الشركات الصغيرة تمثّل 96٪ من ضحايا برامج الفدية في تقرير فيريزون لعام 2026، ومعظمها كان لديه إشارة تحذير قبل 95 يوماً لم يرصدها أحد

نشرت فيريزون تقرير فحص اختراقات البيانات لعام 2026 في مايو، معتمدة على أكثر من 22,000 اختراق مؤكّد في 145 دولة بين نوفمبر 2024 وأكتوبر 2025 [1][2]. الرقم الأبرز يقع في قسم برامج الفدية: من بين الاختراقات التي سُجّل فيها حجم الضحية، شكّلت المؤسسات الصغيرة 96٪ من ضحايا برامج الفدية [3]. هذه ليست قصة عن استهداف الشركات الصغيرة بالاسم. إنها قصة عمّا يُترك بلا تحديث.

التحوّل الكبير الآخر في التقرير يدعم ذلك. للمرة الأولى، تجاوز استغلال ثغرة غير مُحدَّثة سرقة بيانات الاعتماد كطريقة الدخول الأولى للمهاجمين، بنسبة 31٪ مقابل 13٪ [4]. عصابات برامج الفدية لم تعد تُخمّن كلمات المرور واحدة تلو الأخرى. إنها تُشغّل مسوحاً تلقائية بحثاً عن برمجيات لم يحدّثها أحد، وتحمل المنشأة الصغيرة عادةً نسبة أكبر من تلك البرمجيات غير المحدَّثة لكل فردٍ يراقبها مقارنةً بمنشأة أكبر.

النتيجة التي تستحق أن يُبنى حولها إجراءٌ فعلي هي التوقيت. كان لدى 73٪ من ضحايا برامج الفدية تسريب بيانات اعتماد أو عدوى برمجية سارقة للبيانات مسجَّلة في العام السابق للهجوم، ونصف تلك التسريبات ظهر خلال 95 يوماً فقط من وقوع هجوم الفدية [5]. تسعةٌ وتسعون يوماً ليست تحذيراً يصل في اللحظة الأخيرة قبل الكارثة. إنها نافذةٌ تملكها معظم الشركات أصلاً، وهي فقط لا تُراقبها.

نطاق تقرير DBIR لعام 2026 واسعٌ بما يكفي لتعذّر اعتبار رقم 96٪ محض مصادفة في حجم العيّنة: حلّلت فيريزون وشركاؤها المساهمون أكثر من 22,000 اختراق بياناتٍ مؤكَّد، مع دمج بيانات CIS Controls وMS-ISAC في نتائج التقرير حول برامج الفدية والقطاع العام ^[1][2]. تنطبق نسبة 96٪ تحديداً على الحوادث التي سُجّل فيها حجم المنشأة الضحية، وهو ما يغطّي معظم مجموعة البيانات لا كلّها، وهي تخصّ برامج الفدية لا كلّ أنواع الاختراق. وحتى مع هذا التحفّظ، فإن منشأة بأقل من خمسين موظفاً ليست أكثر أماناً إحصائياً من شركة مطروحة للتداول وفق هذه البيانات. بل هي الهدف الأكثر شيوعاً.

يهمّ انعكاس مسار الدخول لأنه يشير إلى عادةٍ قابلةٍ للإصلاح لا إلى تهديدٍ لا يُعالج. سرقة بيانات الاعتماد تستحوذ على العناوين لأن التصيّد سهل التخيّل، لكنها عند 13٪ من نقاط الدخول الأولى لم تعد السبب الأول. استغلال الثغرات، عند 31٪، يعني أن المدخل عادةً قطعة برمجية متاحة على الإنترنت، إضافة، جهاز VPN، نظام نقطة بيع، ظلّت بلا تحديث طويلاً بما يكفي ليوجد إصلاحٌ معروفٌ لها ويبقى غير مُطبَّق ^[4]. جدول تحديثٍ يُقاس بالأيام، لا كلّما تفرّغ أحدهم، يُغلق المسار الذي يُلحق اليوم ضرراً أكبر من سرقة كلمات المرور.

