حادثة FortiBleed: حين انقلب الجدار الناري جاسوسًا

القصة ليست عن فيروسٍ مدمّر يشلّ الأنظمة في لحظة، ولا عن ثغرةٍ خارقة تُخترَق بها الأجهزة بضغطة زر. إنها أهدأ وأخطر من ذلك: عمليةٌ صبورة، آلية بالكامل، حوّلت مئات آلاف جدران FortiGate النارية المكشوفة على الإنترنت إلى أجهزة تنصّتٍ صامتة، تلتقط كلمات المرور من حركة المرور التي تعبرها، وترسلها إلى مهاجمٍ يبيع المفاتيح لمن يدفع أكثر. وحين انكشفت العملية في منتصف يونيو 2026، كانت قد جمعت بالفعل ما يزيد على 110 ملايين بيان اعتماد عبر العالم.

في هذا المقال نشرح ما حدث بلغةٍ يفهمها أي قارئٍ مهتمّ بالتقنية، ثم نغوص فيما هو أهمّ: لماذا تكشف هذه الحادثة عن تحوّلٍ بنيويّ في طبيعة الهجمات المقبلة، وما الذي يجب أن يتغيّر في طريقة تفكيرنا بالأمن.

أولًا: ما هي FortiBleed باختصار؟

FortiBleed اسمٌ أطلقه باحثو شركة الاستخبارات الأمنية SOCRadar على حملةٍ منظّمة، يُرجَّح أنها بقيادة جهةٍ ناطقة بالروسية تعمل كـ “وسيط وصول أوليّ” (Initial Access Broker – IAB)؛ أي مجموعةٍ هدفها ليس تدمير الضحية، بل اقتحام الشبكات ثم بيع مفاتيح الدخول إليها لمجرمين آخرين (مثل عصابات برامج الفدية). الدافع ماليّ بحت.

استهدفت الحملة، النشطة منذ فبراير 2026، أكثر من 430,000 جدار ناري من FortiGate مكشوفٍ على الإنترنت حول العالم. ومن بين هذه الأجهزة، تأكّد اختراق ما يقارب 75,000 إلى 86,000 جهاز عبر 194 دولة — أي ما يقارب نصف كل أجهزة Fortinet الطرفية المرئية على الإنترنت بحسب تقديرات الباحثين. والنتيجة النهائية كانت قاعدة بياناتٍ ضخمة تضمّ أكثر من 110 ملايين بيان اعتماد مُتحقَّق منها.

توضيح للأرقام (مهمّ لتفادي اللبس): تتداول التقارير ثلاثة أرقامٍ مختلفة، وكلٌّ منها يقيس شيئًا مختلفًا:

• 430,000+ = عدد الأجهزة التي استُهدِفت أو فُحِصت في نطاق الحملة.
• ~75,000–86,000 = عدد الأجهزة التي تأكّد اختراقها فعليًّا وسُحبت منها بيانات اعتماد صالحة.
• 110+ مليون = عدد بيانات الاعتماد (أزواج اسم المستخدم/كلمة المرور وبصمات التجزئة) التي جُمعت — وهي أكبر بكثير من عدد الأجهزة، لأن كل جدارٍ مُخترَق يمرّ عبره مرور عشرات أو مئات المستخدمين.

اللافت أن الجزء الأكبر من هذه الكارثة لم يكن ثغرةً برمجية جديدة. كانت في جوهرها استغلالًا لإهمالٍ في النظافة الأمنية: كلمات مرورٍ ضعيفة، حساباتٍ افتراضية لم تُغيَّر، وطريقة تخزينٍ قديمة لكلمات المرور. وهذا ما يجعلها درسًا أهمّ من مجرّد خبرٍ عابر.

