التاريخ: 14 سبتمبر 2026

التقييم اعتباراً من 14 سبتمبر 2026: تم الإبلاغ علناً في 13 سبتمبر 2026 عن إدراج ابتزاز مرتبط بمجموعة ShinyHunters يذكر شركة Kimberly-Clark، مصحوباً بموعد نهائي محدد في 16 سبتمبر وتهديد بنشر معلومات والتسبب في "مشاكل رقمية" إضافية. وقد أبلغت Dexpose بشكل مستقل عن هذا الإدراج، في حين قامت مصادر أخرى لاستخبارات التهديدات بإعادة نشر هذا الادعاء.

إن وجود ادعاء الجهة الفاعلة بالتهديد أمر موثوق؛ ولكن لم يتم إثبات الاختراق الأساسي بشكل مستقل بعد. لا تظهر أي أدلة متاحة للجمهور جرت مراجعتها لهذا التقييم وجود اختراق ناجح، أو تسريب بيانات، أو تشفير ببرامج الفدية، أو نشر برمجيات خبيثة، أو اختراق لبيئة التصنيع/التكنولوجيا التشغيلية (OT) الخاصة بشركة Kimberly-Clark.

علاوة على ذلك، لم تحدد مراجعة إفصاحات Kimberly-Clark لدى هيئة الأوراق المالية والبورصات (SEC) أي إفصاح عن الأمن السيبراني بموجب النموذج 8-K البند 1.05 اعتباراً من 14 سبتمبر 2026. ولا ينبغي تفسير هذا على أنه دليل على عدم وقوع أي حادث، لأن متطلبات الإفصاح لهيئة الأوراق المالية والبورصات تعتمد على الأهمية المادية وتحديد الشركة لمادية الحادث. وقد تم تقديم آخر نموذج 8-K تم تحديده لعام 2026 لشركة Kimberly-Clark في 4 أغسطس 2026.

وبناءً على ذلك، يصنف هذا التقرير الحادث على أنه ادعاء جهة فاعلة بالتهديد / واقعة ابتزاز مبلغ عنها، بدلاً من كونه خرقاً مؤكداً.

الحكم الاستخباراتي الحالي:

• إدراج الجهة الفاعلة بالتهديد: مرصود / ثقة عالية

• محاولة الابتزاز: محتملة جداً

• الاختراق الناجح: غير مؤكد

• تسريب البيانات: غير مؤكد

• نشر/تشفير برامج الفدية: لم يتم تحديد أي دليل علني

• تعطل تكنولوجيا المعلومات (IT): لم يتم تحديد أي دليل علني

• تأثير التكنولوجيا التشغيلية (OT)/أنظمة التحكم الصناعي (ICS): لم يتم تحديد أي دليل علني

• تعرض بيانات العملاء/الموظفين للخطر: غير مؤكد

• الأهمية المادية: لم تثبت

  

ملخص النتائج

• الحادث: نشرت مجموعة ShinyHunters اسم Kimberly-Clark على بوابة الابتزاز الخاصة بها على الشبكة المظلمة في 13 سبتمبر 2026، وأصدرت "تحذيراً نهائياً" يطالب بالتواصل قبل 16 سبتمبر 2026. وهددت الجهة الفاعلة بالتهديد بنشر بيانات داخلية مسروقة وإلحاق "مشاكل رقمية" إضافية غير محددة.

• حالة التأكيد: اعتباراً من 14 سبتمبر 2026، يصنف هذا الحادث على أنه ادعاء جهة فاعلة بالتهديد. ولم تؤكد شركة Kimberly-Clark، ولا السلطات التنظيمية ذات الصلة (مثل إيداعات النموذج 8-K لدى هيئة الأوراق المالية والبورصات)، ولا وكالات إنفاذ القانون الفيدرالية حدوث خرق، أو تعطل تشغيلي، أو اختراق للنظام.

• طبيعة الهجوم: لا يوجد دليل علني يثبت تشفير بيئات تكنولوجيا المعلومات/التكنولوجيا التشغيلية. واستناداً إلى النشاط التاريخي لمجموعة ShinyHunters، يُقدر هذا الحدث على أنه حملة ابتزاز مدفوعة بالتسريب المزعوم لبيانات مستضافة على السحابة أو مخزنة في برمجيات كخدمة (SaaS).

