صحيفة السوسنة الأردنية

 تقرير الأمن السيبراني يكشف انتقال الخطر من اختراق الأنظمة إلى اصطياد المستخدمين من داخل حياتهم اليومية
عمان - السوسنة - لم يحتج المهاجم إلى كسر جدار إلكتروني معقد، ولا إلى إيقاف خدمة حكومية أمام آلاف المستخدمين.
كان يكفيه أن يصنع موقعاً يشبه الموقع الحقيقي، يضع عليه اسماً مألوفاً وشعاراً موثوقاً، ثم ينتظر شخصاً يصدّق ما يراه ويدخل بياناته بيده.
خلال ثلاثة أشهر فقط، كُشف عن 122 موقعاً إلكترونياً تنتحل صفة مؤسسات وطنية أردنية. الرقم كبير، لكن ما يخفيه أكثر خطورة: 86% من عمليات الانتحال تعود إلى استهداف مؤسسة واحدة، في نمط رجّح التقرير أن يكون موجهاً ومنسقاً لأغراض مالية.هنا توجد القصة الحقيقية داخل تقرير الموقف الأمني السيبراني للربع الثاني من 2026.
ليست القصة أن الحوادث ارتفعت فقط، ولا أن ثغرات جديدة ظهرت، بل أن المهاجمين بدأوا يتحركون نحو المساحة التي يصعب تحصينها بالبرامج وحدها: ثقة الناس بالمؤسسات، وثقة الموظف بالرسالة التي أمامه، وثقته باسم يعرفه أو بصوت يظن أنه يعود إلى مديره.
لقد أصبح الإنسان هو الباب.
مؤسسة واحدة تحت مطاردة رقمية
أن تستحوذ جهة واحدة على 86% من مواقع الانتحال المرصودة لا يبدو نشاطاً عشوائياً، ولا مجرد تكرار لصفحات احتيالية متناثرة.
إنه أقرب إلى مطاردة رقمية طويلة النفس.
المهاجم يكرر المحاولة، يغيّر عنوان الموقع، يعيد نسخ الشعار والتصميم، وقد يبدل الرسالة أو وسيلة الإغراء. الموقع المزيف الذي يُغلق اليوم يمكن أن يظهر غداً باسم قريب أو نطاق جديد.
لا يسمّي التقرير المؤسسة المستهدفة، ولا يحدد عدد الضحايا أو الأموال التي ربما فُقدت، ولذلك لا يمكن الذهاب أبعد مما ورد فيه. لكنه يضع أمام القارئ مؤشراً يصعب تجاوزه: غالبية عمليات الانتحال خلال الربع كله تركزت على هدف واحد.
هذا التركز يعني أن الهوية الرقمية لم تعد مجرد اسم تجاري يحتاج إلى حماية من الإساءة. لقد أصبحت جزءاً من البنية الأمنية للمؤسسة؛ لأن سرقة الشعار قد تكون الخطوة الأولى لسرقة بيانات الدخول أو المعلومات المالية.
ويأتي القطاع الحكومي في مقدمة القطاعات المستهدفة بعمليات انتحال الهوية الرقمية بنسبة 36%، يليه التعليم بنسبة 15%، ثم القطاع المالي بنسبة 14%. أما الإعلام والاتصالات وتكنولوجيا المعلومات والمياه والبريد والأفراد، فسجل كل منها 7%.
في الحالة الحكومية، يستغل المهاجم ما تراكم لدى الناس من ثقة بالجهة العامة. وفي التعليم، يستطيع استخدام أسماء الجامعات أو المنصات التعليمية. أما في القطاع المالي، فإن الطريق بين الموقع المزيف والحساب المصرفي قد يكون قصيراً جداً.
الخطر الذي لا يبدو خطيراً
ارتفع عدد الحوادث السيبرانية المرصودة في الأردن خلال الربع الثاني بنسبة 22% مقارنة بالربع الأول. ورغم ذلك، لم تتجاوز الحوادث المصنفة «خطيرة» 1.1%.
للوهلة الأولى، تبدو النسبة الثانية مطمئنة. لكنها قد تخفي سوء فهم لطبيعة الهجوم الحديث.
