صباح يوم عمل عادي، يفتح صاحب مكتب محاسبة صغير حاسوبه، فيجد أن كل ملفاته أصبحت بأسماء غريبة لا تفتح، وفي منتصف الشاشة رسالة تخبره بأن ملفاته شفرت بالكامل، وأن عليه دفع مبلغ بالعملات الرقمية خلال ثلاثة أيام ليحصل على مفتاح فك التشفير، وإلا ستحذف نهائيًا أو تنشر بيانات عملائه على الإنترنت. سنوات من الحسابات والعقود والفواتير أصبحت فجأة رهينة، ولا يعرف من أين بدأ الأمر، ربما من مرفق في رسالة بريد بدت كفاتورة من مورد.
هذا هو ما تفعله برامج الفدية (Ransomware)، وهي من أخطر التهديدات الرقمية اليوم وأكثرها كلفة، ولم تعد تستهدف الشركات الكبرى والمستشفيات فقط، بل المنشآت الصغيرة والأفراد أيضًا. وفي هذا المقال ستتعرف على كيف تعمل هذه البرامج، وكيف تصل إلى جهازك، ثم طبقات الحماية التي تمنعها، والنسخ الاحتياطي الذي يجعلها بلا قيمة، وما تفعله في الساعة الأولى إذا أصبت بها، وهل يجب أن تدفع الفدية.
كيف تعمل برامج الفدية؟
برنامج الفدية برمجية ضارة تتسلل إلى الجهاز، ثم تبحث عن الملفات المهمة مثل المستندات والصور وقواعد البيانات والجداول، وتشفرها بمفتاح لا يملكه إلا المهاجم، فتصبح الملفات موجودة على جهازك لكنك لا تستطيع فتحها. وبعد اكتمال التشفير، تظهر رسالة الفدية التي تطلب مبلغًا مقابل مفتاح فك التشفير، غالبًا بالعملات الرقمية لصعوبة تتبعها، مع مهلة زمنية للضغط على الضحية.
وتطورت هذه الهجمات في السنوات الأخيرة إلى ما يعرف بالابتزاز المزدوج، فلا يكتفي المهاجمون بتشفير الملفات، بل يسرقون نسخة منها قبل التشفير، ويهددون بنشرها إذا لم تدفع، حتى لو كانت لديك نسخة احتياطية تغنيك عن مفتاح فك التشفير. وهذا يجعل الخطر أكبر على المنشآت التي تحتفظ ببيانات عملاء أو معلومات حساسة.
ومن المهم أن تعرف أن برامج الفدية لا تشفر جهازك فقط، بل قد تنتشر إلى أي جهاز أو قرص متصل به، مثل الأقراص الخارجية الموصولة أثناء الهجوم، والمجلدات المشتركة على الشبكة، وحتى المجلدات المتزامنة مع الخدمات السحابية، إذ تتزامن النسخ المشفرة فوق الأصلية. ولهذا فإن النسخة الاحتياطية الموصولة دائمًا بالجهاز قد تشفر معه.
كيف تصل إلى جهازك؟
فهم الطرق التي تتسلل منها برامج الفدية هو نصف الحماية، لأن أغلب الهجمات تحتاج إلى خطأ بشري أو ثغرة معروفة لم تسد. وهذه أكثر الطرق شيوعًا:
رسائل البريد التصيدية: رسالة تبدو من جهة معروفة، مثل مورد أو شركة شحن أو جهة حكومية أو بنك، تحتوي على مرفق مثل فاتورة أو بوليصة شحن أو مستند مهم، أو رابط لتحميل ملف. وحين تفتح المرفق أو تفعل فيه ما يطلب منك، مثل تفعيل وحدات الماكرو في ملف Office، يبدأ تثبيت البرمجية الضارة.
البرامج المقرصنة والتحميلات المشبوهة: نسخ مكركة من برامج مدفوعة، أو ألعاب، أو أدوات تفعيل، أو ملفات من مواقع تحميل غير موثوقة، تأتي كثيرًا مع برمجيات ضارة مدمجة فيها. والتوفير الذي تحققه من البرنامج المقرصن قد يكلفك كل ملفاتك.
الثغرات في الأنظمة غير المحدثة: الأنظمة والبرامج التي لا تحصل على التحديثات الأمنية تحتوي على ثغرات معروفة يستغلها المهاجمون آليًا، خاصة الأنظمة القديمة التي انتهى دعمها. وكثير من الهجمات الكبرى استغلت ثغرات كانت تحديثاتها متاحة قبل الهجوم بأشهر.
الوصول عن بعد بكلمات مرور ضعيفة: المنشآت التي تتيح الوصول عن بعد إلى أجهزتها أو خوادمها عبر بروتوكولات مثل سطح المكتب البعيد، بكلمات مرور ضعيفة أو مسربة ودون تحقق ثنائي، هدف مفضل للمهاجمين. فيدخلون كأنهم مستخدمون شرعيون، ثم يثبتون برنامج الفدية يدويًا.
