آفاق التهديدات 2026–2027: ما رأيناه، وما ينتظرنا

كل سنة تنشر أكبر فرق الاستجابة للحوادث في العالم تقاريرها عن السنة الماضية، وكل سنة تتكرر عبارة «المهاجمون أسرع». لكن 2026 كانت مختلفة، لأن الأرقام لم تعد تتحدث عن أيام أو ساعات، بل عن ثوانٍ. في هذا التقرير جمعنا ما رأته حسّاسات جدر وأنظمة Deception داخل المملكة خلال 56 يومًا، مع ما وجدته أهم الدراسات العالمية والإقليمية في 2026، ثم سألنا السؤال الذي يهم أي مسؤول: ماذا يعني هذا لسنة 2027؟

2026: السنة التي صار فيها الهجوم بسرعة الآلة

وجدت CrowdStrike أن أسرع مهاجم في بياناتها لعام 2025 انتشر داخل الشبكة بعد 27 ثانية فقط من اختراقها، وأن متوسط زمن الانتشار لدى العصابات الإجرامية نزل إلى 29 دقيقة. ووجدت Mandiant أن تسليم الضحية من المخترق الأول إلى مجموعة إجرامية ثانية صار يتم في 22 ثانية كوسيط، بعد أن كان يتجاوز ثماني ساعات في 2022. وعلى حسّاساتنا نحن، استخدم 146 مهاجمًا من أصل 173 ثغرة معروفة خلال عشر ثوانٍ من وصولهم. ثلاث جهات مختلفة، وبيانات مختلفة، والنتيجة واحدة: الدفاع الذي ينتظر إنسانًا يقرأ التنبيه سيصل غالبًا بعد المهاجم.

الأبواب القديمة ما زالت مفتوحة

قد تتوقع أن المهاجمين يحتاجون ثغرات جديدة ومعقدة، لكن الواقع عكس ذلك. كانت الثغرات المستغلة هي أول خطوة في 32% من الاختراقات التي حققت فيها Mandiant، وهذه السنة السادسة على التوالي التي تتصدر فيها القائمة. وفي تقرير Verizon لعام 2026، بدأ ثلث الاختراقات تقريبًا باستغلال ثغرة، متقدمًا على كلمات المرور المسروقة لأول مرة في تاريخ التقرير الممتد 19 سنة. والأسوأ أن الترقيع صار أبطأ، فالوسيط ارتفع إلى 43 يومًا بعد أن كان 32 يومًا، ولم تُعالج بالكامل إلا 26% من الثغرات المدرجة في قائمة CISA الأمريكية للثغرات المستغلة، لدى 13,000 جهة شملها الاستطلاع.

وفي الوقت نفسه بدأ الاستغلال يسبق الإصلاح. تقدّر Mandiant أن متوسط زمن الاستغلال نزل إلى سالب سبعة أيام، أي أن الاستغلال صار يأتي عادةً قبل صدور التحديث، ووجدت CrowdStrike أن 42% من الثغرات المستغلة استُخدمت قبل الإعلان عنها. ورصدت Mandiant مجموعات تستهدف عمدًا أجهزة الشبكات الخاصة الافتراضية والموجّهات، لأن هذه الأجهزة نادرًا ما تحمل أدوات كشف على الأجهزة الطرفية.

الفدية والموردون والناس

وجد تقرير Verizon برامج الفدية في 48% من الاختراقات، ووجد طرفًا ثالثًا في نحو نصفها بعد ارتفاع بنسبة 60% في سنة واحدة. واللافت أن 69% من ضحايا الفدية لم يدفعوا، واستمر تراجع المدفوعات. أما Microsoft فوجدت أن 73.3% من محاولات الدخول الأولى اعتمدت على تشغيل المستخدم لشيء ما، أو حسابات صحيحة، أو هندسة اجتماعية، أو تصيّد. وارتفع التصيّد الصوتي عند Mandiant إلى 11% من الاختراقات ليصبح ثاني أكثر طريق للدخول. وفي الشرق الأوسط تحديدًا، كان التصيّد بأنواعه، ومنه المكالمات والرسائل النصية، هو أول طريق للهجوم في دراسة IBM. باختصار، مكالمة مقنعة صارت تفتح أبوابًا أكثر من البرمجيات الخبيثة.

