أظهر تقرير Black Kite لعام 2026 عن هجمات الفدية أن المشهد لم يعد تديره عصابة واحدة مهيمنة أو نمط اختراق واحد يمكن تتبعه بسهولة. بدلاً من ذلك، يتجه السوق الإجرامي إلى مزيد من السرعة والتشظي، مع ارتفاع واضح في عدد الضحايا، وتزايد عدد المجموعات النشطة، واعتماد متنامٍ على خدمات وبنى رقمية مألوفة للشركات نفسها.
وبين الأول من أبريل 2025 و31 مارس 2026، رصدت الشركة 7551 ضحية معلنة علناً، مقارنة بـ 6046 في الفترة السابقة. لكن ما يلفت الانتباه أكثر من الرقم الإجمالي هو طريقة نموه: النشاط تسارع بقوة في النصف الثاني من الفترة، وظهرت مجموعات جديدة بوتيرة عالية، فيما تحولت بعض المنصات والخدمات الموثوقة إلى نقاط دخول فعالة داخل المؤسسات.
النمو لم يعد خطياً بل بات متسارعاً
تتبعت Black Kite إفصاحات الفدية منذ عام 2022، عندما سجلت قرابة 2700 ضحية في أول فترة رصد لها. ثم ارتفع العدد إلى 4893، وبعدها إلى 6046، وصولاً إلى 7551 في التقرير الجديد. غير أن هذا الصعود التدريجي لا يعكس الصورة كاملة، لأن وتيرة الهجمات قفزت بشكل حاد خلال الأشهر الأخيرة من الفترة محل الدراسة.
خلال الأشهر الستة الأولى سُجل 2904 ضحايا فقط، في حين ارتفع العدد إلى 4647 بين أكتوبر 2025 ومارس 2026. أما مارس وحده فكان الشهر الأعلى خلال أربع سنوات من الرصد، مع 861 ضحية معلنة. وحتى بعد انتهاء نافذة التقرير، استمرت الهجمات، إذ رصدت الشركة 2230 ضحية إضافية بين أبريل ويونيو 2026.
هذا التسارع لم يكن نتيجة حدث واحد أو عملية اختراق شهيرة، بل ثمرة نشاط متزامن لعدة جهات تعمل في الوقت نفسه: مشغلون معروفون يوسعون شبكاتهم، وشركاء جدد يدخلون السوق بتكلفة أقل، وبيئة إجرامية أكثر مرونة من أي وقت مضى.
سوق الفدية بات أقرب إلى اقتصاد خدمي
لم تعد هجمات الفدية تعمل وفق نموذج العصابات المغلقة التي تنفذ كل شيء بنفسها. اليوم، يقوم جزء من السوق على نموذج Ransomware-as-a-Service، حيث يطور المشغلون الأساسيون البرمجيات الخبيثة، ويشغلون مواقع التسريب، ويديرون المدفوعات والتفاوض، بينما يتولى الشركاء تنفيذ الاختراقات والدخول إلى الشبكات.
هذا التحول خفف العتبة التقنية المطلوبة للمشاركة في الهجمات، وسمح بظهور عدد أكبر من اللاعبين خلال وقت أقصر. ووفق التقرير، تم رصد 127 مجموعة فدية نشطة خلال الفترة، بينها 61 ظهرت للمرة الأولى. بعض هذه الأسماء كان جديداً بالكامل، وبعضها الآخر قد يكون إعادة تسمية أو انشقاقاً عن مجموعات سابقة اختفت من المشهد.
ورغم هذا التشتت، لا يزال عدد محدود من المجموعات يستحوذ على الحصة الأكبر من النشاط. وتُعد مجموعة Qilin المثال الأبرز، إذ نسبت إلى نفسها 1358 ضحية خلال العام، أي ما يقرب من ضعف أقرب منافسيها. وتمتاز هذه المجموعة بهيكل تشغيل يركز الوظائف الأساسية في المركز، مع ترك التنفيذ الميداني للشركاء.
في المقابل، شهدت أسماء أخرى تراجعاً أو انقطاعاً. RansomHub، التي كانت من أبرز اللاعبين في الفترة السابقة، توقفت عن نشر الضحايا في بداية 2026. أما LockBit، فعادت بعد الاضطراب الذي أصابها سابقاً، لكن 186 ضحية معلنة فقط لا تعني عودة إلى النفوذ السابق.
هذه التحولات تؤكد أن علامة المجموعة لم تعد ثابتة بقدر ما كانت عليه سابقاً. قد يختفي الاسم بينما تظل الأدوات والتكتيكات والبنية التشغيلية حية تحت مسمى آخر، وهو ما يجعل متابعة السوق أكثر تعقيداً.
القطاعات والدول الأكثر استهدافاً تتغير
غالباً ما تبدأ هجمات الفدية بالوصول إلى البيئة الداخلية، لا بالتشفير نفسه. يستغل المهاجمون ثغرة غير مرقعة، أو بيانات اعتماد مسروقة، أو حسابات دعم عن بُعد، أو أخطاء بشرية في مراكز الخدمة. وبعد الدخول، يتحركون أفقياً داخل الشبكة، ويحددون الأصول الأكثر حساسية، ويستخرجون البيانات قبل إطلاق التهديد العلني.
