شكّلت برمجيات الفدية تهديداً كبيراً للأمن السيبراني لأكثر من عقد من الزمن، وتطورت استخبارات البلوكتشين بشكل كبير خلال الفترة نفسها، إلى درجة أن حصة كبيرة من مدفوعات الفدية الكبرى تُتبَّع في النهاية إلى حد ما. بالنظر إلى ذلك، السؤال المعقول هو لماذا لا يزال مُشغِّلو برمجيات الفدية يصرّون على الدفع بالعملات المشفرة أصلاً. الإجابة مزيج من ضرورة عملية وسباق تسلح حقيقي ومستمر بين المهاجمين والمحققين.
السبب الجوهري: السرعة والمدى، لا إخفاء الهوية الحقيقي
من سوء الفهم الشائع أن جماعات برمجيات الفدية تطالب بالعملات المشفرة لأنها غير قابلة للتتبع. كما هو مُغطى في دليلنا حول كيفية تتبع البيتكوين المسروق، تُسجَّل المعاملات على بلوكتشين عام مثل بيتكوين بشكل دائم ويمكن تتبعها غالباً بدقة حقيقية. ما تقدّمه العملات المشفرة فعلياً لمُشغِّلي برمجيات الفدية أمر أكثر عملية: وسيلة دفع تعمل فوراً عبر الحدود، ولا تتطلب علاقة مصرفية أو موافقة وسيط، ولا يمكن عكسها بمجرد تأكيدها، ويمكن استلامها بمحفظة مجهولة أو مستعارة الهوية دون التحقق من الهوية الذي يتطلبه حساب بنكي. بالنسبة لمهاجم يعمل دولياً ضد ضحايا يحتاجون إلى الدفع بسرعة لاستعادة عملياتهم، يصعب استبدال هذا المزيج بأي وسيلة دفع تقليدية.
ما تُظهره البيانات الحديثة عن مدفوعات برمجيات الفدية
تُظهر أبحاث تحليلات البلوكتشين تحوّلاً ملحوظاً في ديناميكيات مدفوعات برمجيات الفدية خلال العامين الماضيين. وفقاً لأبحاث Chainalysis، انخفض إجمالي مدفوعات العملات المشفرة إلى مُشغِّلي برمجيات الفدية بشكل كبير من ذروة عام 2023 البالغة نحو 1.1 مليار دولار، واستمر في التراجع حتى عام 2025، حتى مع استمرار ارتفاع عدد هجمات برمجيات الفدية المُعلَنة علناً. كما انخفضت نسبة المؤسسات المُهاجَمة التي تدفع فعلياً إلى أدنى مستوى مُسجَّل، وهو اتجاه يُعزى على نطاق واسع إلى تحسّن ممارسات النسخ الاحتياطي، وتعطيل أقوى من جهات إنفاذ القانون لجماعات برمجيات الفدية الكبرى، وتنامي عزوف المؤسسات عن الدفع بعد سنوات من إرشادات جهات مثل CISA التي تُثني عن ذلك.
في الوقت نفسه، ارتفعت مطالب الفدية الفردية بشكل حاد، إذ ارتفع متوسط المطلب ارتفاعاً ملموساً عاماً بعد عام حتى مع موافقة عدد أقل من الضحايا على الدفع، واستقرت المدفوعات الفعلية عند جزء فقط من المبلغ المطلوب أصلاً. يشير هذا إلى سوق تطلب فيه جماعات برمجيات الفدية مبالغ أكبر لكل هجوم بينما تنجح بمعدل أقل، وهي ديناميكية تتسق مع نظام إجرامي يواجه ضغطاً متزايداً لكنه لم يقترب بعد من الاختفاء.
لماذا يستمر مشهد برمجيات الفدية في تغيير شكله
بدلاً من جماعة مهيمنة واحدة، تفتّت مشهد برمجيات الفدية إلى عدد أكبر بكثير من المُشغِّلين المستقلين الأصغر، وهو جزئياً نتيجة مباشرة لعمليات تفكيك وعقوبات من جهات إنفاذ القانون ضد عمليات برمجيات الفدية كخدمة التي كانت مهيمنة سابقاً. هذا التفتت يجعل التهديد ككل أصعب تتبعاً في مجمله، حتى مع أن الجماعات الفردية ضمنه تصبح أكثر قابلية للتحديد، إذ إن المُشغِّلين الأصغر أكثر عدداً لكن كل منهم يحتفظ بتطور تشغيلي أقل وموارد أقل للاستثمار في تجنّب الكشف مقارنة بالعمليات الأكبر التي سبقتهم.