تأثير التكنولوجيا التشغيلية (OT): لم يتم الإبلاغ علناً عن أي تأثير على التكنولوجيا التشغيلية أو إثباته بشكل مستقل اعتباراً من 14 سبتمبر 2026. ولا تشير أي أدلة إلى حدوث تأثير على مرافق التصنيع التابعة لشركة Kimberly-Clark، أو التكنولوجيا التشغيلية (OT)، أو أنظمة التحكم الصناعي (ICS)، أو عمليات سلاسل التوريد المادية.

إطار تصنيف الأدلة

للالتزام بالمعايير الاستخباراتية الصارمة، يتم تصنيف جميع التأكيدات الواردة في هذا التقرير باستخدام الإطار التالي:

• مؤكد: مدعوم بإفصاحات رسمية من الشركة، أو إيداعات تنظيمية/لدى هيئة الأوراق المالية والبورصات، أو إعلانات إنفاذ القانون، أو أدلة تقنية تم التحقق منها.

• مبلغ عنه: موثق من قبل جهات مراقبة الأمن السيبراني المرموقة أو وسائل الإعلام دون تحقق مباشر من المصدر الأساسي.

• ادعاء جهة فاعلة بالتهديد: البيانات، أو الطوابع الزمنية، أو التهديدات، أو توصيفات البيانات الصادرة حصرياً عن موقع التسريب أو اتصالات المهاجم.

• مُقيّم: تقييمات خبراء استخبارات التهديدات بناءً على الأساليب والتقنيات والإجراءات التاريخية (TTPs) للجهة الفاعلة بالتهديد وأنماط الصناعة المرصودة.

• مجهول / غير مؤكد: تفاصيل بالغة الأهمية حيث يغيب الدليل العلني أو يكون غير كافٍ لتشكيل خط أساس.

الجدول الزمني للحادث وإعادة بنائه

يوضح الجدول الزمني التالي ظهور هذا الحادث عبر تغذيات استخبارات التهديدات وأدوات مراقبة الشبكة المظلمة.

ملاحظة: تشير الثقة إلى الثقة في التقييم، وليس الثقة في ادعاءات الجهة الفاعلة بالتهديد.

تحليل سلسلة الهجوم (تخطيط MITRE ATT&CK)

نظراً لأن Kimberly-Clark لم تنشر تحليلاً تقنياً بعد الحادث، فإن سلسلة الهجوم هذه تقارن بين ادعاءات الجهة الفاعلة بالتهديد والأساليب التاريخية لـ SHINYHUNTERS مقابل أطر التهديدات القياسية.

محدودية تحليلية مهمة: لا يمثل تخطيط ATT&CK التالي نشاط هجوم مرصود ضد Kimberly-Clark. بل يمثل تقنيات محتملة مرتبطة بنشاط ShinyHunters التاريخي، وبالتالي يجب معاملته كمجموعة فرضيات بدلاً من إعادة بناء للحادث.

• الوصول الأولي [TA0001] — مستنتج / مُقيّم: غالباً ما تستغل ShinyHunters بيانات الاعتماد الإدارية المخترقة لـ SaaS، أو رموز واجهة برمجة التطبيقات (API) المسروقة، أو حملات جمع بيانات الاعتماد، أو التصيد الاحتيالي للموافقة على تطبيقات OAuth (على سبيل المثال، استهداف Snowflake أو Salesforce أو قواعد البيانات السحابية) بدلاً من أدوات اختراق شبكة المحيط.

• الوصول إلى بيانات الاعتماد [TA0006] — مستنتج: الحصاد الجماعي لحسابات الشركات عبر سجلات سرقة المعلومات (مثل RedLine وVidar) التي تم الحصول عليها من منتديات الشبكة المظلمة باللغة الروسية.

• الاستكشاف [TA0007] — مستنتج: تعداد مؤتمت للحاويات السحابية (AWS S3، وAzure Blob، ومثيلات Snowflake) أو مستودعات SharePoint/OneDrive الداخلية.

• تسريب البيانات [TA0010] — مستنتج: نقل البيانات الضخمة المحتمل عبر واجهات برمجة تطبيقات سحابية مشروعة، أو أدوات المزامنة، أو الأدوات الإدارية، أو البرامج النصية المخصصة.