رقم الـ95 يوماً يأتي من تتبّع ضحايا برامج الفدية إلى الخلف: من بين من سُجّلت لهم عدوى سارقة بياناتٍ أو تسريب بيانات اعتمادٍ في العام السابق، حدث نحو نصف تلك التسريبات خلال ما يقارب ثلاثة أشهرٍ من هجوم الفدية نفسه ^[5]. هذا ليس رقماً تكتشفه منشأةٌ بمراقبة أنظمتها هي. سجلّات البرمجيات السارقة للبيانات وتسريبات بيانات الاعتماد تتداول في منتدياتٍ وأسواقٍ لا يراها الضحية إطلاقاً. إنه رقمٌ يظهر فقط إذا كان شيءٌ ما، خدمة مراقبة، مزوّد أمنٍ، عادة إشعارٍ أساسية بالاختراق، يتحقّق فعلاً من ظهور بيانات دخول موظفٍ في مكانٍ لا ينبغي أن تكون فيه. معظم الشركات الصغيرة لم تُجرِ هذا الفحص ولو مرّةً، ناهيك عن جدولٍ منتظمٍ يرصد تسريباً داخل نافذة 95 يوماً.

الجانب المشجّع من التقرير يأتي بشرط. 69٪ من ضحايا برامج الفدية رفضوا دفع الفدية، ارتفاعاً من نحو النصف قبل سنواتٍ قليلة، والنسخ الاحتياطية الموثوقة هي السبب الأكثر ذكراً للقدرة على الرفض ^[6]. الشرط هو أن النسخة الاحتياطية تمنح المنشأة هذا الخيار فقط إذا جُرِّبت فعلاً. وجدت دراسات استرجاعٍ خارج تقرير DBIR أن أكثر من ثلث الشركات التي انتهى بها الأمر إلى دفع الفدية فعلت ذلك لأن نسخها الاحتياطية فشلت أو تعطّلت عند محاولة استخدامها. مهمّة نسخٍ احتياطيةٍ تنتهي بنجاحٍ كلّ ليلة ليست نفس الادّعاء بنسخةٍ تستعيد نظاماً يعمل فعلاً.

تحوّلٌ آخر يستحقّ الإشارة لأي منشأةٍ تُوكل تقنية المعلومات أو الدفع أو جزءاً من بنيتها لطرفٍ خارجي: ارتفع تورّط أطرافٍ ثالثةٍ في الاختراقات إلى 48٪ من الإجمالي، بزيادة 60٪ عن العام السابق ^[7]. مزوّدٌ أو متعاقدٌ أو مورّد برمجياتٍ له وصولٌ إلى نظامٍ ما بات حاضراً في نحو نصف كلّ الاختراقات، ليس كحاشيةٍ بل كالمدخل الفعلي. فحص مورّدٍ مرّةً عند التوقيع وعدم العودة إليه إطلاقاً ليس كمعرفة ما الوصول الذي لا يزال ذلك المورّد يحتفظ به بعد عامين.

بيانات فيريزون تنحاز نحو أمريكا الشمالية وأوروبا، والتقرير لا ينشر تصنيفاً خاصاً بمصر أو الخليج. هذه ثغرةٌ حقيقية، لا شيء يُغطّى عليه. ما يصحّ بصرف النظر عن الموقع الجغرافي هو الآلية نفسها: المسح التلقائي لا يتحقّق من بلد المنشأة قبل أن يتحقّق من مدى تحديث برمجيةٍ ما، وكلمة مرورٍ مسرّبةٌ لا تصبح أقلّ خطورةً لأن المنشأة التي أصدرتها تعمل من القاهرة أو دبي بدلاً من شيكاغو. الإصلاح، برمجياتٌ غير محدَّثة، بيانات اعتمادٍ غير مُراقَبة، نسخٌ احتياطيةٌ غير مُجرَّبة، هو القائمة نفسها أينما كانت المنشأة.