التحوّل نحو عملات الخصوصية
لا يزال البيتكوين العملة الأكثر شيوعاً المُبلَّغ عنها في مدفوعات برمجيات الفدية، لكن مُشغِّلي برمجيات الفدية أظهروا اهتماماً متزايداً بعملات مشفرة مُركِّزة على الخصوصية مثل مونيرو، التي لا تكشف تفاصيل المعاملات على دفتر عام بالكامل بالطريقة نفسها التي يفعلها البيتكوين. هذا التحوّل استجابة مباشرة لفعالية تتبع البلوكتشين ضد البيتكوين تحديداً، ويمثّل أحد أبرز التعقيدات الناشئة للمحققين العاملين على قضايا برمجيات الفدية، إذ إن أساليب التجميع ونقاط الاختناق القياسية الموصوفة في أدلتنا للتتبع أقل فعالية بكثير ضد تصميم عملة الخصوصية.
لماذا تستمر الجهات في الثني عن الدفع
حافظت CISA، ومكتب التحقيقات الفيدرالي، والجهات الدولية المعادلة على موقف ثابت بأن المؤسسات لا ينبغي أن تدفع مطالب برمجيات الفدية، لعدة أسباب ملموسة لا لمجرد مبدأ.
- الدفع لا يضمن أن الملفات ستُفكّ تشفيرها فعلياً، أو أنها ستعمل، أو أنها ستكون كاملة، ويُبلِّغ جزء معتبر من الضحايا الذين يدفعون عن استعادة بيانات غير مكتملة أو تالفة
- يوفّر الدفع تمويلاً مباشراً لعمليات إجرامية إضافية، بما في ذلك الأدوات، والبنية التحتية، والمدفوعات لمُشغِّلين تابعين في نموذج برمجيات الفدية كخدمة
- غالباً ما تُستهدَف المؤسسات المعروف أنها دفعت مرة مجدداً، إما من الجماعة نفسها أو من أخرى اكتسبت سمعة عن الدفع من خلال بيانات ضحايا مُسرَّبة
- يمكن أن يخلق الدفع تعرّضاً قانونياً منفصلاً في بعض الولايات القضائية، خاصة حيث ينشأ المطلب من فرد أو منظمة خاضعة للعقوبات أو مرتبطة بها
بصرف النظر عمّا إذا قررت المؤسسة الدفع في النهاية، توصي الجهات باستمرار بالإبلاغ عن الحادثة إلى مكتب ميداني محلي لمكتب التحقيقات الفيدرالي أو عبر IC3، إذ تغذّي الحوادث المُبلَّغ عنها كلاً من الاستجابة التحقيقية الفورية والصورة الاستخباراتية الأوسع المستخدَمة لتعطيل بنية برمجيات الفدية التحتية.
دور المستشار القانوني وشركات الاستجابة للحوادث
عملياً، تتخذ قلة من المؤسسات قرار دفع فدية برمجيات دون إشراك مستشار خارجي وشركة متخصصة في الاستجابة للحوادث، ولسبب وجيه يتجاوز الاستجابة التقنية البحتة. يقود المستشار القانوني عادة عملية فحص عقوبات قبل النظر في أي دفعة، إذ يحتفظ مكتب مراقبة الأصول الأجنبية بقائمة أفراد ومنظمات خاضعة للعقوبات، وقد خضع عدد من جماعات برمجيات الفدية الكبرى أو أطرافها التابعة المعروفة لعقوبات رسمية. يمكن أن يُعرِّض دفع فدية لكيان خاضع لعقوبات المؤسسة الدافعة لمسؤولية مدنية منفصلة بصرف النظر عن ظروف الهجوم، وهذا سبب إصرار المستشارين عادة على محاولة فحص عناوين محافظ جماعة برمجيات الفدية المعروفة مقابل قوائم العقوبات على الأقل قبل الإذن بالدفع، حتى تحت ضغط زمني كبير.
تتولى شركات الاستجابة للحوادث المسار التقني الموازي: احتواء الاختراق، وتقييم ما جرى تشفيره أو استخراجه فعلياً، والتفاوض المباشر في كثير من الحالات مع مُشغِّل برمجية الفدية نيابة عن الضحية، إذ يمكن أن يكشف التواصل المباشر من موظفين عديمي الخبرة عن غير قصد معلومات تزيد من مطلب الفدية. يلعب التأمين السيبراني، حيثما وُجدت وثيقة تأمين، غالباً دوراً تنسيقياً هنا، إذ تتطلب كثير من الوثائق استخدام مجموعة من شركات الاستجابة للحوادث والشركات القانونية المُعتمَدة مسبقاً كشرط للتغطية.