فليس ضرورياً أن يحدث الضرر في اللحظة التي يدخل فيها المهاجم إلى النظام. قد تبدأ العملية بجمع معلومات، أو اختبار كلمة مرور، أو السيطرة على حساب مستخدم، ثم تبقى ساكنة إلى أن يحين وقت استخدامها.
وهذا تحديداً ما تكشفه طبيعة الزيادة المسجلة؛ إذ ارتبطت غالبية الحوادث المتزايدة بعمليات جمع المعلومات ومحاولات الاختراق واستغلال حسابات المستخدمين.
أي أن جزءاً مهماً من النشاط المرصود لم يكن نهاية الهجوم، بل بدايته.
يؤكد التقرير هذه الفكرة عندما يتحدث عن هجمات محلية يُرجح ارتباطها بمجموعات تهديد متقدمة، استهدفت عدداً محدوداً من المؤسسات الوطنية. لم يكن هدفها المعلن تعطيل الأنظمة فوراً، بل تحقيق وصول إلى المؤسسات وجمع معلومات يمكن استغلالها في هجمات لاحقة.
الضرر، إذن، قد يتأخر. أما الاختراق فقد يكون وقع بالفعل.
المهاجم يدرس ضحيته قبل أن يطرق الباب
لا تبدأ حملات التصيد الناجحة برسالة عامة دائماً.
بحسب الأنماط التي رصدها التقرير في المنطقة، استُخدمت رسائل مرتبطة بمشروعات حقيقية أو قريبة من طبيعة عمل المؤسسات المستهدفة. ظهرت رسائل تتحدث عن مشروعات بناء وبنية تحتية، وجرى انتحال صفة مسؤول في شركة طاقة، مع استخدام ملفات مزيفة تتعلق بالمناقصات والموردين لنشر برمجيات خبيثة.
لا يحتاج الموظف أمام رسالة كهذه إلى أن يكون مهملاً بالضرورة.
قد تكون الرسالة مكتوبة بلغة سليمة، وتحمل اسماً يعرفه، وتتحدث عن ملف يقع أصلاً ضمن اختصاصه. وربما تصل في توقيت يتزامن مع مشروع أو عطاء حقيقي.
هنا تصبح المعرفة المسبقة بالمؤسسة جزءاً من السلاح. يجمع المهاجم الأسماء والمناصب والمشروعات، ثم يصمم رسالة لا تبدو غريبة على ضحيتها.
وهذا ما يجعل ارتفاع أنشطة جمع المعلومات أكثر من مجرد رقم تقني. كل معلومة تُجمع قد تتحول لاحقاً إلى جملة مقنعة في رسالة احتيالية.
82.6%.. حين يتعلم الاحتيال الكتابة جيداً
أخطر نسبة وردت في التقرير لا تتعلق بعدد الخوادم ولا بحجم الأموال، بل بقدرة الخداع على أن يبدو طبيعياً.
وفق المؤشرات التي أوردها التقرير، يتم إعداد 82.6% من رسائل التصيد الإلكتروني باستخدام الذكاء الاصطناعي لمحاكاة أساليب كتابة يصعب كشفها بالطرق التقليدية. كما رأى 87% من قادة الأمن السيبراني أن الثغرات المرتبطة بالذكاء الاصطناعي تمثل الخطر الأسرع نمواً.
هذه مؤشرات عالمية أدرجها التقرير ضمن تفسيره للمشهد، وليست إحصاءات محلية خاصة بالأردن. لكن أهميتها للأردن تأتي من أنها تشرح كيف يمكن أن تتغير الهجمات التي تستهدف المؤسسات الوطنية.
كانت الأخطاء اللغوية، في مراحل سابقة، واحدة من العلامات التي تفضح البريد الاحتيالي. رسالة ركيكة، أو تركيب غريب، أو كلمات لا تناسب الجهة المرسلة.
هذه العلامة تتراجع الآن.
يمكن للذكاء الاصطناعي أن يكتب رسالة رسمية، ويضبط نبرتها، ويختصرها أو يطيلها، ويعيد صياغتها حتى تشبه لغة المؤسسة أو أسلوب مدير فيها. ولا يحتاج المهاجم إلى إجادة العربية بالدرجة نفسها التي يحتاجها لنسخ اسم وشعار وتفاصيل صحيحة.