طبقات الحماية: كيف تمنع الهجوم من البداية؟
لا يوجد إجراء واحد يحميك تمامًا، لكن الجمع بين عدة طبقات يجعل نجاح الهجوم صعبًا جدًا، وأغلب هذه الطبقات مجانية أو مدمجة في أنظمة التشغيل:
حدّث كل شيء باستمرار: فعّل التحديثات التلقائية لنظام التشغيل والمتصفح وبرامج Office وكل البرامج التي تستخدمها، ولا تؤجل التحديثات الأمنية. وإذا كنت تستخدم نظامًا انتهى دعمه، فخطط للترقية، لأن النظام الذي لا يحصل على تحديثات أمنية باب مفتوح.
فعّل الحماية المدمجة في Windows: يتضمن تطبيق أمن Windows ميزة اسمها الوصول المتحكم فيه إلى المجلدات (Controlled Folder Access)، تجدها في قسم الحماية من الفيروسات والتهديدات ضمن الحماية من برامج الفدية، وتمنع البرامج غير الموثوقة من تعديل الملفات في المجلدات المحمية. وقد تحتاج إلى السماح يدويًا لبعض البرامج الموثوقة التي تمنعها الميزة، لكنها طبقة حماية مهمة.
تعامل مع المرفقات والروابط بحذر: لا تفتح مرفقات غير متوقعة حتى لو بدت من جهة تعرفها، وتحقق من المرسل عبر قناة أخرى إذا شككت. ولا تفعّل وحدات الماكرو في ملفات Office إلا إذا كنت متأكدًا تمامًا من مصدرها وحاجتك إليها، فهذه من أشهر طرق تشغيل البرمجيات الضارة.
استخدم البرامج من مصادرها الرسمية: حمّل البرامج من مواقعها الرسمية أو المتاجر الرسمية فقط، وتجنب البرامج المقرصنة وأدوات التفعيل غير الرسمية تمامًا. وإذا كان برنامج ما مكلفًا، فابحث عن بديل مجاني موثوق بدلًا من نسخة مقرصنة.
أمّن الوصول عن بعد والحسابات: إذا كانت منشأتك تحتاج إلى الوصول عن بعد، فلا تتحه مباشرة على الإنترنت، واستخدم حلولًا آمنة مع تحقق ثنائي وكلمات مرور قوية. واستخدم حسابات مستخدم عادية للعمل اليومي بدلًا من حسابات المسؤول، لأن البرمجية الضارة تحصل على صلاحيات الحساب الذي يشغلها.
النسخ الاحتياطي الذي يجعل الفدية بلا قيمة
مهما كانت الحماية قوية، فإن احتمال نجاح هجوم ما يبقى قائمًا، ولذلك فإن خط الدفاع الأخير والأهم هو النسخة الاحتياطية، لأنها تجعلك قادرًا على استعادة ملفاتك دون الحاجة إلى مفتاح المهاجم. لكن ليست كل نسخة احتياطية تحميك من برامج الفدية، فالنسخة الموجودة على قرص خارجي موصول دائمًا بالجهاز، أو في مجلد مشترك على الشبكة، قد تشفر مع الملفات الأصلية.
ولذلك يوصي المختصون بقاعدة تسمى 3-2-1، أي أن تحتفظ بثلاث نسخ من بياناتك المهمة، على نوعين مختلفين من وسائط التخزين، وأن تكون نسخة واحدة منها على الأقل خارج موقعك أو غير متصلة بالجهاز. فالقرص الخارجي الذي تصله للنسخ ثم تفصله، والخدمة السحابية التي تحتفظ بإصدارات سابقة من الملفات، يمثلان معًا حماية قوية.
ومن الميزات المهمة في هذا السياق سجل الإصدارات في الخدمات السحابية، فخدمات مثل OneDrive وGoogle Drive وDropbox تحتفظ بإصدارات سابقة من الملفات لفترة، ويتيح OneDrive تحديدًا ميزة لاستعادة المجلد كاملًا إلى تاريخ سابق في بعض الخطط، وهي مفيدة جدًا إذا تزامنت الملفات المشفرة. فتعرف على هذه الميزات في الخدمة التي تستخدمها قبل أن تحتاجها، واختبر استعادة ملف من النسخة الاحتياطية مرة كل فترة، لأن النسخة التي لم تختبرها قد لا تعمل حين تحتاجها.
إذا أصبت: ماذا تفعل في الساعة الأولى؟
إذا ظهرت رسالة فدية على جهازك، أو لاحظت أن ملفاتك تتحول إلى صيغ غريبة لا تفتح، فإن تصرفاتك في الدقائق الأولى قد تحدد حجم الضرر:
افصل الجهاز عن الشبكة فورًا: افصل كابل الشبكة، وأوقف الواي فاي، وافصل أي أقراص خارجية موصولة، حتى لا ينتشر التشفير إلى أجهزة أخرى في الشبكة أو إلى نسخك الاحتياطية. ولا تطفئ الجهاز بالضرورة إذا كانت ستتعامل معه جهة متخصصة، لأن بعض المعلومات في الذاكرة قد تفيد في التحقيق، لكن العزل أولوية قصوى.