سوء فهم شائع: التأمين السيبراني يجعل الدفع خالياً من المخاطر
افتراض شائع بين المؤسسات التي تحمل وثيقة تأمين سيبراني تغطي برمجيات الفدية هو أن وجود التغطية يزيل معظم المخاطر من قرار الدفع. هذا غير دقيق. قد يُعوِّض التأمين دفعة الفدية نفسها وتكاليف الاستجابة للحوادث المرتبطة بها ضمن حدود الوثيقة، لكنه لا يُلغي التعرّض للعقوبات الموصوف أعلاه، ولا يضمن أن الدفع سيؤدي فعلياً إلى مفاتيح فك تشفير قابلة للاستخدام أو أن البيانات المُستخرَجة لن تُسرَّب رغم ذلك، ولا يعكس العواقب السمعية والتنظيمية للاختراق الأساسي، والتي تحمل في كثير من القطاعات التزامات إخطار منفصلة بصرف النظر عمّا إذا دُفعت فدية في النهاية. أصبحت شركات التأمين نفسها أيضاً أكثر انتقائية، وتطلب في بعض الحالات إثبات وجود ضوابط أمنية محددة قبل الموافقة على تغطية خسارة مرتبطة ببرمجية فدية أصلاً.
مثال عملي: ماذا يحدث بعد دفع الفدية
تأمل شركة متوسطة الحجم تدفع فدية بست خانات بالبيتكوين بعد أن يُشفِّر هجوم برمجية فدية أنظمة إنتاجها، بعد اتّباع إرشاد قانوني وإرشاد استجابة للحوادث وفحص عقوبات يُظهر أن عنوان المحفظة المعروف نظيف. لا تُنهي الدفعة نفسها تعرّض المؤسسة. أصبحت المعاملة الآن سجلاً دائماً وعاماً، وتراقب شركات استخبارات البلوكتشين وجهات إنفاذ القانون بشكل روتيني مجموعات محافظ برمجيات الفدية المعروفة على أساس مستمر، لا فقط استجابة لبلاغ ضحية واحدة.
بعد أشهر، تُجمِّع المحفظة التي استلمت الدفعة أموالاً مع عائدات من عدة ضحايا آخرين وتنقلها عبر سلسلة من العناوين الوسيطة قبل الوصول إلى إيداع لدى منصة تداول ذات ضوابط امتثال ضعيفة في ولاية قضائية محدودة التعاون. في بعض الحالات الموثَّقة، هذه هي النقطة التي ينتهي عندها المسار فعلياً لأغراض الاسترداد العملي، رغم أنه يبقى مرئياً بالكامل على السلسلة. وفي حالات أخرى، خاصة حيث جذبت جماعة برمجيات فدية اهتماماً كبيراً من جهات إنفاذ القانون، ساهم إيداع منصة التداول نفسه، مقترناً بإيداعات مُتتبَّعة من ضحايا آخرين للجماعة نفسها، في إجراء أوسع من جهات إنفاذ القانون أسفر عن مصادرة محافظ، وفي عدد أصغر من الحالات، تعويض جزئي لضحايا حُدِّدوا من خلال التحقيق نفسه.
زاوية التتبع: ماذا يحدث لمدفوعات الفدية بعد دفعها
حتى عند دفع الفدية، تصبح الدفعة نفسها خيطاً تحقيقياً جديداً. تنتقل مدفوعات برمجيات الفدية عبر بنية البلوكتشين التحتية نفسها التي تنتقل عبرها أي معاملة عملات مشفرة أخرى، وتخضع لتحليل التجميع ونقطة الاختناق نفسه الموصوف في دليلنا حول كيف يتتبع محققو البلوكتشين فعلياً الأموال المسروقة. حُدِّد عدد معتبر من مُشغِّلي برمجيات الفدية وبنيتهم التحتية لغسل الأموال، أو خضعوا لعقوبات، أو في بعض الحالات صُودرت أموالهم تحديداً لأن فدية مدفوعة لامست في النهاية منصة تداول أو خدمة غسل قابلة للتحديد. هذا جزء من سبب استرداد بعض الفديات المدفوعة جزئياً من قبل جهات إنفاذ القانون بعد وقت طويل من الحادثة، في حالات نادرة لكن موثَّقة، رغم أن ذلك يبقى الاستثناء لا شيئاً ينبغي لأي مؤسسة ضحية التخطيط أو الموازنة على أساسه.
تأتي فائدة العملات المشفرة لمُشغِّلي برمجيات الفدية من السرعة، والمدى، وعدم قابلية الإلغاء، لا من عدم قابلية التتبع الحقيقية. أصبح تحليل البلوكتشين متطوراً بما يكفي بحيث تُربَط حصة معتبرة من مدفوعات برمجيات الفدية في النهاية ببنية تحتية قابلة للتحديد، رغم أن ذلك التتبع نادراً ما يحدث بسرعة كافية لمنع الدفعة الأولية أو ضمان استعادتها.
