غالباً ما تعامل مشغلو البنية التحتية الحيوية مع الأنشطة السيبرانية الجيوسياسية باعتبارها مصدر قلق للحكومات وليس لمشغلي المحطات. ولكن هذا التمييز قد تلاشى الآن. وتؤكد العقوبات الأخيرة التي فرضها المجلس الأوروبي على الجهات الفاعلة الرئيسية في المنظومة السيبرانية لروسيا واقعاً أوسع نطاقاً: وهو أن المؤسسات الصناعية أصبحت الآن أهدافاً مركزية في المنافسة الجيوسياسية الحديثة.

ومع مواجهة القوات الروسية لانتكاسات متزايدة في ساحة المعركة في أوكرانيا، قد تسعى وكالات الاستخبارات في موسكو بشكل متزايد إلى الانتقام من خلال الفضاء السيبراني.

وبالنسبة لمشغلي التكنولوجيا التشغيلية (OT) وأنظمة التحكم الصناعي (ICS) في قطاعات البنية التحتية الحيوية والأساسية بما في ذلك الطاقة، والمياه، والنفط والغاز، والتصنيع، والنقل، والرعاية الصحية، والدفاع، فإن هذا التطور يتطلب تحولاً فورياً في نمذجة التهديدات.

يستعرض هذا التقرير الاستخباراتي من Shieldworkz بنية الكيانات الخاضعة للعقوبات، والتحول الاستراتيجي نحو تفكيك البنية التحتية التي تمكن من حدوث التهديدات، والخطوات التكتيكية التي يجب على قادة الأمن السيبراني الصناعي تنفيذها لحماية العمليات المادية والفيزيائية من جميع أشكال التدهور التي ترعاها الدول.

السياق الاستراتيجي وتطور آلية العقوبات السيبرانية

إن تصعيد الاستجابة الدبلوماسية والاقتصادية للاتحاد الأوروبي يمثل تحولاً جوهرياً في كيفية دفاع التحالفات الغربية عن الفضاء السيبراني. ففي العقد الماضي، نضجت العقيدة السيبرانية الهجومية لروسيا من عمليات تجسس متميزة ومعزولة إلى مكون متكامل ومستمر للحرب الهجينة غير المتكافئة، والتي غالباً ما تشمل دولاً وجهات فاعلة خارجية غير مرتبطة بها.

نموذج التقارب

تاريخياً، كانت شبكات الاستخبارات الحكومية مثل المديرية الرئيسية لهيئة الأركان العامة (GRU) وجهاز الأمن الفيدرالي (FSB) تعمل بحدود وأهداف تكتيكية واضحة. ولكن هذه الحدود لم تعد موجودة الآن. وقد أشار الاتحاد الأوروبي صراحة إلى هذه الظاهرة، مشيراً إلى تقارب الكيانات المدعومة من الدولة، وشبكات الجرائم السيبرانية، ومخترقي الأنظمة "الوطنيين"، والشركات الواجهة الخاصة.

ومن خلال الاعتماد على شركات التكنولوجيا الخاصة لبناء الأدوات، وشراء سبل الوصول من وسطاء الوصول الأوليين، والاستفادة من المجموعات الواجهة من المخترقين المتطوعين أو الوكلاء، خلقت الدولة الروسية طبقات اصطناعية من الإنكار مع تنفيذ عمليات عالية العواقب في الوقت نفسه.

لماذا لجأت الحكومات إلى العقوبات

إن ضوابط الأمن الدفاعي التقليدية (جدران الحماية، والترقيع، وتقسيم الشبكات) تعالج فقط آثار النشاط الخبيث وليس مصدره. وقد أخطأ الإدانة الدبلوماسية البحتة الهدف تماماً في ردع العمليات السيبرانية الروسية العدوانية. وبناءً على ذلك، يقوم الاتحاد الأوروبي بنشر "مجموعة أدوات الدبلوماسية السيبرانية" وإطار العقوبات المعمول به بموجب قرارات المجلس لفرض احتكاك اقتصادي ملموس ومباشر على منظومة التهديد.

ومن خلال فرض عمليات تجميد صارمة للأصول، وحظر السفر، وتجريم تقديم الأموال أو الموارد لهذه الجهات الفاعلة، تهدف هذه العقوبات إلى تحقيق أهداف محددة:

• إضعاف الممكنات: يؤدي قطع العلاقات المالية إلى إضعاف قدرة الجهة المهددة على استئجار خوادم القيادة والتحكم (C2) الدولية، أو شراء ثغرات اليوم الصفر (zero-day)، أو تأمين الأجهزة المتخصصة بشكل قانوني.

