تقرير كراودسترايك للتهديدات العالمية 2026: اختراق في 27 ثانية، كارثة Intune لـ سترايكر، والجبهة الصحية في تركيا

في صباح 11 مارس 2026، حين وصل 56,000 موظف في شركة سترايكر كوربوريشن عبر 79 دولة إلى أعمالهم، رأوا جميعاً المشهد ذاته على أجهزة اللابتوب والهواتف والأجهزة اللوحية: شاشة فارغة وشعار مجموعة هاندالا المرتبطة بإيران. قبل ثلاث ساعات، بين الساعة 05:00 و08:00 بالتوقيت العالمي، استخدم المهاجمون حساباً واحداً للمدير العام لـ Microsoft Intune وأعادوا تعيين 80,000 جهاز عن بُعد إلى إعدادات المصنع. لم يُنشر أي برنامج ضار، ولم يُطلق أي منتج لأمن نقاط النهاية أي تنبيه، إذ جرى تسليح منصة إدارة أجهزة سترايكر الخاصة ضد سترايكر نفسها.

هذه صورة المشهد السيبراني لعام 2026 باختصار. تقرير التهديدات العالمي من كراودسترايك، الصادر في 24 فبراير 2026، أعلن ذلك صراحة: «لم يَعُد الخصوم يخترقون الأنظمة، بل يدخلون إليها بحسابات مشروعة». الأرقام مقلقة. رقم قياسي لاختراق eCrime في 27 ثانية، زيادة بنسبة %89 في الخصوم المدعومين بالذكاء الاصطناعي، %82 اكتشاف خالٍ من البرامج الضارة، وحقن أوامر خبيثة في أدوات GenAI الشرعية داخل أكثر من 90 منظمة. غير أنّ هذه الصورة الكلية، على أهميتها، تكتمل فقط حين نتأمل كيف ينعكس المذهب نفسه على تركيا.

تبرز ثلاثة اتجاهات حرجة اليوم: (1) تصعيد المهاجمين المرتبطين بإيران بعد العمليات العسكرية الأمريكية الإسرائيلية في فبراير 2026، (2) نموذج تسليح الهوية، إذ بات حساب مدير السحابة الماسحَ المخصص الجديد، (3) قطاع الصحة التركي يشهد 5 هجمات فدية مؤكدة من KVKK في الربع الأول 2026، تمتدّ من ادعاء Medical Park بـ3.3 تيرابايت BLACKWATER إلى Maremar K.Maraş وÖzbeyler وBodrum وEdremit.

1. كراودسترايك 2026: 27 ثانية. هذا هو الزمن الذي يحتاجه خصم اليوم لاختراق منظومة كاملة.

تقرير الاستخبارات الميدانية لفريق Counter Adversary Operations في كراودسترايك، الذي يتتبّع أكثر من 280 خصماً مسمى، لخّص عام 2025 بأنه «عام الخصم المراوغ». والمقاييس الرئيسية تأتي على النحو الآتي:

الأمر الأكثر إثارة للقلق يأتي تحت عنوان «الذكاء الاصطناعي هو سطح الهجوم الجديد، والأوامر هي البرامج الضارة الجديدة»؛ إذ وثّق كراودسترايك مهاجمين يحقنون أوامر خبيثة في أدوات GenAI الشرعية داخل أكثر من 90 منظمة، ويسرقون الاعتمادات والعملات المشفرة. طوّرت FANCY BEAR الروسية برمجية LAMEHUG المعتمدة على نماذج LLM، فيما أنشأت PUNK SPIDER نصوصاً برمجية بالذكاء الاصطناعي لسرقة الاعتمادات، ووسّعت FAMOUS CHOLLIMA الكورية الشمالية عملياتها الداخلية عبر شخصيات مولَّدة بالذكاء الاصطناعي. لم تَعُد هذه مخاطر تخمينية، بل أنماط تُرصد أسبوعياً.

في هجوم واحد، بدأ تسرب البيانات في غضون 4 دقائق من الوصول الأولي. النمط ذاته كان يستغرق ساعات في 2024. وقد يكون هذا التسارع، في تقديري، أخطر ما يكشفه التقرير، لأنه يُقلّص نافذة المدافع إلى الصفر تقريباً.

