عادةً يبدأ الأمر بمكالمة: "لا يفتح أي ملف". تظهر على الشاشات رسالة فدية، وتمتلئ المجلدات المشتركة بامتدادات ملفات غريبة، ويتوقف العمل.
تقوم برامج الفدية بتشفير بياناتك، وبشكل متزايد بسرقتها أيضًا، ثم تطلب مبلغًا مقابل استعادتها. والذعر يقود إلى أخطاء تجعل التعافي أصعب. اطبع هذا الدليل، وشاركه مع الإدارة، وتدرّبوا عليه قبل أن تحتاجوا إليه.
الساعة 0–1: احتواء الانتشار
- افصل الأجهزة المصابة عن الشبكة: انزع كابلات الشبكة وأوقف Wi-Fi، واعزل الخوادم المصابة.
- لا تُطفئ الأجهزة إلا إذا طلب منك فريق الاستجابة ذلك، فالذاكرة قد تحتوي على أدلة، وأحيانًا مفاتيح التشفير.
- أوقف الوصول عن بُعد (VPN وسطح المكتب البعيد) حتى تعرف كيف دخل المهاجمون.
- احمِ نسخك الاحتياطية: افصلها عن الشبكة فورًا، فالمهاجمون يستهدفونها عمدًا.
- لا تحذف أي شيء، بما في ذلك رسالة الفدية والملفات المشفرة.
الساعة 1–4: استدعِ الأشخاص المناسبين
- فعّل خطة الاستجابة للحوادث وحدد شخصًا واحدًا لقيادة الاستجابة.
- اتصل بمختصين في الاستجابة للحوادث. وإذا كان لديك تأمين سيبراني، فاتصل بشركة التأمين أولاً، فكثير من الوثائق تشترط استخدام جهات استجابة معتمدة لديها.
- أطلع الإدارة والمستشار القانوني. فسرقة البيانات قد ترتب التزامات قانونية بموجب قوانين حماية البيانات في الإمارات والسعودية ومصر وغيرها.
- استخدم قناة تواصل منفصلة (الهاتف، أو مجموعة مراسلة نظيفة)، وافترض أن المهاجم يستطيع قراءة بريد الشركة.
الساعة 4–12: افهم ما حدث
- ما الأنظمة والبيانات المتأثرة، وما الذي ما زال سليمًا؟
- كيف دخل المهاجمون: رسالة تصيد، أم خدمة سطح مكتب بعيد مكشوفة، أم VPN غير محدّث، أم بيانات دخول مسروقة؟
- هل نُسخت البيانات قبل تشفيرها؟ كثير من المجموعات تهدد الآن بنشر البيانات المسروقة أيضًا.
- احفظ سجلات الجدران النارية والخوادم والبريد والخدمات السحابية قبل أن تُحذف تلقائيًا.
الساعة 12–24: التواصل والتخطيط للتعافي
- أبلغ عن الحادثة للشرطة والجهة الوطنية المختصة بالأمن السيبراني.
- جهّز رسائل صادقة وبسيطة للموظفين والعملاء والشركاء، فالصمت والشائعات تسبب ضررًا أكبر من الحقائق.
- خطط للتعافي من نسخ احتياطية نظيفة، مع البدء بالأنظمة الأكثر أهمية، على أجهزة أُعيد بناؤها أو تم التحقق من سلامتها.
- غيّر بيانات الدخول، وخاصة حسابات المسؤولين والخدمات، بعد التأكد من إزالة وصول المهاجم.
هل يجب دفع الفدية؟
هذا قرار تجاري وقانوني وليس تقنيًا، ويجب ألا يُتخذ إلا مع المستشار القانوني وفريق الاستجابة. الدفع لا يضمن حصولك على مفاتيح فك تشفير تعمل، ولا يضمن حذف البيانات المسروقة، وقد يعرّضك لمخاطر قانونية. والمؤسسات التي تملك نسخًا احتياطية منفصلة ومختبرة تكون في موقف أقوى بكثير.
أخطاء تزيد الوضع سوءًا
- استعادة النسخ الاحتياطية قبل إخراج المهاجم، فتُشفَّر الشبكة من جديد.
- مسح الأجهزة قبل جمع الأدلة، فتضيع إجابة سؤال "كيف دخلوا؟".
- التفاوض مع المهاجمين بنفسك دون مساعدة متخصصة.
- إخبار العملاء بأن "البيانات لم تتأثر" قبل أن تتأكد.
أفضل وقت للتعامل مع برامج الفدية هو قبل وقوعها
تستغل معظم هجمات الفدية نقاط ضعف كان اختبار اختراق الشبكات سيكشفها: وصول عن بُعد مكشوف، وتحديثات ناقصة، وإعدادات Active Directory ضعيفة، وحسابات دون تحقق متعدد العوامل. أضف إلى ذلك توعية الموظفين، ونسخًا احتياطية منفصلة ومختبرة فعلاً، وخطة استجابة مكتوبة.
تركّز DABS على الوقاية: نكتشف المسارات التي سيستخدمها المهاجمون ونساعدك على إغلاقها. احجز مكالمة مجانية لتحديد النطاق لتعرف مدى انكشافك.
