتيح المستعادة أو ثغرات التنفيذ أو أدوات فك تشفير مجانية وشرعية، لكن لا يوجد حل لكل الأنواع.

هل تستطيع النسخ الاحتياطية إيقاف برمجيات الفدية؟

يمكن للنسخ الاحتياطية المحمية والمختبرة دعم الاستعادة، لكنها لا توقف سرقة البيانات أو تمنع الهجوم الأولي.

ما برمجيات الفدية ذات الابتزاز المزدوج؟

يحدث الابتزاز المزدوج عندما يسرق المهاجمون البيانات ويشفرون الأنظمة قبل المطالبة بالعملات المشفرة مقابل فك التشفير وعدم نشر البيانات.

ما برمجيات الفدية كخدمة؟

برمجيات الفدية كخدمة نموذج إجرامي يوفر فيه مشغلو البرمجيات الضارة الأدوات والبنية التحتية للشركاء الذين ينفذون الهجمات ويتقاسمون عائدات الفدية.

هل دفع فدية مشفرة غير قانوني؟

الدفع ليس غير قانوني في كل الحالات، لكنه قد يخالف العقوبات أو قوانين أخرى إذا كان المستلم شخصًا أو كيانًا محظورًا.

أين ينبغي الإبلاغ عن برمجيات الفدية المشفرة؟

أبلغ الجهة الوطنية المختصة بالجرائم الإلكترونية أو إنفاذ القانون، وأي جهة تنظيمية تفرضها طبيعة نشاط المؤسسة أو موقعها.

هل تستطيع جهات إنفاذ القانون تتبع محفظة برمجيات الفدية؟

يمكن للمحققين تحليل نشاط البلوكشين العام، وربما ربط المحفظة بخدمات أو حسابات أو أجهزة يمكن تحديدها أو بعناوين إجرامية أخرى.

هل يمكن استعادة البيانات المسروقة بعد دفع الفدية؟

لا يثبت الدفع أن المهاجم حذف كل نسخ البيانات المسروقة أو منع مشاركتها.

كيف يمكن لشركات العملات المشفرة تقليل مخاطر برمجيات الفدية؟

يمكن لشركات العملات المشفرة فصل أنظمة توقيع المحافظ، واشتراط موافقات متعددة، وحماية النسخ الاحتياطية، وتثبيت التحديثات الأمنية، والحد من الصلاحيات، ومراقبة الشبكات، والتدرب على خطط الاستجابة للحوادث.

هل يمكن أن تؤثر برمجيات الفدية في محفظة أجهزة؟

قد لا تستخرج برمجيات الفدية المفاتيح مباشرةً من محفظة أجهزة مؤمّنة جيدًا، لكنها قد تغير العناوين المعروضة، أو تخترق الكمبيوتر المتصل، أو تخدع المستخدم ليوافق على معاملة ضارة.

ما أفضل وسيلة للدفاع ضد برمجيات الفدية المشفرة؟

يجمع الدفاع الأقوى بين النسخ الاحتياطية غير المتصلة والمختبرة، والمصادقة الآمنة، والتحديثات في الوقت المناسب، وتقسيم الشبكات، وعزل المحافظ، والمراقبة، وتدريب الموظفين، وخطة استجابة مُجربة.

الخلاصة

برمجيات الفدية المشفرة هجوم سيبراني يشفر البيانات أو يسرق المعلومات أو يعطل الأنظمة أو يهدد بنشر البيانات قبل المطالبة بالدفع بالعملات المشفرة.

توفر العملات المشفرة للمهاجمين وسيلة دفع سريعة عبر الحدود، لكن سجلات البلوكشين العامة قد تساعد أيضًا في التتبع وتحقيقات إنفاذ القانون.

لا يضمن دفع الفدية فك التشفير أو حذف البيانات أو استعادة العمليات أو الحماية من هجوم آخر.

ينبغي للمؤسسات التركيز على عزل الأنظمة المتضررة، وحماية محافظ العملات المشفرة، وحفظ أدلة المعاملات كاملة، والإبلاغ بسرعة، واستعادة العمليات من نسخ احتياطية تم التحقق منها.

تجمع الحماية الفعالة على المدى الطويل بين ضوابط الأمن السيبراني والحفظ الآمن للعملات المشفرة، والصلاحيات الواضحة لاتخاذ القرار، وخطة للاستجابة لبرمجيات الفدية تُختبر قبل وقوع حالة طارئة.