الولايات المتحدة بقيت الدولة الأكثر استهدافاً، وتمثل ما يقرب من نصف الضحايا المرصودين. لكن النشاط توسع أيضاً في أسواق أخرى، حيث سجلت ألمانيا وفرنسا وإسبانيا وإيطاليا زيادات كبيرة، إلى جانب نمو ملحوظ في عدد من الدول الآسيوية من قواعد انطلاق أصغر.
قطاع التصنيع جاء في صدارة القطاعات المستهدفة مع 1660 ضحية معلنة. ويعود ذلك إلى حساسية التوقف في بيئة الإنتاج، حيث قد يؤدي انقطاع قصير إلى تعطيل الشحنات وسلاسل الإمداد والعقود. كما أن كثيراً من المصانع تدير مزيجاً معقداً من الأنظمة القديمة والحديثة، ما يرفع صعوبة التحديث والإغلاق المؤقت.
وجاءت خدمات الأعمال المهنية والعلمية والتقنية في المرتبة الثانية، بسبب ما تحتفظ به من بيانات متعددة العملاء، وما تملكه من صلاحيات يمكن أن تقود إلى اختراقات أوسع. أما قطاع البناء فصعد إلى المركز الثالث، في حين بقيت الرعاية الصحية ضمن القطاعات عالية التعرض بسبب أثر التعطيل المباشر على التشغيل والسلامة العامة.
كما يوضح التقرير أن المهاجمين يركزون بصورة متزايدة على الشركات المتوسطة، خصوصاً تلك التي تحقق إيرادات بين 10 ملايين و100 مليون دولار. هذه المؤسسات قد لا تمتلك فرق أمنية كبيرة، لكنها غالباً تملك بيانات ذات قيمة وقدرة على الدفع، ما يجعلها هدفاً عملياً وسريعاً.
الخدمات الموثوقة أصبحت جزءاً من سطح الهجوم
أحد أهم استنتاجات التقرير أن كثيراً من الحوادث الكبرى لم تبدأ داخل الشبكة الأساسية للشركة، بل عبر خدمات متصلة بها. فقد استغل المهاجمون تكاملات SaaS، ورموز OAuth، وتطبيقات ERP، ومنصات الدعم، وغيرها من العناصر المرتبطة بالعمليات اليومية.
ويشير التقرير إلى حملات مرتبطة بـ Salesforce، حيث أتاح اختراق رموز OAuth الخاصة بتطبيقات متصلة وصولاً غير مباشر إلى بيئات العملاء. وفي هذه الحالات، قد تمتلك المؤسسة ضوابط داخلية قوية، لكنها تظل مكشوفة بسبب صلاحيات واسعة منحت سابقاً لتطبيق طرف ثالث أو لحساب دعم غير محكم.
كما ظهرت Oracle E-Business Suite كنموذج آخر على اتساع سطح التهديد. ووفق التقرير، ارتبطت بعض الحملات بادعاءات تتعلق بسرقة بيانات من بيئات EBS، مع احتمال استغلال ثغرة CVE-2025-61882 قبل صدور التصحيح. وتعيد هذه الأمثلة التأكيد على أن المخاطر لم تعد محصورة في الحواجز التقليدية داخل الشبكة.
حتى أنشطة ما بعد الفترة محل الرصد حولت PeopleSoft إلى مثال إضافي على المشكلة نفسها: منصة واحدة يمكن أن تفتح أبواباً لكثير من العملاء في وقت واحد، إذا كانت الصلاحيات أو التحديثات أو آليات الحماية غير مضبوطة بشكل كافٍ.
إشارات الخطر كانت موجودة قبل الانفجار
يكشف التحليل السابق للإفصاح أن كثيراً من الضحايا أظهروا مؤشرات مكشوفة قبل ظهور أسمائهم على مواقع التسريب. فقد وُجدت أخطاء في الإعدادات الأمنية لدى أكثر من ثلثي العينة، كما تكررت الخدمات المكشوفة عن بُعد، والثغرات المعروفة، والمجالات الاحتيالية، وبيانات الاعتماد المسروقة.
أكثر من 60% من الجهات التي شملها التحليل كانت تحمل واحداً على الأقل من ثلاثة عوامل خطر رئيسية: ثغرة معروفة، أو تعرّض بيانات اعتماد، أو سجلات مسروقة من برامج سرقة البيانات. كما حمل نحو 10% منها العوامل الثلاثة مجتمعة.
هذه النتائج لا تثبت المسار الدقيق لكل اختراق، لكنها تظهر أن كثيراً من الضحايا كانوا مرئيين للمهاجمين باعتبارهم أهدافاً سهلة قبل الهجوم الفعلي. ولهذا يشدد التقرير على أن الخطر لا يتوزع بالتساوي، بل يتركز في المؤسسات التي تتقاطع لديها عدة نقاط ضعف في آن واحد.
