تقرير
FulcrumSec
ملف استخباراتي شامل حول الجهات الفاعلة في التهديدات
لا حاجة إلى التسجيل!
FulcrumSec: الفاعل المهدد الذي يقف وراء ادعاء خرق مجموعة مطارات مانشستر
أعلنت مجموعة FulcrumSec مسؤوليتها عن عملية اختراق لابتزاز البيانات استهدفت مجموعة مطارات مانشستر (Manchester Airports Group)، وهو ادعاء يمثل -في حال صحته- أول حالة موثقة لوصول هذه الجهة الفاعلة إلى البنية التحتية الحيوية لقطاع النقل. يقدم هذا الملف لقادة الأمن السيبراني ملف تعريفٍ مدعومًا بمصادر دقيقة ومرفقًا بالأدلة حول هذه المجموعة: كيف تخترق الأنظمة، وماذا تفعل بمجرد الدخول، وماذا يعني ذلك للمؤسسات التي تدير خدمات رقمية موجهة للعملاء بالتوازي مع التكنولوجيا التشغيلية (OT) أو بالقرب منها.
من هي FulcrumSec، ولماذا تم إعداد هذا التقرير
FulcrumSec هي مجموعة لسرقة البيانات والابتزاز مدفوعة بدوافع مالية، وتتم تتبعها علناً من قبل العديد من جهات توفير معلومات التهديدات المستقلة منذ ظهورها لأول مرة في التقارير الإخبارية في الفترة ما بين سبتمبر وأكتوبر 2025. لا تقوم المجموعة بنشر برمجيات فدية، ولا تقوم بتشفير الأنظمة. إن نموذج عملها أكثر بساطة، وفي العديد من البيئات، يصعب كشفه: سرقة البيانات باستخدام أدوات السحاب وSaaS المشروعة، ثم ابتزاز الضحية.
هذا النموذج مهم لأن معظم المؤسسات قضت السنوات القليلة الماضية في تحصين دفاعاتها ضد برمجيات الفدية القائمة على التشفير، وضبط أنظمة الكشف والاستجابة للمقاطع الطرفية (EDR) لرصد سلوكيات التشفير، والاستثمار في مرونة النسخ الاحتياطي، وبناء خطط عمل حول رسائل الفدية وأنظمة الملفات المقفلة. إن أسلوب FulcrumSec يتجاوز كل ذلك. لا يوجد ملف ثنائي لاكتشافه، ولا توجد رسالة لتفعيل جسر الاستجابة للحوادث. تكمن العلامة الكاشفة في استخدام غير مصرح به وبهدوء لبيانات الاعتماد، أو إطار عمل غير مرقع، أو حاوية تخزين مفتوحة.
تم إعداد هذا الملف لسد هذه الفجوة. وهو يطبق معياراً صارماً للأدلة مكوناً من أربعة مستويات: حقيقة (FACT)، وتقييم (ASSESSMENT)، وادعاء (CLAIM)، وغير معروف (UNKNOWN) ، على كل تصريح، بحيث يمكن لقادة الأمن والمخاطر إطلاع مجالس إداراتهم والجهات التنظيمية بصورة دقيقة عما تم تأكيده، وما تم ادعاؤه، وما يزال غير محسوم فعلياً.
لماذا يكتسب هذا التقرير أهمية بالغة في الوقت الحالي
هناك ثلاثة تطورات تجعل من هذه القراءة أمراً بالغ الأهمية وفي الوقت المناسب لقادة الأمن والمخاطر:
تم الكشف عن اسم إحدى الجهات المشغلة للبنية التحتية الحيوية. حيث أعلنت شركة FulcrumSec عن اختراق مجموعة مطارات مانشستر (Manchester Airports Group)، وصرحت لموقع BleepingComputer بأنها قامت بتسريب حوالي 86 جيجابايت من بيانات العملاء عبر بيانات اعتماد واجهة برمجة التطبيقات (API) المكشوفة في جافا سكريبت من جانب العميل. وقد أكدت المجموعة حدوث اختراق أثر على ما يقدر بنحو 8.7 مليون عميل، لكنها لم تؤكد هوية المهاجم أو التفاصيل التقنية للحساب.