2. هجوم سترايكر: حساب Microsoft Intune واحد، 80,000 جهاز، صفر برمجية ضارة

11 مارس 2026، 05:00 بالتوقيت العالمي. اخترقت مجموعة هاندالا المرتبطة بإيران (a.k.a. Void Manticore، التابعة لـMOIS الإيرانية) حساب مدير في بيئة Microsoft Entra لشركة سترايكر كوربوريشن، وهي شركة medtech من Fortune 500 بقيمة 25 مليار دولار. كانت خطوتهم الأولى إنشاء حساب مدير عام جديد، ثم سجلوا الدخول إلى Microsoft Intune وأصدروا أمراً واحداً أرسل المسح إلى 80,000 جهاز.

يضغط الجدول الزمني للهجوم في 11 يوماً:

ثمة تفصيل مهم هنا: تسجيل Intune لا يقتصر على الأجهزة المؤسسية، بل يتبع حساب البريد الإلكتروني نفسه. وهذا يعني أنه إذا كان لدى موظف Outlook المؤسسي على هاتف شخصي، فإن الجهاز الشخصي قد جرى مسحه أيضاً؛ صور العائلة، رسائل الواتساب، تطبيقات البنوك، كلها مُحيت بأمر إداري واحد لم يتقصّد الموظف يوماً قبوله. ومن هنا يفتح الحدث بُعداً منفصلاً من منظور GDPR/KVKK، لأنّ البنية التحتية MDM الخاصة بالشركة دمّرت بيانات الموظفين الشخصية، فيما لم تُحاسَب الشركة أمام أي محكمة حماية بيانات حتى لحظة كتابة هذه السطور.

يدير Microsoft DART (فريق الكشف والاستجابة) إلى جانب Palo Alto Unit 42 الاستجابةَ المشتركة للحوادث. أمّا تقييم الدافع فيقوم على عاملين متشابكين: استحواذ سترايكر على OrthoSpace (إسرائيل) في 2019، وعقد وزارة الدفاع الأمريكية بقيمة 450 مليون دولار. ويبدو أن النتيجة نافذة انتقام لمدة 11 يوماً: عملية سيبرانية بعد 11 يوماً من الضربات الحركية.

3. «لم يكن هذا نشر برمجية ماسح تقليدية». لماذا تنتهي عقيدة EDR الكلاسيكية أمام تسليح الهوية؟

«لم يكن هذا نشر برمجية ماسح تقليدية. اخترق المهاجمون حسابات المدير، ثم استخدموا Microsoft Intune، وهي منصة إدارة نقاط النهاية السحابية الخاصة بسترايكر، لإصدار أوامر مسح عن بُعد لجميع الأجهزة المتصلة. إدارة نقاط النهاية القياسية ومضاد الفيروسات ليست دفاعاً ضد هذه التقنية».

هذا التحول في النموذج مهم، لأنّ منطق الأمن السيبراني للعشرين عاماً الماضية يقوم على افتراض واحد: «المهاجم سينشر برمجية ضارة لتشغيل شيء داخل النظام؛ سأمسكه بمضاد الفيروسات وEDR». غير أنّ تسليح الهوية يحطّم هذا المنطق. فالمهاجم لا يشغّل أي كود، إذ يستخدم أداة إدارة شرعية عبر هوية مخترقة، ولا مكان لأمن نقاط النهاية كي «يكتشف الشذوذ».

فأيّ منصات معرّضة للخطر، إذاً؟

• Microsoft Entra ID + Intune (حالة سترايكر)
• Microsoft 365 Admin Center (حذف صناديق بريد بالجملة، إساءة استخدام قواعد النقل)
• Google Workspace Admin Console (صلاحيات مسح مكافئة)
• Apple Business Manager + Jamf/Kandji MDM
• VMware Workspace ONE / Citrix Endpoint Management
• AWS IAM + Organizations (تدمير عبر الحسابات)
• Azure RBAC + Resource Manager (حذف على مستوى الاشتراك)

لا تقتصر هذه المسألة على «عميل مايكروسوفت»، بل تطال كل مدير SaaS مؤسسي، فالجميع يواجه النمط ذاته في كل لوحة تحكم سحابية صار صلاحيتها تساوي صلاحية ساعات الـEDR التقليدي مجتمعة. أضف إلى ذلك تكتيك إدخال عمال IT لـFAMOUS CHOLLIMA الكورية الشمالية، وهو هوية مجنّد مزوّر تستهدف شركات Web3/AI وتحصد الاعتمادات تحت غطاء «الفحوصات التقنية»، ومن ثمّ فإن المهاجم قد يأتي أيضاً من الداخل، بصفته زميلَ ضحيته على البطاقة التعريفية ذاتها.