صوّر رسالة الفدية ووثق ما حدث: صوّر الرسالة بهاتفك، وسجل امتداد الملفات المشفرة، ووقت اكتشاف المشكلة، وما كنت تفعله قبلها، مثل فتح مرفق أو تحميل ملف. فهذه المعلومات تفيد في معرفة نوع البرنامج وإمكانية فك تشفيره، وفي البلاغ.
ابحث عن أداة فك تشفير مجانية: بعض أنواع برامج الفدية القديمة أو التي كشفت مفاتيحها لها أدوات فك تشفير مجانية، ويجمعها مشروع No More Ransom الذي أطلقته جهات أمنية دولية وشركات أمن معروفة، ويتيح موقعه رفع عينة من ملف مشفر أو رسالة الفدية لمعرفة نوع البرنامج وما إذا كانت هناك أداة متاحة. ولا تحمل أدوات فك تشفير من مواقع مجهولة، فقد تكون فخًا آخر.
أبلغ واطلب المساعدة المتخصصة: أبلغ الجهات المختصة بالجرائم المعلوماتية عبر القنوات الرسمية مثل تطبيق كلنا أمن، وإذا كنت منشأة، فتواصل مع جهة متخصصة في الاستجابة للحوادث السيبرانية. واطلع على إرشادات الهيئة الوطنية للأمن السيبراني فيما يخص التعامل مع الحوادث، خاصة إذا كانت منشأتك ضمن الجهات المشمولة بضوابطها.
نظّف قبل الاستعادة: لا تستعد ملفاتك من النسخة الاحتياطية على الجهاز المصاب نفسه قبل تنظيفه بالكامل، والأسلم إعادة تثبيت النظام من الصفر، ثم تغيير كلمات المرور كلها من جهاز نظيف، ثم استعادة الملفات بعد التأكد من أن النسخة الاحتياطية نفسها غير مصابة.
هل تدفع الفدية؟
هذا السؤال يواجهه كل من يصاب ببرنامج فدية، والإجابة التي توصي بها الجهات الأمنية حول العالم بشكل عام هي عدم الدفع، لأسباب عملية قبل أن تكون مبدئية. فالدفع لا يضمن أنك ستحصل على مفتاح فك التشفير، فأنت تتعامل مع مجرمين لا يلتزمون بشيء، وتشير تقارير في هذا المجال إلى أن بعض من دفعوا لم يستعيدوا ملفاتهم كاملة، أو حصلوا على أدوات فك تشفير معطوبة. كما أن الدفع لا يضمن أن البيانات المسروقة لن تنشر أو تباع لاحقًا.
والأهم أن الدفع يجعلك هدفًا معروفًا بأنه يدفع، فقد تتعرض لهجوم آخر من الجهة نفسها أو من غيرها، ويمول عمليات إجرامية تستهدف آخرين. ولذلك فإن الاستثمار الحقيقي هو في الحماية والنسخ الاحتياطي قبل الهجوم، لأنهما ما يمنحانك خيار عدم الدفع حين يأتي اليوم الصعب.
وإذا كنت منشأة وتواجه هذا القرار تحت ضغط كبير، فلا تتخذه وحدك، بل استشر جهات متخصصة في الاستجابة للحوادث، وأبلغ الجهات المختصة، وراجع الجوانب القانونية والتنظيمية للموقف.
الأسئلة الشائعة
هل برنامج الحماية المدمج في Windows كافٍ ضد برامج الفدية؟
Microsoft Defender المدمج في Windows يوفر حماية جيدة، خاصة مع تفعيل ميزة الوصول المتحكم فيه إلى المجلدات وتحديثه باستمرار. لكن لا يوجد برنامج حماية يمنع كل الهجمات، ولذلك فإن الحذر من المرفقات والروابط والنسخ الاحتياطي غير المتصل ضروريان مهما كان برنامج الحماية.
هل يمكن أن تصيب برامج الفدية أجهزة Mac والهواتف؟
نعم، توجد برامج فدية تستهدف أجهزة Mac وأندرويد، وإن كانت أقل انتشارًا من تلك التي تستهدف Windows. وتطبق القواعد نفسها: تحديث الأنظمة، وتجنب التطبيقات من مصادر غير رسمية، والنسخ الاحتياطي المنتظم.
هل التخزين السحابي يحميني من برامج الفدية؟
التخزين السحابي المتزامن قد ينقل الملفات المشفرة إلى السحابة أيضًا، لكن ميزات مثل سجل الإصدارات واستعادة المجلدات إلى تاريخ سابق قد تنقذك. والحماية الأقوى أن تجمع بين السحابة ونسخة احتياطية منفصلة غير متصلة دائمًا بالجهاز.
هل المنشآت الصغيرة مستهدفة فعلًا؟
نعم، فكثير من الهجمات آلية وتبحث عن أي جهاز ضعيف بغض النظر عن حجم صاحبه، والمنشآت الصغيرة قد تكون أهدافًا مغرية لأنها غالبًا لا تملك فرقًا أمنية أو نسخًا احتياطية منظمة. ولذلك فإن الإجراءات الأساسية في هذا المقال أهم للمنشآت الصغيرة من غيرها.
0 تعليقات