نمط الوصول ليس غريبًا، بل هو أمر شائع. كل عملية اختراق موثقة لشركة FulcrumSec تعود إلى واحد من ثلاثة "أبواب": بيانات اعتماد مكشوفة أو مشفرة يدويًا، أو ثغرة أمنية معروفة واحدة (تم إصلاحها) من نوع CVE، أو تخزين سحابي تم تكوينه بشكل خاطئ. لا تتطلب أي من هذه الطرق أساليب اختراق مبتكرة. وتعتبر هذه الأمور الثلاثة من الأشياء التي تمتلك معظم فرق الأمن بالفعل الأدوات اللازمة للعثور عليها.
تتوسع المجموعة وتنمو بشكل متسارع. تُظهر تقارير الموردين أن شركة FulcrumSec نمت من ضحية واحدة مؤكدة في ديسمبر 2025 إلى حوالي 25 ضحية مزعومة في 11 دولة بحلول منتصف عام 2026، مع محاولة ابتزاز بارزة بقيمة 25 مليون دولار ضد شركة Novo Nordisk خلال مسيرتها. إن وتيرة العمليات حقيقية وملموسة، حتى في الحالات التي تتطلب فيها الادعاءات الفردية تدقيقاً وفحصاً دقيقاً.
بالنسبة لمدراء أمن المعلومات (CISOs) في المؤسسات التي تمتلك بيانات عملاء مستضافة على السحابة، أو تكاملات مع برمجيات الخدمة (SaaS)/التسويق التابعة لجهات خارجية، أو تطبيقات ويب موجهة للجمهور، فإن هذا يمثل تهديداً نشطاً وحقيقياً في الوقت الحالي، وليس مجرد تهديد افتراضي.
ما الذي يجعل هذا الملف يستحق التنزيل
إن معظم تقارير الجهات الفاعلة في مجال التهديد على FulcrumSec هي مجرد شذرات متفرقة، فمنها مدونة لمورد هنا، وإشعار بخرق البيانات هناك. يدمج هذا الملف تلك التقارير ويقاطع مراجعها في مرجع هيكلي واحد وموحد، كما يضيف تحليلاً لن تجده في أي مصدر منفرد:
دراسة حالة مخصصة حول حادثة مجموعة مطارات مانشستر، بما في ذلك جدول الادعاءات/الأدلة/المصادر/
وجدول الثقة وتقييم رسمي للثقة في الإسناد (مصنف بدرجة متوسطة، وليس كحقيقة).
مخطط مطابقة لـ MITRE ATT&CK تم بناؤه فقط بناءً على تقنيات مثبتة بأدلة مباشرة، دون تطبيق أي افتراضات افتراضية عامة للجهات الفاعلة ببرامج الفدية.
تحليل تفصيلي لكامل دورة حياة الهجوم، مع تحديد المراحل التي لا تدعمها أي أدلة على الإطلاق بشكل صريح (مثل التحرك الجانبي الكلاسيكي داخل الشبكة الداخلية)، حتى لا يستثمر فريقك بشكل مفرط في عمليات الكشف الخاطئة.
دليل سيناريوهات صيد التهديدات يحتوي على أربع فرضيات قائمة على الأدلة ومنطق استعلام توضيحي لكل من Splunk و Microsoft Sentinel و Elastic.
مصفوفة كشف مرتبة حسب الأولوية بناءً على مدى دقة ارتباط كل سلوك بشكل مباشر بنشاط شركة FulcrumSec المؤكد أو المزعوم.
تقييم مدى صلة تقنيات التشغيل وأنظمة التحكم الصناعي (OT/ICS) الذي يفصل بين ما هو موثق بالفعل وما هو معقول من الناحية التحليلية ولكنه غير مرصود، وهو تمييز تتجاهله معظم محتويات الموردين.