ماذا يعني هذا للمستقبل
لن تختفي برمجيات الفدية، ويشير التحوّل نحو مطالب أعلى، ومُشغِّلين أصغر وأكثر عدداً، وزيادة استخدام عملات الخصوصية إلى أن الجماعات وراء هذه الهجمات تتكيّف مع الضغط الذي أحدثه التتبع وتعطيل جهات إنفاذ القانون، بدلاً من أن تُردَع به كلياً. بالنسبة للمؤسسات التي تواجه حادثة برمجية فدية نشطة، يبقى الإرشاد العملي من CISA ومكتب التحقيقات الفيدرالي ثابتاً: تجنّب الدفع حيثما أمكن، والإبلاغ عن الحادثة فوراً، وإشراك خبرة استجابة للحوادث ذات خبرة، وحيثما دُفعت العملات المشفرة بالفعل، خبرة تتبع بلوكتشين في أقرب وقت ممكن ضمن الاستجابة.
- أشرك مستشاراً قانونياً وشركة استجابة للحوادث قبل اتخاذ أي قرار دفع، لا بعده
- افحص أي عنوان محفظة معروف لبرمجية فدية أو هوية جماعة مقابل قوائم العقوبات الحالية قبل الإذن بالدفع
- احتفظ بأدلة جنائية رقمية على الاختراق نفسه، منفصلة عن مذكرة الفدية ومطلب الدفع، إذ يدعم ذلك كلاً من مطالبات التأمين وأي إحالة لاحقة لجهات إنفاذ القانون
- أبلغ عن الحادثة إلى مكتب ميداني محلي لمكتب التحقيقات الفيدرالي أو عبر IC3 بصرف النظر عن قرار الدفع
- وثّق كل معرّف معاملة وعنوان محفظة متورط إذا تمت دفعة، إذ يصبح ذلك نقطة البداية لأي جهد تتبع
الأسئلة الشائعة
تتطلب التحويلات البنكية حساباً لدى مؤسسة منظَّمة، وهي قابلة للعكس في بعض الظروف، وتخضع للتحقق من الهوية وضوابط مكافحة غسل الأموال التي تكشف المستلِم بسرعة. تتيح العملات المشفرة دفعاً فورياً وغير قابل للعكس وعابراً للحدود دون تلك العوائق نفسها، وهذا سبب بقائها المطلب شبه العالمي رغم تزايد إمكانية التتبع.
تُثني CISA ومكتب التحقيقات الفيدرالي باستمرار عن الدفع، إذ إنه لا يضمن استعادة البيانات، ويموّل نشاطاً إجرامياً إضافياً، ويمكن أن يدعو إلى استهداف متكرر. ينبغي للمؤسسات التي تواجه حادثة نشطة أن توازن ذلك الإرشاد مع وضعها التشغيلي المحدد، ويُفضَّل بالاستعانة بخبرة استجابة للحوادث ومستشار قانوني ذوَي خبرة، بدلاً من اللجوء افتراضياً إلى الدفع تحت الضغط.
غالباً إلى حد ما، نعم. تنتقل مدفوعات برمجيات الفدية عبر بنية البلوكتشين العامة نفسها التي تنتقل عبرها أي معاملة عملات مشفرة، ويمكن تحليلها باستخدام تقنيات التجميع لتحديد المحافظ، وفي بعض الحالات، ربطها بحسابات منصات تداول أو بنية تحتية إجرامية معروفة، رغم أن عملات الخصوصية وأساليب الغسل المتطورة يمكن أن تحدّ بشكل كبير مما يمكن للتتبع إثباته.
يبدو أن جماعات برمجيات الفدية تعوّض انخفاض معدل الدفع بالمطالبة بمبالغ أكبر لكل هجوم ناجح، وباستهداف مؤسسات تُقيِّمها على أنها أكثر احتمالاً للدفع أو أكثر قدرة على دفع مبلغ أكبر، بدلاً من الاعتماد على حجم كبير من مدفوعات أصغر وأكثر موثوقية.
يمكن ذلك، غالباً حيث تكون المحفظة المستلِمة أو جماعة برمجية الفدية وراءها مُدرَجة على قائمة عقوبات يحتفظ بها مكتب مراقبة الأصول الأجنبية. لهذا يُصرّ المستشار القانوني عادة على فحص عناوين المحافظ المعروفة مقابل قوائم العقوبات قبل الإذن بأي دفعة، بصرف النظر عن مدى إلحاح الضغط التشغيلي للدفع.
المصادر وقراءات إضافية
- Crypto Ransomware: 2026 Crypto Crime Report · Chainalysis
- #StopRansomware: Play Ransomware · Cybersecurity and Infrastructure Security Agency
- #StopRansomware · Cybersecurity and Infrastructure Security Agency