لذلك لا يعود السؤال: هل تبدو الرسالة محترفة؟
بل: هل هي حقيقية أصلاً؟
من رسالة مكتوبة إلى صوت المدير
لا يتوقف التحول عند البريد الإلكتروني.
يتوقع التقرير تصاعد التصيد الصوتي باستخدام تقنيات استنساخ الأصوات، ولا سيما أصوات المديرين التنفيذيين أو موظفي تكنولوجيا المعلومات. كما يتوقع استخدام الذكاء الاصطناعي في جمع البيانات وصياغة رسائل مخصصة قبل بدء الهجوم.
هنا يصبح المشهد مختلفاً تماماً.
موظف يتلقى مكالمة عاجلة بصوت مديره. يطلب منه تحويل مبلغ، أو إرسال ملف، أو فتح صلاحية وصول. الصوت مألوف، والطلب قد يبدو منسجماً مع ضغط العمل.
لم تعد كلمة المرور وحدها هي المستهدفة. المستهدف هو رد الفعل البشري نفسه: الطاعة، الاستعجال، الثقة، والخوف من تعطيل مهمة يعتقد الموظف أنها صادرة عن رئيسه.
ولهذا يدفع التقرير نحو تأكيد الهوية بوسيلة تواصل أخرى ومستقلة في العمليات مرتفعة المخاطر، وإلى استخدام مفاتيح الأمان أو تقنيات Passkeys.
المكالمة لم تعد دليلاً كافياً على أن المتحدث هو الشخص الذي نسمعه.
المشكلة تبدأ من الداخل
على الرغم من تطور أدوات المهاجمين، فإن أكثر نقاط الضعف تكراراً في التقرير ليست غامضة ولا شديدة التعقيد.
كلمات مرور ضعيفة لحسابات مسؤولي الأنظمة. منافذ RDP مفتوحة وغير محمية. أنظمة تشغيل لم تُحدّث. غياب برامج الحماية الأساسية أو جدران الحماية. تأخر التحديثات. ضعف ضبط صلاحيات المستخدمين.
هذه النقاط تظهر مرة بعد أخرى، بصيغ مختلفة، في أكثر من موضع.
وعندما حلل التقرير أسباب الحوادث التي جرت الاستجابة لها ميدانياً، أعاد الجزء الأكبر منها إلى أخطاء المستخدمين أو ضعف تطبيق السياسات والإجراءات الأمنية.
المشكلة هنا ليست في غياب المعرفة فقط، بل في الفجوة بين السياسة المكتوبة والعمل اليومي.
قد تكون المؤسسة قد أصدرت تعليمات بتغيير كلمات المرور، لكن حساباً إدارياً لا يزال محمياً بكلمة سهلة. وقد تمتلك نظاماً للحماية، لكن أحد الخوادم بقي خارج التحديث. وربما أُغلق منفذ في الجهاز الرئيسي، وبقي مفتوحاً في جهاز قديم أو خدمة فرعية لا يتذكرها أحد.
المهاجم لا يحتاج إلى أن تكون المؤسسة كلها ضعيفة. يحتاج إلى نقطة واحدة لم تُغلق.
ثلث المنافذ المفتوحة غير آمنة
يقدم التقرير رقماً محلياً يكشف حجم هذه الفجوة بوضوح: 34.2% من مجموع المنافذ المفتوحة على الإنترنت تستخدم بروتوكولات غير آمنة.
إنها أكثر من ثلث المنافذ.
ويشير التقرير إلى استمرار استخدام بروتوكولات مثل HTTP وFTP وTELNET في أجهزة شبكات قديمة، وطابعات، وآلات صناعية، وأنظمة نقاط بيع ومخازن. هذه الأنظمة قد تؤدي وظيفة يومية عادية داخل المؤسسة، لكنها في الوقت نفسه توسع المساحة التي يستطيع المهاجم اختبارها.
لا تبدو الطابعة، مثلاً، أصلاً سيبرانياً حساساً. وقد لا يُعامل جهاز قديم في مخزن بالأهمية نفسها التي يُعامل بها الخادم الرئيسي.
لكن الشبكة لا ترى الأشياء بهذه الطريقة. الجهاز الضعيف المتصل بها قد يصبح ممراً إلى ما هو أهم.
