مجموعة رانسوموير جنتلمان تظهر كيف تدفع اقتصاديات الشركاء المخاطر

Faceless cybercriminal using a tablet in red and blue light صورة داعمة: مفهوم الابتزاز الإلكتروني، ملف Adobe Stock رقم 203954864.

في 10 يونيو 2026، نشرت KrebsOnSecurity تحقيقًا حول مجموعة The Gentlemen، وهي مجموعة برامج فدية كخدمة وصفها الباحثون بأنها من أكثر عمليات برامج الفدية نشاطًا من حيث عدد الضحايا. وأفاد كريبس أن المجموعة كانت تجذب الشركاء بنسبة توزيع الإيرادات 90/10، وهو أفضل من النسبة الشائعة 80/20 المستخدمة في العديد من برامج الفدية.

تلك التفاصيل مهمة. برامج الفدية ليست مجرد برمجيات خبيثة. إنها نموذج عمل مبني على التجنيد، والوصول، والتخصص، والحوافز. استشهد كريبس بأبحاث Check Point التي وضعت مجموعة The Gentlemen كثاني أكثر مجموعة نشطة لبرمجيات الفدية من حيث عدد الضحايا في ذلك الوقت، مدعية مئات الضحايا المنشورين منذ منتصف 2025 وأكثر من 240 في عام 2026 وحده.

لماذا تهم اقتصاديات التسويق بالعمولة

عندما تقدم مجموعة الفدية مبالغ أكبر، يمكن أن تجذب المشغلين الذين يعرفون بالفعل كيفية الحصول على الوصول، والتحرك بشكل جانبي، وسرقة البيانات، والضغط على الضحايا. النتيجة ليست فقط المزيد من الهجمات. يمكن أن تكون الهجمات أسرع أيضًا، لأن الشركاء يجلبون معهم كتيبات التشغيل والبنية التحتية.

كما أشار كريبس إلى تقارير تفيد بأن مجموعة The Gentlemen غالباً ما تستهدف الأجهزة المتصلة بالإنترنت مثل شبكات VPN والجدران النارية، ثم تتحرك بسرعة بمجرد الدخول. وهذا يتوافق مع اتجاه أوسع: حيث تصبح الأجهزة الطرفية مصادر للدخول وكذلك لمصادقة بيانات الاعتماد بالنسبة لعصابات الفدية.

نموذج 90/10 ليس تفصيلاً صغيراً. إنه استراتيجية تجنيد. الشخص التابع الماهر الذي يقرر بين برامج الفدية سينظر إلى العائد المالي، والدعم، وموثوقية الأدوات، وضغط مواقع التسريبات، وما إذا كانت المجموعة قادرة على تحويل الوصول الأولي إلى دفع. يمكن للتقسيم الأفضل جذب المشغلين بعيداً عن برامج أخرى، مما يزيد من القدرة التشغيلية للمجموعة الجديدة.

ما الذي يقترحه نموذج التشغيل

توضح قصة السادة أيضًا كيف يفصل برنامج الفدية كخدمة بين الأدوار:

الوسطاء أو الشركاء في الوصول الأولي يجدون مواقع ثابتة، غالبًا من خلال شبكات VPN المكشوفة، الجدران النارية، كلمات المرور الضعيفة، أو الوصول المشتراة.
المشغلون الرئيسيون يحافظون على الخزانة، لوحة الدفع، موقع التسريبات، والبنية التحتية للشركاء.
فرق التفاوض والضغط تدير التواصل مع الضحايا والتشهير العلني.
يُستخدم سرقة البيانات والتشفير معًا لزيادة ضغط الدفع.

يعني هذا الهيكل أن المدافعين لا يواجهون مجموعة موحدة واحدة. إنهم يواجهون سوقًا. حتى إذا اختفى مشغل واحد، يمكن للفروع ومصادر الوصول والأساليب أن تنتقل إلى مكان آخر.

ما الذي يجب أن يفعله المدافعون

اعتبر شبكات VPN والجدران النارية وأنظمة الوصول عن بعد أصولًا عالية المخاطر.
قم بتحديث أجهزة الحافة بسرعة أكبر من الأنظمة الداخلية العادية.
قيد الوصول الإداري على الشبكات الموثوقة.
قم بتغيير بيانات الاعتماد بعد تعرض جهاز الحافة للاختراق أو الاشتباه في تعرضه.
راقب تسجيلات الدخول غير العادية لشبكات VPN، والحسابات الإدارية الجديدة، وتغييرات التكوين.
قسم الأنظمة الحيوية بحيث لا يؤدي اختراق المحيط إلى تشفير كامل الشبكة.
اختبر سيناريوهات احتواء برامج الفدية، وليس فقط استعادة النسخ الاحتياطية.

ما يجب استخلاصه

تزداد جماعات الفدية عندما ينجح نموذج العمل. يحتاج المدافعون إلى تعطيل الاقتصاديات عن طريق جعل الوصول أصعب للشراء، أصعب لإعادة الاستخدام، وأقل قيمة بمجرد الحصول عليه.