4. هل تعرف ما المنافذ التي تكشف PLC تركي للهجوم؟ تنبيه FBI/CISA/NSA في 7 أبريل واستهداف Rockwell PLC

سترايكر ليست حالة منفردة. في 7 أبريل 2026، أصدرت ست وكالات فيدرالية أمريكية، وهي FBI وCISA وNSA وEPA وDOE وUS Cyber Command (CNMF)، تنبيهاً مشتركاً «عاجلاً» حول مجموعات APT المرتبطة بإيران التي تستهدف البنية التحتية الحرجة. أمّا الأهداف فهي أجهزة التكنولوجيا التشغيلية (OT) المواجهة للإنترنت، خاصة Rockwell Automation/Allen-Bradley PLCs.

تفاصيل القضية:

• حملة نشطة منذ مارس 2026 (تصعيد متزامن مع الصراع الأمريكي الإيراني)
• CompactLogix وMicro850 Rockwell PLCs، معرضة مباشرة للإنترنت
• Siemens S7 PLC: استهداف المنفذ 102 رُصد أيضاً (توسع لا يعتمد على البائع)
• القطاعات: أنظمة المياه والصرف الصحي (WWS)، الطاقة، الخدمات والمرافق الحكومية (بما في ذلك البلديات المحلية)
• الأثر: مسح التكوين، تلاعب بأجهزة الاستشعار الميكانيكية القائمة على البرمجيات، تلاعب بشاشات HMI/SCADA، «تعطيل تشغيلي وخسارة مالية»
• الأدوات: استمرارية Dropbear SSH (المنفذ 22219)؛ بنية تحتية مستأجرة في الخارج؛ برنامج تكوين Rockwell شرعي
• حملة سابقة: نوفمبر 2023 CyberAv3ngers (التابعة لـIRGC CEC)، 75 Unitronics PLC، استغلال كلمات المرور الافتراضية

لخّصت Jess Kramer، المساعدة الإدارية للمياه في EPA، الفكرة: «اختراق واحد يمكن أن يعطّل المعالجة، ويُدخل ملوثات، ويُضرّ بالمعدات، ويُضعف الثقة العامة». أمّا المعنى العملي لتركيا فمباشر: مشغّلو البنية التحتية للمياه والطاقة كـ İSKİ وBUSKİ وASKİ وEÜAŞ وTEDAŞ بحاجة هذا الأسبوع لمراجعة مخزون Rockwell + Siemens PLC. وأرى أن أجهزة OT المعرضة للإنترنت يجب أن تنتقل إلى وضع عدم الاتصال، فإذا فرضت متطلبات العمل أن تبقى متصلة، فإن MFA وجدار الحماية ومراقبة السجلات تصبح إلزامية.

5. 2,02 مليار دولار. هذا ما سرقته كوريا الشمالية من الكريبتو في عام واحد فقط.

كان 2025 عاماً قياسياً لكوريا الشمالية. تمّت سرقة 2,02 مليار دولار من الكريبتو (+51% YoY)، ليصل المجموع التراكمي إلى 6,75 مليار دولار. وحدها عملية اختراق Bybit في فبراير 2025، وهي أكبر سرقة كريبتو واحدة على الإطلاق بقيمة 1,46 مليار دولار، تختصر النمط. PRESSURE CHOLLIMA (a.k.a. TraderTraitor، مجموعة فرعية من Lazarus Group) المسؤولة؛ اخترقوا جهاز مطور SafeWallet وحقنوا URL خبيثاً أثناء نقل cold-wallet. وأدرك الرئيس التنفيذي Ben Zhou، آخر موقّع، أن المحفظة استُنزفت بعد 30 دقيقة.

هناك ما يستحق الانتباه أكثر.

تطوّر نموذج إدخال عمال IT لـFAMOUS CHOLLIMA بشكل لافت. فقد كان عملاء كوريا الشمالية يتقدّمون بسير ذاتية مزوّرة لشركات Web3 ويحصدون الاعتمادات من الداخل. أمّا في 2026 فقد عكسوا الأدوار؛ إذ يظهرون الآن بصفة «مجنّدين»، يتواصلون مع المسؤولين التنفيذيين في شركات Web3/AI البارزة بعمليات توظيف مزيفة، ويحصدون الكود المصدري وVPN ووصول SSO تحت غطاء «الفحوصات التقنية». وبالنسبة إلى المستوى C، تعمل بالتوازي «تواصلات مستثمرين استراتيجيين مزوّرة».