والأكثر إثارة للقلق أن التقرير لاحظ استمرار تكرار ظهور ثغرات شديدة الخطورة سبق رصدها في فترات سابقة.
الثغرة التي تعود ليست مشكلة اكتشاف. إنها مشكلة معالجة.
نصف نقاط الضعف ثقوب تقنية.. وثلثها معلومات مكشوفة
توزعت نقاط الضعف المرصودة في بعض المؤسسات الوطنية على النحو الآتي: 52% ثغرات أمنية، و31% بيانات حساسة مكشوفة، و16% إعدادات غير آمنة، و1% بيانات مكشوفة عبر المنصات.
النسبة الأكثر لفتاً بعد الثغرات نفسها هي البيانات الحساسة المكشوفة.
فالمعلومات المكشوفة لا تمثل ضرراً نهائياً فقط، بل قد تكون مادة خام لهجوم جديد. اسم مسؤول، عنوان بريد داخلي، نوع نظام مستخدم، ملف إعدادات أو بيانات دخول قديمة؛ كل ذلك يساعد في بناء رسالة أكثر إقناعاً أو تحديد الهدف الأضعف.
ولهذا تتداخل القصة كلها في نقطة واحدة: ما يُكشف تقنياً يتحول إلى معرفة، وما يعرفه المهاجم يستخدمه لخداع الإنسان، وما يفعله الإنسان قد يفتح النظام من الداخل.
ليست هناك حدود واضحة بين الثغرة والهوية والتصيد.
إنها سلسلة واحدة.
40% من الحوادث تبدأ ببرمجية خبيثة
ما تزال البرمجيات الخبيثة تمثل 40% من مجموع الحوادث السيبرانية المرصودة. ويعزو التقرير وصولها إلى المؤسسات إلى التصيد الإلكتروني، وتأخر التحديثات، وضعف وعي المستخدمين، وسوء التحكم في صلاحياتهم.
هذا الرقم يربط الخداع بالضرر.
الموقع المنتحل أو الرسالة المقنعة ليسا الهدف الأخير. قد يكونان وسيلة لإدخال ملف خبيث، أو سرقة حساب، أو منح المهاجم وصولاً يسمح له بالتحرك داخل الشبكة.
ومن هناك يمكن أن تتسرب البيانات أو تتعطل العمليات أو تُسرق الملكية الفكرية، إلى جانب تكاليف الإصلاح واستعادة الأنظمة.
المثير هنا أن البرمجيات الخبيثة لا تحتاج دائماً إلى استغلال ثغرة مجهولة. كثيراً ما تدخل لأن شخصاً منحها الإذن من دون أن يعرف، أو لأن النظام الذي استقبلها لم يكن محدثاً، أو لأن المستخدم يملك صلاحيات أكبر مما يحتاج.
هدف الهجمات ليس المال وحده
عند توزيع الحوادث بحسب أهدافها، جاءت النتيجة بعيدة عن التصور الشائع بأن المهاجم يريد المال أولاً.
بلغت نسبة الحوادث الهادفة إلى التعطيل والتخريب 63.7%، مقابل 19.2% للتجسس السيبراني، و15.8% للقرصنة السيبرانية، و1.3% فقط للمكاسب المالية المباشرة.
أكبر نسبة في هذا التصنيف لا تتحدث عن سرقة رصيد، بل عن وقف العمل أو الإضرار به.
وهذا يغيّر معنى الحماية بالنسبة إلى المؤسسات الوطنية. الخطر لا يقاس فقط بما يمكن سرقته، بل بما يمكن تعطيله: خدمة حكومية، نظام اتصالات، عملية مصرفية، منشأة صناعية أو شبكة تشغيل.
أما التجسس السيبراني، الذي يقارب خمس الحوادث، فيعيدنا إلى النشاط الصامت: الوصول وجمع المعلومات وانتظار اللحظة المناسبة.
المهاجم الذي يريد المال قد يكشف نفسه سريعاً بطلب الفدية. أما الذي يريد المعلومة، فقد يكون نجاحه مرتبطاً ببقائه غير مرئي.