·       التهرب من الدفاع [TA0005] — تاريخي / مُقيّم: الاستخدام المحتمل لجلسات صالحة، أو بيانات اعتماد مسروقة، أو رموز جلسة للتهرب من ضوابط المصادقة.

• الابتزاز [DS1020] — مرصود (ادعاء جهة فاعلة بالتهديد): نشر اسم الضحية على مدونة ابتزاز موجهة عبر بروتوكول Onion، مصحوباً بمواعيد نهائية للابتزاز وتهديد بهجمات ثانوية مستهدفة ("مشاكل رقمية").

ملف الجهة الفاعلة بالتهديد: ShinyHunters

إن فهم التاريخ التشغيلي لمجموعة ShinyHunters أمر بالغ الأهمية لتقييم صحة هذا الادعاء.

• الهوية والأصول: نشطة منذ مايو 2020 على الأقل، وتعد ShinyHunters هوية لجرائم سيبرانية مرتبطة بأنشطة كبرى لسرقة البيانات والابتزاز منذ عام 2020. وقد ربط الباحثون الأفراد الذين يعملون تحت اسم ShinyHunters بأنظمة جرائم سيبرانية أوسع نطاقاً، على الرغم من أنه لا ينبغي معاملة الهيكل التنظيمي الدقيق والعلاقات بين ShinyHunters والمجموعات الأخرى كنسب محدد بشكل نهائي.

• نموذج العمل الأساسي: الابتزاز عبر سرقة البيانات دون تشفير. وعلى عكس مجموعات برامج الفدية التقليدية (مثل LockBit وBlackCat) التي تنشر أدوات التشفير لشل الأنظمة المحلية، ارتبطت ShinyHunters بسرقة البيانات، والابتزاز، واستغلال البيئات السحابية وبيئات البرمجيات كخدمة (SaaS)؛ ومع ذلك، لا ينبغي معاملة نشاطها التاريخي كدليل على مسار الاختراق المستخدم في هذا الحادث.

الأساليب المميزة:

• اختيار الأهداف: العلامات التجارية الكبرى للمستهلكين، وقطاع الاتصالات، والمؤسسات المالية، ومجمعي البيانات السحابية.

• استغلال أنظمة البرمجيات كخدمة (SaaS) التابعة لجهات خارجية ومستودعات البيانات السحابية.

• حملات ضغط علنية عالية الرؤية باستخدام مدونات التسريب، وقنوات التواصل الاجتماعي، وإبلاغ وسائل الإعلام.

• التقييم فيما يتعلق بشركة Kimberly-Clark: يتوافق استهداف شركة تصنيع متعددة الجنسيات كبرى بشكل عام مع الاهتمام التاريخي لمجموعة ShinyHunters بالمؤسسات ذات القيمة العالية حيث يمكن أن يوفر الاختراق إمكانية الوصول إلى كميات هائلة من بيانات الشركات أو البيانات الشخصية. ومع ذلك، فإن هذا التوافق لا يقدم دليلاً على اختراق Kimberly-Clark بنجاح.

تقييم الأثر

تقييم تعرض البيانات للخطر

اعتباراً من 14 سبتمبر 2026، تظل الطبيعة المحددة للبيانات التي يُزعم تسريبها وحجمها وصحتها غير مؤكدة.

• الفئات المدعاة: لا توفر اتصالات الجهة الفاعلة بالتهديد المتاحة تفاصيل كافية لإثبات نوع البيانات التي يُزعم الحصول عليها بشكل مستقل.

• الحجم / شجيرات الملفات: لم يتم تحديد أي مجموعة بيانات، أو شجرة ملفات، أو سجل عينة، أو مستخرج قاعدة بيانات تم التحقق منه بشكل مستقل في المصادر التي تمت مراجعتها.

• إثبات مستقل: لم تقم منصة Ransomware.live، ولا باحثو الأمن، ولا المنصات الإعلامية بمراجعة سجلات عينات تم التحقق منها.

• الخلاصة: يجب معاملة الادعاء كوضعية ابتزاز غير مدعومة بأدلة حتى يتم تقديم دليل على التسريب أو الاعتراف به من قبل Kimberly-Clark.