الذكاء الاصطناعي دخل صندوق أدوات المهاجم

قالت CrowdStrike إن نشاط المهاجمين الذين يستخدمون الذكاء الاصطناعي زاد 89% خلال سنة. ورصدت Google لأول مرة في بياناتها برمجيات خبيثة تسأل نموذجًا لغويًا أثناء الهجوم الحي لتولّد أوامرها، ورصدت مجموعة إيرانية مرتبطة بدولة تستخدم نموذج ذكاء اصطناعي لتطوير برمجيات خبيثة خاصة بها. ومع ذلك كانت Mandiant صريحة: 2025 لم تكن السنة التي نتجت فيها الاختراقات مباشرة عن الذكاء الاصطناعي، وأغلب الاختراقات ما زالت تأتي من أخطاء بشرية ومنظومية. وفي تقديرنا أن التحول بدأ لكنه لم يكتمل بعد، وهذا بالضبط ما يجعل 2027 سنة مهمة.

منطقتنا: موجة فدية متصاعدة

وثّقت CloudSEK ارتفاع مصادر استخبارات التهديدات المتعلقة بالفدية في المنطقة من 17 في أبريل 2025 إلى ذروة بلغت 357 في يونيو 2026، أي أكثر من عشرين ضعفًا. وبقيت القرصنة السياسية أكبر فئة من حيث الحجم، لكن ارتفاع الفدية استمر حتى بعد أن تراجع نشاط القرصنة السياسية بحدة في أبريل 2026. ووجدت Positive Technologies أن المملكة جاءت ثانية في المنطقة بنسبة 12% من الهجمات، وأن 44% من الهجمات الناجحة انتهت بتسريب بيانات، وأن الجهات الحكومية كانت الأكثر استهدافًا بنسبة 25% ثم القطاع الصناعي بنسبة 15%.

والتكلفة هنا ليست نظرية. قدّرت IBM متوسط تكلفة الاختراق في المملكة بـ 27 مليون ريال، واحتاجت الجهات السعودية 226 يومًا لاكتشاف الاختراق و59 يومًا إضافية لاحتوائه. وكان القطاع المالي الأعلى تكلفة بمتوسط 38 مليون ريال. وفي المقابل، كانت تكلفة الاختراق أقل بنحو 8.9 مليون ريال لدى الجهات التي تستخدم الذكاء الاصطناعي والأتمتة على نطاق واسع، 23.15 مليون مقابل 32.08 مليون ريال. السرعة صارت بندًا في الميزانية، وكل يوم يبقى فيه المهاجم مختفيًا يزيد الفاتورة.

ما رأته حسّاسات جدر

بين 29 أغسطس و23 أكتوبر 2026 سجّلت حسّاسات جدر وأنظمة Deception داخل المملكة 450,908 طلبات من 22,924 عنوانًا، منها 2,207 مهاجمين من 84 دولة. نصف هؤلاء لم يكونوا في أي من 34 قائمة حظر عامة. ومن بين 220 مهاجمًا مستضافًا داخل المملكة، لم يكن 194 في أي قائمة. وظهر 76% منهم في يوم واحد فقط ثم اختفوا، وكان المهاجم يطلب كلمات المرور والمفاتيح عادةً بعد 0.75 ثانية من وصوله. ولم يطابق أي منهم مجموعة معروفة مرتبطة بدولة، وعدم المطابقة لا يعني الغياب. الصورة التي تخرج بها واضحة: أغلب المهاجمين آليون وانتهازيون، ونصفهم جديد على كل القوائم العامة.

وجرّبنا الدفاع أيضًا. خلال 15 يومًا من التشغيل الحي حسم وكلاء الذكاء الاصطناعي 82% من 6,168 تنبيهًا بدون إنسان، و41% حُسمت بالقواعد وحدها لأن أداة أمنية كانت قد أثبتت الهجوم مسبقًا. وكان الزمن المعتاد من أول طلب للمهاجم إلى حظره 20 دقيقة. وأُلغي لاحقًا 5% من عمليات الحظر، وأغلبها ألغته فحوصات الأمان تلقائيًا. الآلة بقواعد واضحة، ومعها إنسان في الحلقة، استطاعت أن تجاري سرعة المهاجم دون أن تفقد السيطرة.

أفق 2027: خمسة أشياء نتوقعها

نتوقع أولًا أن يتولى الذكاء الاصطناعي خطوات أكثر من الهجوم بنفسه، من المسح إلى كتابة أول استغلال. ولهذا يجب أن تُحظر الهجمات المثبتة خلال ثوانٍ بالقواعد، وأن تذهب الحالات غير الواضحة إلى تحليل آلي سريع، وأن يبقى الإنسان للقرارات التي لا يمكن التراجع عنها.