قائمة إجراءات مدير أمن المعلومات (CISO) منظمة عبر فترات زمنية تشمل إجراءات فورية (من 0 إلى 7 أيام)، وقصيرة الأجل، ومتوسطة الأجل، واستراتيجية.
والنتيجة هي تقرير يمكنك تسليمه إلى مركز عمليات الأمن (SOC) للبحث عن التهديدات، وإلى مجلس إدارتك لتقديم الإيجازات، وإلى فريق مخاطر الطرف الثالث لمراجعة الموردين، دون الحاجة إلى ترجمة.
النتائج الرئيسية من الملف
تعتمد شركة FulcrumSec نموذج "السرقة والابتزاز": سرقة البيانات، والتفاوض المباشر على الفدية، وفي حال عدم الدفع، يتم النشر على موقع تسريبات عام أو البيع الخاص. لم يتم توثيق أي تشفير أو حمولة تدميرية في أي حالة تمت مراجعتها.
تتمثل ناقلات الوصول الأولي الرئيسية للمجموعة في بيانات الاعتماد المكشوفة أو المضمنة برمجياً، ومفاتيح واجهة برمجة التطبيقات (API keys)، والرموز التعريفية (Tokens) التي يتم العثور عليها في لغة جافا سكريبت من جانب العميل، والمستودعات العامة، ومخرجات التطوير والنشر المستمر (CI/CD artifacts). ويتكرر هذا النمط في كل حالة تم توثيقها بشكل جيد، بما في ذلك عملية اختراق مجموعة MAG المزعومة.
إن ثغرة CVE الوحيدة المنسوبة إليها بشكل علني وموثوق هي CVE-2025-55182 ("React2Shell")، وهي ثغرة معروفة ومصححة وليست ثغرة يوم الصفر (zero-day). ووفقاً للتقارير، فإنها ظلت دون تصحيح في بيئة ضحية واحدة على الأقل لأكثر من شهرين بعد الكشف العلني عن استغلالها النشط.
إن "الحركة الجانبية" (lateral movement) لدى FulcrumSec تشير إلى الانتقال من اعتماد إلى آخر (credential-to-credential) عبر منصات السحاب والبرمجيات كخدمة (SaaS)، وليست الحركة التقليدية داخل الشبكة الداخلية. ولا توجد أي أدلة تدعم تقنيات Windows/AD الكلاسيكية والحركة الجانبية القائمة على الشبكة.
تتواصل المجموعة بشكل استباقي مع الباحثين المستقلين والصحفيين من خلال تقديم عينات من البيانات لزيادة ضغط الابتزاز، وهو سلوك موثق ومتكرر يجب أن تتوقعه خطط اتصالات الاستجابة للحوادث.
يتم تقدير نسبة المسؤولية عن حادثة (MAG) بدرجة ثقة متوسطة: حيث إن هذا الادعاء معقول ومتسق تقنياً مع النمط المعروف للمجموعة، ومؤيد جزئياً بعينة بيانات واحدة تم التحقق منها بشكل مستقل، ولكنه غير مؤكد من قِبل الضحية وغير مدعوم بأي نتائج جنائية أو تنظيمية.
لم يثبت أي دليل موثوق وجود صلة بين شركة FulcrumSec وأنظمة تكنولوجيا العمليات (OT)، أو أنظمة التحكم الصناعي (ICS)، أو أنظمة التحكم الإشرافي وتحصيل البيانات (SCADA)، أو أنظمة السلامة، أو تكنولوجيا عمليات الطيران في أي من الحالات التي تمت مراجعتها، بما في ذلك مجموعة مطارات مانشستر (MAG). وتؤكد البيانات الصادرة عن مجموعة MAG نفسها والتقارير المستقلة باستمرار عدم وجود أي تأثير على عمليات الطيران أو سلامة الطيران.