استجابة Kimberly-Clark وتحليل فجوات الدفاع

إجراءات الاستجابة المرصودة

1. الإفصاحات العلنية: التزمت Kimberly-Clark بالصمت العلني. وبموجب لوائح هيئة الأوراق المالية والبورصات (البند 1.05 من النموذج 8-K)، تلتزم الشركات العامة بالإفصاح عن الحوادث السيبرانية في غضون أربعة أيام عمل فقط إذا تم تحديد أنها مادية. ويشير عدم وجود إيداع للنموذج 8-K بقوة إلى أحد الأمرين:

   • الحادث لم يقع / هو ادعاء كاذب.

   • تم احتواء الحادث دون تأثير مالي أو تشغيلي مادي.

   • تقييم الأهمية المادية لا يزال مستمراً.

2. استمرارية العمليات: لم تحدد أي تقارير علنية تمت مراجعتها عدم توفر واسع النطاق للخدمة أو تعطل تشغيلي مرتبط بالادعاء.

حالة الإفصاح لهيئة الأوراق المالية والبورصات: لم تحدد مراجعة إفصاحات Kimberly-Clark لدى هيئة الأوراق المالية والبورصات أي إفصاح بموجب البند 1.05 من النموذج 8-K يتعلق بهذا الحادث اعتباراً من 14 سبتمبر 2026. ولا ينبغي تفسير هذا الغياب كدليل على عدم وقوع أي اختراق. وتعتمد التزامات الإفصاح لهيئة الأوراق المالية والبورصات على ما إذا كان حادث الأمن السيبراني قد تم تحديده على أنه مادي، وبالتالي قد يكون غياب الإيداع متوافقاً مع ادعاء غير مؤكد، أو حادث غير مادي، أو تقييم مستمر للأهمية المادية، أو سيناريو آخر لم يتم الإفصاح عنه علناً.

تحليل الفجوات

• ادعاء المهاجم: يهدد بالتسريب و"مشاكل رقمية مزعجة" بحلول 16 سبتمبر 2026.

• موقف الشركة: غير مؤكد / لا يوجد بيان.

• الاختلاف: مرتفع. يشير إلى أن Kimberly-Clark إما تجري تحقيقات جنائية رقمية داخلية بشكل خاص دون التعامل مع المبتز، أو أن الجهة الفاعلة بالتهديد تستغل إدراجاً كاذباً/ثانوياً للشهرة.

دروس دفاعية عملية للمدافعين عن المؤسسات

يجب على المؤسسات التي تحلل هذا الحادث التركيز على منع ناقلات التهديد التي استغلتها تاريخياً الجهات الفاعلة التي تركز على السحابة مثل ShinyHunters:

توصي Shieldworkz أيضاً بضوابط مركزة لأمن الجلسات/الرموز المميزة، لأن المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي لا تحل تلقائياً مشكلة سرقة ملفات تعريف ارتباط الجلسة أو الرموز المميزة.

تسجيل تدقيق البرمجيات كخدمة (SaaS)

• موافقة OAuth

• تسجيلات التطبيقات الجديدة

• السفر المستحيل

• التنزيلات الشاذة

• استدعاءات غير عادية لواجهة برمجة التطبيقات (API)

• تغييرات الأدوار الإدارية

• الوصول الجماعي للملفات

• نشاط غير عادي لمزود الهوية (IdP)/الجلسة

بالنسبة للتكنولوجيا التشغيلية (OT)، حافظ على تجزئة تكنولوجيا المعلومات/التكنولوجيا التشغيلية ومراقبة الهوية أو المسارات الناشئة من السحابة والتي يمكن أن توفر وصولاً غير مباشر إلى بيئات الهندسة أو التصنيع.

خطوات المعالجة التقنية المباشرة

• تقوية الهوية والبرمجيات كخدمة (SaaS):

  • فرض مصادقة متعددة العوامل مقاومة للتصيد الاحتيالي (FIDO2/مفاتيح الأمان) عبر جميع منصات تسجيل الدخول الموحد (SSO)، والشبكات الافتراضية الخاصة (VPN)، ومنصات البرمجيات كخدمة (SaaS). إن سرقة رمز الجلسة تجعل إشعارات الدفع القياسية لـ TOTP غير فعالة.