ونتوقع ثانيًا أن يصبح الاستغلال قبل وجود الإصلاح أمرًا معتادًا، خصوصًا على الشبكات الخاصة الافتراضية والجدران النارية وأجهزة الحافة. الترقيع يبقى ضروريًا، لكنه لم يعد كافيًا وحده. ابدأ بحصر كل نظام مكشوف على الإنترنت، ورقّع أجهزة الحافة أولًا، وراقب من يتحسس أنظمتك حتى ترى الاستغلال الجديد قبل أن يصل إلى نظام حقيقي.

ونتوقع ثالثًا أن يفتح التصيّد الصوتي والجلسات المسروقة واختراق الموردين أبوابًا أكثر من البرمجيات الخبيثة. المهاجم سيبدو كزميلك، وسيأتي من خلال موردك. الحل هنا هو تسجيل دخول متعدد العوامل مقاوم للتصيّد، والتحقق من أي طلب دفع أو صلاحية عبر قناة ثانية، ومراجعة صلاحيات الموردين كل ربع سنة.

ونتوقع رابعًا أن تستمر الفدية ضد جهات الخليج في الارتفاع، مع موجات قرصنة سياسية تتبع أحداث المنطقة. المهاجمون المحليون هم الأقل ظهورًا في القوائم العالمية، ولهذا تحتاج معلومات عن مهاجميك أنت، وتدريبًا فعليًا على التعافي من الفدية، ونسخًا احتياطية مختبرة ومعزولة.

ونتوقع خامسًا أن يصبح التحول إلى التشفير ما بعد الكمّي موضوعًا على طاولة مجالس الإدارة. خطة NIST النهائية المنشورة في أكتوبر 2026 توقف الاعتماد على خوارزميات المفتاح العام الشائعة اليوم بعد 2030، وتمنعها بعد 2035. والبيانات طويلة العمر، مثل الهويات والعقود والسجلات المالية والصحية، معرضة اليوم لما يسمى «اجمع الآن وفُكّ التشفير لاحقًا». البداية هنا بسيطة: اعرف أين تستخدم التشفير، واسأل مورديك عن خططهم.

من أين تبدأ

كل خطوة من هذه الخطوات تبدأ بشيئين: أن تعرف ما تملكه، وأن تعرف من يستهدفه. ولهذا بنينا في جدر خدمة JODR Managed Deception، التي تعطيك قائمة مهاجميك أنت بدون أن تثبّت أي شيء. احجز إحاطة تهديدات مدتها 45 دقيقة، أو ابدأ تجربة مجانية لمدة 30 يومًا.

المصادر: حسّاسات وأنظمة Deception في جدر داخل المملكة العربية السعودية (29 أغسطس إلى 23 أكتوبر 2026)، وبيانات اختبار وكلاء الذكاء الاصطناعي في جدر لمدة 15 يومًا، وهي بيانات جمعتها جدر ولم تُنشر خامًا. تقرير CrowdStrike للتهديدات العالمية 2026 (فبراير 2026)، وهو مبني على تتبع أكثر من 280 مجموعة مهاجمة. تقرير M-Trends 2026 من Mandiant (مارس 2026)، وهو مبني على تحقيقات الاستجابة للحوادث لدى عملائها، ولذلك يميل إلى الحوادث الجسيمة. تقرير Verizon للتحقيق في اختراقات البيانات 2026 (مايو 2026)، ويغطي أكثر من 22,000 اختراق مؤكد، واعتمدنا فيه على ما نقلته GovInfoSecurity وHelp Net Security. تقرير Microsoft للدفاع الرقمي 2026، ويغطي يوليو 2025 إلى يونيو 2026. تتبع Google لاستخدام المهاجمين للذكاء الاصطناعي (نوفمبر 2025). تقرير CloudSEK عن مشهد التهديدات في الشرق الأوسط 2025 إلى 2026، كما نقله موقع Arabian Reseller. تحليل Positive Technologies للتهديدات في الشرق الأوسط من الربع الثاني 2025 إلى الربع الأول 2026. دراسة IBM لتكلفة اختراق البيانات 2026 للمملكة والشرق الأوسط، وأجراها معهد Ponemon على 602 جهة. ووثيقة NIST IR 8547 للانتقال إلى التشفير ما بعد الكمّي في نسختها النهائية المنشورة في 27 أكتوبر 2026، وهي الجدول الرسمي لهيئة المعايير الأمريكية لإيقاف خوارزميات المفتاح العام الحالية.