ثلاثة قطاعات تحمل معظم العبء
تصدرت الخدمات الحكومية الحوادث التي تمت الاستجابة لها بنسبة 29%، تلتها الاتصالات وتكنولوجيا المعلومات بنسبة 23%، ثم الخدمات المالية والمصرفية بنسبة 21%.
تجمع القطاعات الثلاثة 73% من الحوادث المستجاب لها.
وهذه ليست قطاعات منفصلة تماماً. الخدمات الحكومية تستخدم شبكات الاتصالات والأنظمة التقنية، والمؤسسات المالية تعتمد على البنية الرقمية والهوية الإلكترونية، وأي خلل لدى مزود أو شريك قد يمتد إلى مؤسسة أخرى.
لذلك لا يحتاج الهجوم إلى إصابة الجميع. قد يبدأ من حلقة واحدة في سلسلة طويلة.
ويزداد هذا الخطر مع توسع الاستهداف ليشمل أنظمة التكنولوجيا التشغيلية والبنى التحتية الحيوية. فقد رصد التقرير اتجاهاً لدى مجموعات التهديد المتقدمة نحو عمليات تخريبية ومسح البيانات وتعطيل الأنظمة، إلى جانب استهداف بيئات OT واستخدام واجهات تحمل أسماء «نشطاء اختراق» لإخفاء الجهة الحقيقية وراء العملية.
يومان فقط بين التحذير والهجوم
قد تكون المؤسسة قد عرفت بالثغرة، لكن المعرفة لا تعني أنها أغلقتها.
يذكر التقرير أن الفترة بين الإعلان عن بعض الثغرات واستغلالها تقلصت إلى 24 أو 48 ساعة. كما أن 31% من حوادث الاختراق في أحد المؤشرات الواردة فيه بدأت باستغلال ثغرات أمنية.
المؤسسة التي تحتاج أسبوعاً لتحديد الأجهزة المتأثرة تكون قد خسرت النافذة المتاحة قبل بدء الاستغلال.
وإذا احتاج التحديث إلى موافقات إدارية متعددة، أو لم يكن هناك جرد واضح للبرامج والخوادم، فإن المهاجم قد يتحرك قبل أن تصل تعليمات المعالجة إلى المسؤول التقني.
هنا تتحول سرعة القرار إلى جزء من الأمن السيبراني.
تحديث النظام لا يمحو كلمة مرور مسروقة
توضح حملة FortiBleed حجم المشكلة حين تتجاوز الثغرة لحظة إصلاحها.
استهدفت الحملة ما يصل إلى 86 ألف نظام FortiGate حول العالم لسرقة بيانات الاعتماد. ووفق التقرير، لم يكن تحديث البرامج الثابتة كافياً لحماية كلمات المرور القديمة المخزنة داخل النسخ الاحتياطية للإعدادات، إذ أمكن فكها بعيداً عن الإنترنت واستخدامها للانتقال إلى الشبكات الداخلية.
هذا هو أكبر رقم مفرد في التقرير، لكنه لا يعبر عن عدد أنظمة أردنية مخترقة؛ فهو رقم عالمي ورد ضمن تحليل التهديدات النشطة.
قيمته الصحفية تكمن في الدرس الذي يكشفه.
قد تُغلق المؤسسة الثغرة وتعتقد أن الخطر انتهى، بينما تظل كلمة المرور التي سُرقت سابقاً صالحة. التحديث يعالج البرنامج، لكنه لا يلغي ما حصل عليه المهاجم قبل التحديث.
ولهذا يصبح تغيير بيانات الاعتماد، وفرض المصادقة متعددة العوامل، والبحث داخل الشبكة عن مؤشرات الاختراق، جزءاً من المعالجة وليس إجراءً إضافياً.
عندما تصبح الحماية نفسها باباً للهجوم
يورد التقرير أيضاً ثغرة حرجة في cPanel وWHM بدرجة خطورة 9.8، يمكن أن تسمح بتجاوز المصادقة والحصول على صلاحيات مسؤول النظام الكاملة. ويشير إلى انتشار الأنظمة المتأثرة على نحو 1.5 مليون خادم متصل بالإنترنت.
كما يتناول ثغرات في Joomla بلغ بعضها درجة الخطورة القصوى، وسمحت برفع ملفات وتنفيذ برمجيات ضارة والسيطرة على مواقع مستهدفة.