كيف تدعم شيلدووركز (Shieldworkz) استجابتكم
إن شركة Shieldworkz هي شركة متخصصة في الأمن السيبراني للتقنيات التشغيلية وأنظمة التحكم الصناعي (OT/ICS)، تقدم خدماتها للمؤسسات الصناعية والبنى التحتية الحيوية في قطاعات الطاقة، والنفط والغاز، والتصنيع، والمرافق الخدمية، والنقل، والدفاع. ويعكس ملف FulcrumSec ذات النهج القائم على الأدلة والمهارة الحرفية الفنية الذي نطبقه في جميع خدماتنا:
تقييمات أمن تكنولوجيا التشغيل (OT)، المدعومة بـ OThello Assess، مع دورات تقييم تقل عن 24 ساعة لتحديد مخاطر بيانات الاعتماد، والتكوين، والتجزئة قبل أن يكتشفها فاعل تهديد مثل FulcrumSec أولاً.
خدمات الجاهزية للامتثال التنظيمي لمعايير NIS2 وIEC 62443 وNERC CIP، والالتزامات الإقليمية بما في ذلك الضوابط الأساسية للأمن السيبراني وضوابط الأمن السيبراني للأنظمة الحساسة في السعودية (OTCC/ECC)، وقانون الأمن السيبراني في سنغافورة (SOCI)، وهي خدمات ذات صلة أينما تتقاطع حوادث بيانات العملاء مع التزامات الإبلاغ الخاصة بالبنية التحتية الحساسة.
استشارات استخبارات تهديدات تكنولوجيا العمليات (OT) التي تحافظ على نفس الانضباط الإثباتي مثل هذا الملف، بحيث يتم إطلاع فريقك على ما هو مؤكد، وليس فقط ما هو رائج.
تصميم وتنفيذ مركز عمليات الأمن السيبراني لتقنيات التشغيل (OT SOC)، بما في ذلك منطق الكشف الذي يركز على الهوية والسحابة والذي تتطلبه تقنيات وأساليب وإجراءات (TTPs) هذه الجهة الفاعلة، ومراقبة إدارة الاستحقاقات الأمنية للبنية التحتية السحابية (CIEM)، وتكامل فحص الأسرار الرقمية، والتحقق من الفصل والتقسيم بين بيئات تكنولوجيا المعلومات/السحابة وبيئات تقنيات التشغيل (OT).
إرشادات إدارة التصحيحات والمعالجة لسد الثغرة المحددة، وهي تطبيقات الويب غير المصححة والمواجهة للإنترنت، والتي تم استغلالها بالفعل في حالة واحدة على الأقل من حالات FulcrumSec.
احصل على الملف الكامل وتحدث مع فريق شيلدووركز
نموذج الهجوم الذي تركز عليه شركة FulcrumSec على السحابة، وإساءة استخدام أوراق الاعتماد ومفاتيح واجهة برمجة التطبيقات (API)، وتكتيكات ابتزاز البيانات، وادعاء اختراق مجموعة مطارات مانشستر (Manchester Airports Group).
افصل بين الحقائق المؤكدة والادعاءات غير المتحقق منها وافهم ما يعنيه هذا التهديد للمؤسسات التي تشغل البيئات السحابية، وبرمجيات الخدمة (SaaS)، والمنصات الموجهة للعملاء، والبيئات المجاورة للتكنولوجيا التشغيلية (OT).
تنزيل الملف الكامل، دون الحاجة إلى التسجيل.
احجز استشارة مدتها 30 دقيقة دون أي التزامات مع فريق Shieldworkz. ناقش مخاوفك الأمنية، أو التعرض للمخاطر، أو الأسئلة المتعلقة بـ FulcrumSec وافهم ما يهم بيئتك الخاصة.
تعرّف على حجم المخاطر الحقيقي لـ FulcrumSec وما يعنيه ذلك لبيئتك الأمنية. احجز جلسة إيجاز مدتها 30 دقيقة حول معلومات التهديدات مع خبرائنا.