• عزل المواهب التقنية: إن إجبار المطورين والمسؤولين التقنيين في القطاع الخاص على الخروج من سوق التكنولوجيا العالمي يحد من قدراتهم التشغيلية داخل الحدود التي تحميها الدولة.

• إشارة إلى الدفاع الجماعي: يقدم إنفاذ العقوبات المنسق بين الاتحاد الأوروبي والمملكة المتحدة جبهة استخباراتية وتكتيكية موحدة، مما يعقد البيئات التشغيلية للمجموعات الوكيلة.

ستجعل هذه التدابير من الصعب على الجهات الروسية المهددة حشد الموارد وقد تسهم أيضاً في كشف بعض الأفراد المرتبطين بالعمليات السيبرانية الروسية.

تحليل عميق للمنظومة الخاضعة للعقوبات

لتنفيذ استراتيجيات دفاعية فعالة، يجب على فرق الأمن فهم الأدوار الدقيقة التي تؤديها الأطراف المستهدفة بحزمة عقوبات 13 يوليو 2026. وقد استهدف الاتحاد الأوروبي أربع طبقات متميزة من البنية التحتية الهجومية:

ممكنو البنية التحتية: شركة Media Land LLC و ML.Cloud

فرض المجلس عقوبات على مزود خدمات الاستضافة المضاد للشكاوى (bulletproof) شركة Media Land LLC، ومالكها ألكسندر فولوسوفيك، والكيان الشقيق لها ML.Cloud.

• الدور التشغيلي: كانت هذه الشركات بمثابة البنية التحتية الأساسية للاستضافة لعمليات البرمجيات الخبيثة الموزعة عالمياً، وحملات برامج الفدية واسعة النطاق، وشبكات التصيد الاحتيالي المتطورة التي تستهدف البنية التحتية الحيوية.

• الأهمية: يتجاهل المضيفون المضادون للشكاوى عمداً شكاوى الانتهاكات واستفسارات إنفاذ القانون. ومن خلال توفير وقت تشغيل موثوق لخوادم القيادة والتحكم، وبوابات جمع بيانات الاعتماد، ومستودعات تسريب البيانات، عملت هذه الشركات كعمود فقري لوجستي للاختراقات الشبكية متعددة المراحل.

الشركة الواجهة للدولة: LLC Impuls

تم إدراج شركة LLC Impuls ومالكها، إيفجيني فيكتوروفيتش باشيف، ضمن قائمة العقوبات لعلاقتهم المباشرة بالاستخبارات العسكرية الروسية.

• الدور التشغيلي: باشيف هو عضو نشط في وحدة GRU رقم 29155، وهي وحدة سيئة السمعة مرتبطة بالإجراءات التخريبية السرية، وعمليات التخريب المادي في جميع أنحاء أوروبا، والعمليات السيبرانية المزعجة. وكانت شركة LLC Impuls بمثابة واجهة تجارية تقدم دعماً فنياً ومادياً متخصصاً لتمكين الهجمات السيبرانية للوحدة 29155 ضد الدول الأعضاء في الاتحاد الأوروبي والدول الشريكة.

• الأهمية: يؤكد هذا على اتجاه حاسم: تعتمد وكالات الاستخبارات الحكومية على أدوات مطورة خصيصاً وواجهات بنية تحتية تجارية لإخفاء هوية الدولة خلال المراحل الأولى من حملة الاختراق.

الوكلاء من مخترقي الأنظمة (الهكتفيست): Z-Pentest و CARR

تستهدف العقوبات مجموعة مخترقي الأنظمة الموالية لروسيا Z-Pentest، وقائدتها يوليا فلاديميروفنا بانكراتوفا، والمخترق الرئيسي دينيس أوليغوفيتش ديغتيارينكو. ويعد هذان الشخصان من الشخصيات الرئيسية داخل الجيش السيبراني لروسيا الجديدة (CARR)، وهي مجموعة وكيلة نشطة مرتبطة عملياتياً بالمديرية الرئيسية لهيئة الأركان العامة الروسية (GRU).

• الدور التشغيلي: تتخصص مجموعتا Z-Pentest و CARR في استهداف البنية التحتية الحيوية المادية، وتحديداً قطاعات الطاقة والمرافق والمياه. وسلط المجلس الضوء على حادثة بارزة: الهجوم السيبراني الناجح لمجموعة Z-Pentest ضد مرفق مياه دنماركي في ديسمبر 2024.