منظومة كريبتو وفينتك في تركيا، أي BtcTurk وParibu وBinance TR، تضمّ أكثر من 8 ملايين مستخدم، فيما يصبح فخّ عامل IT هذا، بالنسبة إلى المطورين الأفراد، ذا صلة مباشرة. ولعلّ رسالة «وظيفة مهندس senior remote في startup Web3 خفية» تصل إلى DM لينكدإن لمطوّر تركي في 2026 قد تكون الخطوة الأولى لعملية كوريا شمالية كاملة.

6. الجبهة الصحية في تركيا: Medical Park BLACKWATER و4 إخطارات KVKK (الربع الأول 2026)

سترايكر كانت حالة أمريكية. لكنّ أحداثاً موازية بدأت بالفعل في تركيا. ففي الربع الأول 2026، جرى تسجيل ما لا يقل عن 5 هجمات منفصلة مؤكدة من KVKK في قطاع الرعاية الصحية:

• مجموعة مستشفيات Medical Park (12 أبريل 2026): أكبر شبكة رعاية صحية خاصة في تركيا (36 مستشفى، 14 محافظة، 14,000 موظف)؛ ادّعت مجموعة فدية BLACKWATER تسرّب 3,3 تيرابايت من البيانات (نفت Medical Park ذلك ببيان «لا تسرب للبيانات»؛ تمت مشاركة دليل بوابة تسريب FalconFeeds.io)
• مركز Maremar K.Maraş للتشخيص بالرنين المغناطيسي (12 فبراير 2026): قرار KVKK 18.02.2026/354؛ تم تشفير جميع الملفات، فيما باتت بيانات الهوية والاتصال والصحة في خطر
• Özbeyler Sağlık ve Özel Hastahane (20 يناير 2026): قرار KVKK 27.01.2026/138؛ تم تشفير البنية التحتية للمحاكاة الافتراضية، إذ تأثّرت بيانات الفئات الخاصة (الدين، العرق، الحياة الجنسية، البيومترية، السجلات الجنائية)
• مستشفى Bodrum الخاص (20 يناير 2026): انهارت البنية التحتية للمحاكاة الافتراضية، وتعطّلت رعاية المرضى
• مستشفى Edremit Balıkesir الخاص (20 يناير 2026): فئات بيانات الصحة والجنسية والبيومترية في خطر

المرجع التاريخي هنا هجوم Yonca Sağlık (Medilife) في مارس 2022: 500,000 مريض و2,5 مليون سجل، وهو أكبر انتهاك بيانات صحية تاريخي مسجّل في تركيا. أرسل المهاجم بريداً إلكترونياً لمدير IT بقائمة جميع المجلدات لإثبات الخرق.

يعلّق خبير الأمن السيبراني التركي محمد طولغا إرتوك على حالة Edremit: «تعرض البيانات الصحية والبيومترية للخطر في الحادث نفسه يُضخّم الأبعاد القانونية والتشغيلية للحدث. فهذه الأنواع من البيانات تُنشئ مخاطر أعلى بكثير في التحقق من الهوية، والخصوصية، والتمييز، وفقدان السمعة، والاحتيال المستهدف».

7. تحصين Microsoft Entra & Intune: 7 ضوابط كانت ستمنع هجوم سترايكر

لمنع هجوم من نوع سترايكر، يقول baseline أمن مايكروسوفت الخاص ما يلي:

