يظهر تقرير حديث صادر عن Black Kite أن القطاع المالي يدخل مرحلة أشد تعقيداً من المخاطر السيبرانية، حيث لم تعد التهديدات تقتصر على هجمات الفدية المباشرة، بل امتدت بقوة إلى الموردين ومقدمي الخدمات الذين تعتمد عليهم المؤسسات المالية في تشغيل أنظمتها اليومية. ووفقاً للتقرير، فإن تزامن هذين المسارين يخلق ما يشبه موجة مزدوجة تضغط على البنوك وشركات الاستثمار ومديري الأصول وسائر المؤسسات المرتبطة بالقطاع.
التقرير، الذي يستند إلى بيانات رصدت بين يناير 2023 والربع الأول من 2026، إلى جانب تحليل أكثر من 17 ألف مورد، يخلص إلى أن المخاطر لم تعد منعزلة داخل حدود المؤسسة نفسها. بل أصبحت مرتبطة بشبكة واسعة من الأطراف الثالثة، ما يجعل أي خلل صغير قادراً على التحول إلى أزمة قطاعية واسعة النطاق.
عودة هجمات الفدية إلى مسار التصاعد
بعد فترة من التراجع النسبي في 2024، عادت هجمات الفدية لتسجل زخماً أكبر في 2025، مدفوعة جزئياً بعمليات إنفاذ قانون استهدفت جماعات بارزة مثل LockBit وClop. إلا أن هذا الهدوء كان مؤقتاً، إذ تشير بيانات Black Kite إلى أن الهجمات ضد المؤسسات المالية ارتفعت من 156 حادثة في 2024 إلى 202 في 2025، بزيادة تقارب 30%.
وفي الربع الأول من 2026 وحده، سجل الباحثون 65 حادثة، وهو رقم يتجاوز الفترة نفسها من العام السابق بنسبة 76%. هذا التسارع يوحي بأن شبكات الابتزاز الرقمي لم تختف، بل أعادت تنظيم نفسها وأعادت توزيع نشاطها على مجموعات أكثر تنوعاً وأكثر مرونة.
كما ارتفع عدد مجموعات التهديد النشطة ضد القطاع المالي من 37 مجموعة في 2023 إلى 45 في 2024، ثم إلى 48 في 2025. وبرزت أسماء مثل Qilin وAkira وKill Security ضمن أكثر الجهات نشاطاً، حيث نسبت الدراسة إلى Qilin وحدها 59 حادثة مرتبطة بالقطاع المالي خلال العام الماضي.
شركات الاستثمار تتصدر قائمة الأهداف
من أبرز التحولات التي رصدها التقرير تغير خريطة الاستهداف داخل القطاع المالي نفسه. ففي 2023 كانت البنوك هي الأكثر تعرضاً لهجمات الفدية، مع 71 حادثة مسجلة، مقابل 44 حادثة لشركات الاستثمار. لكن الصورة انقلبت في 2025، عندما أصبحت شركات الاستثمار هي الفئة الأكثر استهدافاً بـ84 حادثة، أي ما يعادل 41.6% من إجمالي الإعلانات المرتبطة بالقطاع المالي، بينما تراجعت حوادث البنوك إلى 36 فقط.
ويربط التقرير هذا التحول بحملة واسعة استهدفت مديري الأصول في كوريا الجنوبية خلال سبتمبر 2025، وأسفرت وحدها عن 32 إفصاحاً، أي أكثر من 38% من إجمالي الحوادث المسجلة في قطاع إدارة الاستثمارات خلال ذلك العام. ويعكس ذلك قدرة المهاجمين على تركيز عملياتهم على شريحة محددة عندما تتوافر فرص اختراق ذات عائد مرتفع.
وعلى المستوى الجغرافي، بقيت الولايات المتحدة الأكثر استهدافاً، لكن كوريا الجنوبية تحولت إلى نقطة ساخنة بعد هجوم كبير على سلسلة الإمداد الرقمية أصاب عشرات المؤسسات المالية في وقت واحد.
الموردون أصبحوا نقطة الضعف الأسرع نمواً
يرى التقرير أن الخطر الأكبر لم يعد مرتبطاً فقط بالاختراقات المباشرة، بل أيضاً بما يحدث داخل منظومة الموردين. ففي سبتمبر 2025، أدى اختراق مزود خدمات مُدارة واحد في كوريا الجنوبية إلى تأثيرات امتدت إلى 28 مؤسسة مالية، مع سرقة أكثر من تيرابايتين من البيانات. ويصف الباحثون هذه الحادثة بأنها مثال واضح على كيف يمكن لاختراق واحد أن يتحول إلى اضطراب واسع النطاق داخل قطاع كامل.