انخفاض معدلات الدفع يغير شكل الابتزاز
رغم نمو السوق، فإن سلوك الدفع لم يعد مضموناً كما كان. التقرير لا يقيس المدفوعات مباشرة، لكنه يستند إلى مجموعات بيانات استجابة للحوادث تشير إلى تراجع نسبة الضحايا الذين يختارون الدفع. إحدى المجموعات سجلت معدل دفع 26% في الربع الثاني من 2025، ثم 23% في الربع التالي، بينما بلغت النسبة 19% في حوادث سرقة البيانات فقط.
ورغم أن هذه الأرقام لا تمثل سلسلة واحدة موحدة، فإن الاتجاه العام واضح. كما يذكر التقرير أن متوسط ما دُفع في بعض الحالات التي قبلت التسوية وصل إلى مليون دولار. لكن انخفاض معدلات الاستجابة لا يعني ضعف الجدوى الاقتصادية للهجمات، بل قد يدفع المهاجمين إلى تكثيف الضغط بطرق أخرى.
فالابتزاز اليوم لا يقتصر على التشفير، بل يجمع بين سرقة البيانات، والتهديد بالنشر، والتواصل المباشر مع العملاء، وخلق ضغوط تنظيمية وتجارية ونفسية على الضحية. ومع تراجع التوقعات بالدفع، يبحث المهاجمون عن وسائل تجعل الضرر قائماً حتى بعد استعادة النسخ الاحتياطية.
الاستعادة التقنية لا تعني زوال التعرض
من النقاط اللافتة أيضاً أن بعض مؤشرات الأمن بدت أفضل بعد الحوادث، مثل تحسن الدرجات السيبرانية وانخفاض نشاط البرمجيات الخبيثة المرتبطة بالبوتنت. لكن المؤشرات الأعمق المرتبطة بالفدية تحركت في الاتجاه المعاكس لدى كثير من الضحايا، بما يشمل ارتفاع التعرض في سجلات stealer logs، وزيادة خطر الثغرات البرمجية، وتواصل حالات الهشاشة في البنية الخارجية.
يشير هذا النمط إلى أن بعض المؤسسات تعالج الأعراض الأكثر وضوحاً بعد الهجوم، لكنها لا تقطع بالكامل الطريق على تكراره. فقد يُغلق النظام الذي استُغل أولاً، بينما تبقى بيانات الاعتماد المسروقة، أو صلاحيات الشركاء، أو الحسابات الخاملة، أو الخدمات المكشوفة دون معالجة كافية.
وتذهب Black Kite إلى أن التعافي الحقيقي يجب أن يشمل إعادة فحص سطح الهجوم الكامل، لا الاكتفاء باستعادة الخدمات المتضررة. فاستئناف العمل لا يعني بالضرورة إزالة عوامل الخطر التي ستُعيد إنتاج الحادثة لاحقاً.
الذكاء الاصطناعي يخفض تكلفة المشاركة في الهجوم
لا يخلص التقرير إلى أن الذكاء الاصطناعي هو سبب طفرة هجمات الفدية، لكنه يصفه بأنه عامل مضاعف للقدرات. إذ يمكن للأنظمة الذكية تسريع الاستطلاع، وتلخيص المعلومات المسروقة، وصياغة رسائل تصيد مقنعة، وتكييف المحتوى بلغات مختلفة، ومساعدة المهاجمين الأقل خبرة في إدارة خطوات متكررة من العملية.
الأثر الأوضح حالياً يظهر في الجانب البشري للهجوم: رسائل أكثر إقناعاً، وانتحال صوتي، وتصميمات خداع متعددة اللغات، ومكالمات احتيالية قد تبدو أقرب إلى موظف دعم حقيقي. كما تساعد الأدوات الذكية في تنظيم البيانات المسروقة، وكتابة رسائل التهديد، وتخصيص الضغط وفق طبيعة الضحية.
بهذا المعنى، لا يجعل الذكاء الاصطناعي الهجوم ذاتياً بالكامل، لكنه يقلل الكلفة والوقت المطلوبين للمشاركة فيه. والنتيجة هي أن عدداً أكبر من الفاعلين باتوا قادرين على العمل بأساليب كانت تتطلب سابقاً فريقاً أكثر خبرة وتنظيماً.
ما الذي يعنيه ذلك للمؤسسات
الخلاصة الأساسية للتقرير أن هجمات الفدية تتحول من سوق تهيمن عليه أسماء محددة إلى منظومة أوسع وأكثر احترافاً. وهذا يفرض على المؤسسات التفكير في الحماية باعتبارها عملية مستمرة تشمل التحديثات، والهوية، والامتيازات، وتكاملات الخدمات السحابية، وبيانات الاعتماد المكشوفة، ومرحلة ما بعد الحادثة نفسها.
فالاعتماد على استعادة الأنظمة وحدها لم يعد كافياً. وإذا كانت البيئة الخارجية لا تزال تحتوي على ثغرات معروفة أو حسابات مكشوفة أو صلاحيات زائدة، فإن احتمال تكرار الهجوم يظل قائماً. لذلك تبدو إدارة التعرض الرقمي، لا الاستجابة اللحظية فقط، هي محور الدفاع في المرحلة المقبلة.