1. MFA مقاوم للتصيد إلزامي لجميع المسؤولين: سياسة Conditional Access مطبقة على جميع 14 دوراً حساساً (Global Administrator وPrivileged Role Administrator وApplication Administrator وCloud Application Administrator وHelpdesk Administrator وغيرها). أمّا MFA SMS/voice فغير مقبول؛ ويبقى FIDO2 وWindows Hello وAuthenticator passwordless الخيار المطلوب.
2. تفعيل just-in-time لـPIM (إدارة الهوية المميزة): أدوار المدير ليست نشطة بشكل دائم، إذ تُفعَّل عند الحاجة لمدة 1-8 ساعات؛ ويستلزم التفعيل MFA وسير عمل الموافقة والتبرير. والوصول الدائم يساوي سطح هجوم.
3. Multi Admin Approval (MAA): مسح أجهزة Intune وتعيين دور RBAC ونشر التطبيق يتطلب موافقة مدير ثانٍ. حدث هجوم سترايكر بمدير واحد؛ ومع MAA نشطة، كان مدير مختلف سيضطر إلى أن يسأل «لماذا تمسح 80K جهاز؟».
4. 2 حسابات طوارئ break-glass: Global Admin مُعيَّن دائماً، بدون MFA، سحابي فقط، كلمة المرور في خزنة فعلية، بدون روابط AD داخلية. مستثناة من Conditional Access. تُستخدم فقط حين يُقفل النظام بأكمله.
5. PAW (محطة عمل الوصول المميز): جهاز منفصل ومُقفل لجميع أعمال المدير. لا يقرأ البريد الإلكتروني، ولا يتصفح مواقع عشوائية، ويصل فقط إلى بوابات المدير.
6. تتبع baseline لـMicrosoft Secure Score: نظام تسجيل tenant الخاص بمايكروسوفت؛ قياس secure score في بداية الشهر، وتحسين بنهاية الشهر. والهدف 80 نقطة كحدّ أدنى لكل tenant.
7. تنبيه إنشاء tenant وتفعيل الدور: تنبيه Slack/Teams عند تفعيل دور Global Administrator؛ فرز حدث إنشاء tenant.

8. هل لديك Global Admin بدون PIM؟ ابدأ من هنا: 5 إجراءات عملية هذا الأسبوع

الصورة مظلمة. وأرى أنّ ما يلي يستحق التنفيذ هذا الأسبوع:

1. عُدّ إدخالات «Global Administrator» في tenant Microsoft 365 / Entra لشركتك. أكثر من 5 كثير. انقل التعيينات الدائمة إلى eligible عبر PIM. (هذا الإجراء الواحد يقلّص سطح هجوم نوع سترايكر بنسبة 80%.)
2. إذا لم يكن لديك سياسة Conditional Access «MFA مقاوم للتصيد للمسؤولين»، فأعدّها هذا الأسبوع. وإلا قد تصبح منظمتك إحصائية «اختراق 27 ثانية» التالية. ودليل Microsoft Learn خطوة بخطوة يستغرق 30 دقيقة.
3. استورد قوائم IoC المرتبطة بإيران إلى SIEM الخاص بك. نشرت نشرة FBI/CISA في 7 أبريل 8 عناوين IP. وإذا كان لدى شركتك أجهزة OT (التصنيع، اللوجستيات، المياه والطاقة)، فراجِع أيضاً مخزون Rockwell + Siemens PLC، وأغلق المعرّض للإنترنت.
4. نافذة إخطار انتهاك بيانات KVKK 72 ساعة، فاختبر خطة استجابة الحوادث الخاصة بك. قدّمت سترايكر 8-K إلى SEC بنهاية يوم العمل. والمادة 12، الفقرة 5 من قانون تركيا 6698 (KVKK) تتطلب «في أقرب وقت ممكن». وإذا لم يكن لديك CISO/DPO، فعيّن واحداً هذا الأسبوع.
5. شخصياً: كن حذراً مع رسائل «Senior Engineer @ stealth Web3 startup» على لينكدإن. انتقلت Famous Chollima الكورية الشمالية إلى نموذج المجنّد المزوّر في 2026. «المقابلة التقنية» تتحول إلى حصاد اعتمادات. وإذا كان عمر ملف لينكدإن للمجنّد أقل من 6 أشهر أو كان GitHub فارغاً، فابتعد.

يمكن القول إنّ مشهد الأمن السيبراني لعام 2026 يختصر في جملة واحدة: لم يَعُد المهاجم يشغّل شيئاً داخل النظام؛ بل يستخدم شيئاً داخله. انتهت البرامج الضارة المخصصة، وصار حساب مدير السحابة هو الماسحَ المخصص الجديد. وسترايكر هو المثال الأكثر وضوحاً. غير أنّ Medical Park وMaremar وÖzbeyler وBodrum وEdremit تمثّل الجبهة الصامتة في تركيا. وموقفي واضح: يجب أن نضع الأمن المعتمد على الهوية ليس بوصفه رفاهية 2024-2025، بل ضرورةَ 2026. ففي عالم اختراق 27 ثانية، ليس لديك فرصة ثانية.