الأكثر إثارة للقلق أن مستوى الثغرات لدى الموردين ازداد بسرعة لافتة. فبين 140 مورداً خضعوا لتحليل تفصيلي، ارتفع عدد الجهات التي تحمل ثغرات حرجة بدرجات CVSS تبلغ 9 أو أعلى من 15 في 2024 إلى 73 في 2025. أما الثغرات عالية الخطورة بدرجات 8 أو أعلى فصعدت من 31 إلى 87 خلال الفترة نفسها.
كما وجد الباحثون أن 54% من الموردين المرتبطين بالقطاع المالي لديهم ثغرة واحدة على الأقل مدرجة في قائمة CISA للثغرات المستغلة فعلياً، وهو ما يعني أن المهاجمين لا يتعاملون مع نقاط ضعف نظرية بل مع ثغرات يجري استغلالها في العالم الحقيقي.
إدارة التصحيحات ما زالت متعثرة
لا يتعلق جزء كبير من المشكلات بتهديدات متقدمة أو ثغرات يوم الصفر، بل بعيوب معروفة منذ فترة طويلة يفترض أن تكون المؤسسات قد عالجتها بالفعل. ويشير التقرير إلى أن 109 من أصل 140 مورداً خضعوا للفحص، أي 78%، لديهم على الأقل فشل واحد خطير في إدارة التصحيحات الأمنية.
وتظهر المشكلة أيضاً في إعدادات البريد الإلكتروني، حيث رُصدت أخطاء في سجلات DMARC لدى 47 مورداً، بينما عانى 37 مورداً من تطبيقات غير صحيحة لـ DKIM. هذه التفاصيل قد تبدو فنية، لكنها في الواقع تفتح الباب أمام حملات تصيد واحتيال وهجمات انتحال قد تكون بداية لسلسلة اختراقات أكبر.
وإلى جانب ذلك، رصد التقرير مؤشرات على ضعف أوسع في النظافة الأمنية: نحو 18% من الموردين المختصين بالقطاع المالي لديهم بيانات اعتماد مسربة في مصادر عامة، وأكثر من 42% ظهرت لهم بيانات اعتماد في سجلات أدوات سرقة المعلومات. كما وُجدت دلائل على بنى تحتية للتصيد وعناوين IP خبيثة وإصابات ببرمجيات شبكية في أجزاء معتبرة من هذه المنظومة.
اتساع هائل في عدد الثغرات الجديدة
يأتي هذا المشهد في وقت يتسارع فيه معدل اكتشاف الثغرات البرمجية عالمياً. فقد جرى نشر أكثر من 48 ألف ثغرة CVE خلال 2025، بزيادة 18% عن العام السابق. ومن بين هذه الثغرات، حددت Black Kite نحو 1240 كأولويات عالية لسلاسل الإمداد الرقمية، بزيادة 59% مقارنة بـ2024.
ويرى التقرير أن الذكاء الاصطناعي سيسهم في تسريع هذه الديناميكية. فمن ناحية، تساعد الأدوات المدعومة بالذكاء الاصطناعي في اكتشاف الثغرات بوتيرة أسرع، ومن ناحية أخرى تولد أنظمة الذكاء الاصطناعي نفسها أسطح هجوم جديدة تحتاج إلى حماية. وهذا يعني أن الفرق الأمنية قد تجد نفسها أمام تدفق أكبر وأسرع من الثغرات القابلة للاستغلال، بما يفوق قدرة نماذج إدارة المخاطر التقليدية.
الأمن المالي يتحول إلى قضية سلسلة إمداد
الخلاصة الأساسية في التقرير أن المؤسسات المالية لم تعد قادرة على النظر إلى الأمن السيبراني بوصفه مسألة تخص بنيتها الداخلية فقط. فالتقرير يرسم صورة لواقع تتصاعد فيه هجمات الفدية بالتوازي مع تدهور أوضاع الموردين، فيما تتقلص الفجوة الزمنية بين اكتشاف الثغرات واستغلالها الفعلي.
وفي بيئة تعتمد على البرمجيات المشتركة والخدمات الخارجية والبنى التحتية المُدارة من أطراف أخرى، يصبح التحكم في المخاطر مهمة مستمرة لا تنتهي عند حدود الشبكة الداخلية. ووفق هذا المنظور، تتحول إدارة الموردين من التزام تنظيمي إلى عنصر أساسي في حماية الاستقرار المالي نفسه.
وبين عودة المهاجمين إلى الساحة، وارتفاع عدد الثغرات، وتزايد التعرض عبر الشركاء، يبدو أن القطاع المالي يواجه اليوم معركة سيبرانية أوسع من مجرد الدفاع عن الأنظمة. إنها معركة على مستوى المنظومة بأكملها، حيث يمكن لاختراق واحد أن ينتقل بسرعة من شركة واحدة إلى عشرات المؤسسات في وقت قصير.