  • إلغاء أذونات OAuth غير النشطة وتكاملات الجهات الخارجية عبر بيئات Google Workspace / Microsoft 365 التابعة للشركة.

• حواجز حماية التخزين السحابي ومنع فقدان البيانات (DLP):

  • تنفيذ تنبيهات تسريب البيانات الشاذة لعمليات نقل الملفات بكميات كبيرة من مثيلات AWS S3، أو Azure Blob، أو Snowflake.

  • تقييد تصدير استعلامات قاعدة البيانات بناءً على القائمة البيضاء لعناوين IP وخطوط الأساس لأدوار المستخدمين.

• تكامل استخبارات برامج سرقة المعلومات:

  • استيعاب سجلات برامج سرقة المعلومات من الشبكة المظلمة باستمرار. فرض إعادة تعيين فوري لرموز المرور وإنهاء الجلسات كلما ظهرت ملفات تعريف ارتباط لجلسات الموظفين النشطة أو بيانات اعتمادهم على منتديات الجرائم السيبرانية.

• دليل إجراءات الابتزاز والعلاقات العامة:

  • إعداد بروتوكولات استخبارات التهديدات خصيصاً لإدراجات مواقع التسريب على الشبكة المظلمة. وضع معايير واضحة للحالات التي يستدعي فيها ذكر موقع التسريب إفصاحاً لهيئة الأوراق المالية والبورصات مقابل التحقق الجنائي الرقمي الهادئ.

النتائج الرئيسية وملخص الاستخبارات

مصفوفة النتائج الاستراتيجية

ملاحظة: لم يتم إثبات حدوث اختراق ناجح أو تسريب بيانات بشكل مستقل.

تصنيف المعرفة المفصلة

• ما نعرفه: في 13 سبتمبر 2026، نشرت ShinyHunters اسم Kimberly-Clark على بوابة التسريب الخاصة بها مع موعد نهائي هو 16 سبتمبر 2026. ولم يتم الإبلاغ عن أي نشاط لحمولة برامج فدية/تشفير.

• ما نقدره كأمر معقول: في حال حدوث اختراق حقيقي، تمثل البيئات السحابية/البرمجيات كخدمة (SaaS) سطح هجوم محتمل بناءً على النشاط التاريخي لـ ShinyHunters. ومع ذلك، لا توجد حالياً أدلة كافية لتحديد ناقل الوصول الأولي لشركة Kimberly-Clark أو البنية التحتية المتأثرة.

• ما تم ادعاؤه ولكن لم يثبت: أن ShinyHunters تمتلك بيانات داخلية حساسة تخص Kimberly-Clark أو أن الأنظمة ستواجه اضطرابات تشغيلية ("مشاكل رقمية") إذا لم تتم تلبية المطالب.

• ما يزال مجهولاً: نقطة الدخول، والأنظمة المحددة المستهدفة، وهوية الأصول السحابية المتأثرة (إن وجدت)، وما إذا كان قد تم تسريب بيانات فعلية للشركة.

• أهم الدروس للمدافعين: نادراً ما يعتمد ابتزاز المؤسسات الحديث على تشفير نقاط النهاية التشغيلية. يجب على قادة الأمن إعطاء الأولوية لحماية الهوية، ورؤية السحابة/SaaS، وحماية ملفات تعريف ارتباط الجلسة، والتحقق السريع من ادعاءات الجهات الفاعلة بالتهديد قبل الإدلاء بإفصاحات علنية.

توضح حالة Kimberly-Clark التحدي التحليلي الذي تفرضه ادعاءات ابتزاز البيانات الحديثة: يمكن لإدراج موقع تسريب علني أن يثبت أن جهة فاعلة تقدم ادعاءً، ولكنه لا يثبت بحد ذاته نجاح الاختراق، أو سرقة البيانات، أو التأثير التشغيلي. لذلك، يجب على المدافعين إعطاء الأولوية للتحقق السريع من الهوية، والوصول إلى السحابة/SaaS، وحركة البيانات، وتعرض تكنولوجيا المعلومات/التكنولوجيا التشغيلية النهائي للخطر قبل معاملة ادعاء الابتزاز كخرق مؤكد.

سجل المصادر 

القراءة الموصى بها

تقرير حول الهجوم السيبراني على جاكوار لاند روفر
أدلة الامتثال لتوجيه NIS2