• الأهمية: بالابتعاد عن عمليات الهجمات البسيطة لحجب الخدمة الموزعة (DDoS)، أظهر هؤلاء الوكلاء بشكل متزايد النية والقدرة على التلاعب ببرامج التحكم التشغيلي، مما يعرض السلامة العامة واستمرارية الخدمات للخطر.

مهندسو البرمجيات الخبيثة: مطورو سارقي المعلومات وبرامج الفدية

كما فرض الاتحاد الأوروبي عقوبات على مطورين رئيسيين مشاركين في إنشاء سلاسل برمجيات تخريبية للغاية:

• مطوروا LummaC2: تم تصنيف شخصين خاضعين للعقوبات لتطوير وتوزيع وبيع برنامج سرقة المعلومات LummaC2. وتعد برامج سرقة المعلومات أداة رئيسية لجمع بيانات اعتماد الشركات، وملفات تعريف شبكات VPN، ورموز الجلسات التي يستغلها وسطاء الوصول الأولي لاحقاً لتحقيق مكاسب مالية.

• مهندسو Trickbot و Conti: تم ربط شخص آخر خاضع للعقوبات بالتطوير الأساسي لتروجان/شبكة بوتات Trickbot المصرفية وسلالة برامج الفدية Conti. وقد مهدت عائلات البرمجيات الخبيثة هذه الطريق لابتزاز شبكات الشركات الحديثة، وغالباً ما أعيد استخدامها من قبل جهات حكومية في حملات تخريبية ذات دوافع سياسية متنكرة في شكل جرائم سيبرانية مالية.

القطاعات المعرضة للخطر: التأثير على البنية التحتية الحيوية

يقدم تكوين حزمة العقوبات هذه خريطة واضحة للمتجهات التي تستخدمها الجهات المهددة لتهديد البيئات الصناعية. ويجب على القطاعات الصناعية التي تشغل أنظمة التكنولوجيا التشغيلية (OT) تحليل هذه المخاطر عبر الملفات التشغيلية التالية:

منظور التكنولوجيا التشغيلية (OT): لماذا يعد التهديد متميزاً ووشيكاً

بالنسبة لمالك الأصول، فإن الهجوم على منشأة صناعية يختلف جوهرياً عن خرق بيانات تقنية المعلومات القياسي للشركات. وتساعد معرفة هذه الاختلافات الجوهرية في تفسير سبب تحويل الكيانات المدعومة من الدول تركيزها إلى العمليات المادية.

أهداف هجمات تقنية المعلومات مقابل التكنولوجيا التشغيلية

في بيئات تقنية المعلومات الخاصة بالشركات، تستهدف الجهات الخبيثة عموماً البيانات: الملكية الفكرية، أو السجلات المالية، أو معلومات الهوية الشخصية (PII). وتتمثل الأهداف الأساسية في السرقة، أو تحقيق مكاسب مالية، أو التعطيل الإداري.

أما في التكنولوجيا التشغيلية (OT)، فإن الهدف هو العملية المادية نفسها. ويهدف المهاجمون إلى التلاعب بالقوانين الفيزيائية والمادية مثل درجة الحرارة، والضغط، والتدفق الكهربائي، والمزيج الكيميائي، والحركة الميكانيكية. والهدف هو إحداث حالة من عدم التوازن المادي، مما يؤدي إلى:

• الخروج عن المسار التشغيلي: فرض إيقاف تشغيل طارئ وغير آمن على الفور، مما يتسبب في تكبد ملايين الدولارات من تكاليف الاسترداد.

• تدمير الأصول: زيادة سرعة دوران التوربينات، أو حرق المضخات، أو زيادة الضغط في الأوعية للتسبب في تلف دائم للمعدات يتطلب وقتاً طويلاً للإصلاح والاستبدال.

• الإضرار بالجمهور: تغيير الجرعات الكيميائية في منشآت معالجة المياه أو قطع شبكات الطاقة لزعزعة الاستقرار المدني.

متجهات التسليم التكتيكية في المشهد الحديث

تظهر ملفات التهديد التي سلطت عقوبات الاتحاد الأوروبي الضوء عليها أن الخصوم نادراً ما يستهدفون أجهزة التكنولوجيا التشغيلية فجأة وبدون مقدمات. وبدلاً من ذلك، يستفيدون من سلسلة تسليم منسقة للغاية ومتعددة المراحل.

برمجيات سرقة المعلومات ووسطاء الوصول الأولي