هذه الثغرات عالمية، لكن التقرير أدرجها لأن المؤسسات الوطنية تستخدم الأنظمة والخدمات ذاتها.
الخادم الذي يدير الموقع، أو لوحة التحكم التي يفترض أنها تحميه، قد تتحول إلى نقطة السيطرة عليه. ولا يعود الموقع مجرد نافذة لنشر الأخبار أو الخدمات، بل جزءاً من الشبكة التي يمكن أن تنتقل منها البرمجيات الخبيثة أو تُسرق عبرها البيانات.
تراجع القرصنة لا يعني تراجع الخطر
انخفضت الأنشطة المرتبطة بمجموعات القرصنة بنسبة 73.7%، بالتزامن مع انخفاض حدة التوترات خلال الشهر الأخير من الربع. لكن هجمات برمجيات الفدية لم تشهد تغيراً يُذكر، بينما ارتفع بشكل محدود نشاط مجموعات التهديد المتقدمة.
الرقم الكبير في الانخفاض قد يصنع انطباعاً إيجابياً، لكن المقارنة بين طبيعة المجموعات تروي قصة أخرى.
مجموعات القرصنة تسعى كثيراً إلى الأثر الإعلامي: حجب خدمة، تشويه موقع، أو نشر بيانات. ويمكن رؤية الهجوم وقياس أثره سريعاً.
أما مجموعات التجسس والفدية، فتعمل بطرق أقل صخباً، وقد يكون وصولها أعمق وأطول أمداً.
تراجع الصوت لا يعني أن المكان أصبح آمناً.
القصة التي تقولها الأرقام
أكبر رقم في التقرير هو 86 ألف نظام حماية استهدفته حملة عالمية.
وأخطر نسبة محلية هي أن 86% من مواقع انتحال المؤسسات الوطنية تركزت على مؤسسة واحدة.
أما المؤشر الأكثر إثارة للقلق، فهو أن أكثر من ثلث المنافذ المفتوحة على الإنترنت ما تزال تستخدم بروتوكولات غير آمنة.
نقطة الضعف التي تتكرر ليست ثغرة واحدة تحمل رقماً تقنياً، بل نمط كامل: أنظمة متأخرة في التحديث، حسابات إدارية ضعيفة، منافذ مفتوحة، صلاحيات غير منضبطة، وموظفون يواجهون رسائل ومواقع واتصالات تتطور أسرع من وسائل التحقق التقليدية.
وأخطر اتجاه هو انتقال الهجوم من استغلال الجهاز إلى استغلال الثقة.
هذه هي القصة المختبئة في التقرير.
الأردن لا يواجه فقط زيادة عددية في الحوادث بنسبة 22%. إنه يواجه مهاجماً أصبح أكثر قدرة على دراسة المؤسسة وتقليدها والتحدث بلغتها، ثم استخدام ذلك لدفع شخص من داخلها إلى فتح الباب.
قد يكون الباب رابطاً.
وقد يكون ملف مناقصة.
وقد يكون موقعاً يحمل شعار جهة رسمية.
وغداً قد يكون صوت المدير نفسه.
لذلك، فإن أهم استنتاج لا يتعلق ببرنامج حماية بعينه. الجدار التقني يظل ضرورياً، لكنه لم يعد كافياً وحده. فما دام المهاجم يستطيع سرقة الهوية، أو استغلال الثقة، أو العثور على حساب قديم ومنفذ منسي، فإن أقوى الأنظمة قد تُجاوز من الطريق الأقصر.
الخطر المقبل لن يعلن عن نفسه دائماً برسالة فدية أو شاشة متوقفة. ربما يدخل بهدوء، مستخدماً اسماً نعرفه، ولغة نثق بها، وطلباً يبدو عادياً.
وعندما يُكتشف، قد لا يكون السؤال: كيف اخترقوا النظام؟
بل: من الذي صدقهم أولاً؟

اقرأ أيضاً :

• تحديات الأمن السيراني والذكاء الاصطناعي
• خبير أمن سيبراني يحذر من مخاطر روبوتات الدردشة الذكية
• 915 حادثة أمن سيبراني خلال الربع الأخير من 2023
• الاردن تعامل مع حالات أمن سيبراني خطيرة