ثانيًا: كيف تحوّل الحارس إلى جاسوس؟ — الفكرة العبقرية الخبيثة

لفهم ذكاء الهجوم، تخيّل أن جدارك الناريّ موظّف أمنٍ يقف على بوابة مبنًى، تمرّ من أمامه كل يوم رسائل الموظفين وبطاقاتهم وكلمات سرّهم وهم يدخلون ويخرجون. وظيفته أن يتحقّق فقط، لا أن يقرأ. لكن المهاجم نجح في إقناعه — عبر اقتحامه أولًا — بأن يدوّن سرًّا كل ما يمرّ من أمامه ويرسله إليه.

تقنيًّا، تتمحور العملية حول أداةٍ مكتوبة بلغة Golang أطلق عليها الباحثون اسم FortigateSniffer. وما يجعلها بارعةً هو أنها لا تزرع برمجية خبيثة غريبة يسهل كشفها، بل تُسيء استخدام ميزةٍ شرعية مدمجة في نظام FortiOS نفسه: الأمر التشخيصي diagnose sniffer packet.

هذا الأمر موجودٌ أصلًا ليساعد مديري الأنظمة على تفقّد حركة المرور المارّة عبر الجدار في الوقت الحقيقي — أداة تشخيصٍ مشروعة تمامًا. لكن المهاجم، بعد أن يحصل على صلاحية المدير، يوجّهها لمراقبة حركة المرور عبر 24 بروتوكولًا للمصادقة والوصول عن بُعد، من بينها Kerberos وLDAP وSMB وRADIUS وRDP وMS-SQL وMySQL وغيرها. وبذلك يلتقط الجهاز بيانات الاعتماد أثناء عبورها — بعضها بنصٍّ صريح، وبعضها على شكل بصماتٍ مشفّرة (Hashes).

بعد الالتقاط، تمرّ البيانات في خطّ معالجةٍ منظّم: مكوّنٌ باسم SNIFTRAN يعيد بناء الحزم الملتقطة إلى ملفات PCAP، ثم تُحلَّل عبر أداةٍ بلغة Python لاستخراج كلمات المرور وبصمات التجزئة وتذاكر Kerberos وبيانات البريد وقواعد البيانات. أما البصمات المشفّرة فتُكسَر لاحقًا باستخدام عناقيد كروت شاشة (GPU) عبر أدوات مثل Hashcat وHashtopolis، وبعضها على سعةٍ مستأجرة من خدماتٍ سحابية، ويُنسّق كل ذلك عبر بوت على Telegram.

النقطة الجوهرية هنا: الجهاز الذي يُفترض أنه خطّ الدفاع الأول صار هو نقطة التجسّس الداخلية. ولأن جدران الحماية لا يمكن تثبيت برامج كشف التهديدات (EDR) عليها، يبقى هذا التنصّت غير مرئيٍّ لأدوات الأمن التقليدية تمامًا.

ثالثًا: الجدول الزمني — كيف انكشفت الفضيحة

تكشف سلسلة الأحداث كيف يعمل المجتمع الأمنيّ حين تنفجر حادثةٌ كبرى:

من بين الضحايا المؤكَّدين، أشار الباحثون إلى اختراق مقاول دفاعٍ مرتبط بحلف الناتو، وهو ما رفع الحادثة من مستوى «تسريب بيانات» إلى مستوى تهديدٍ يمسّ البنى الحسّاسة.

ومن المثير أن Fortinet نفسها قلّلت في البداية من شأن الحادثة، واصفةً إياها بأنها مجرّد تجميعٍ لبيانات اعتمادٍ سُرِّبت في حوادث سابقة، لا ثغرة جديدة. بينما أظهرت تقارير SOCRadar أن الأمر أبعد من ذلك: حملةٌ نشطة ومستمرّة تواصل اختراق أجهزةٍ جديدة لحظة كتابة التقارير. والحقيقة على الأرجح بين الاثنين — وهذا بالضبط ما يجعل الحادثة مقلقة، كما سنرى.

رابعًا: مراحل الهجوم الخمس — مبسّطة

تتبّع الباحثون سلسلة الهجوم كاملةً، ويمكن تبسيطها في خمس خطواتٍ متعاقبة:

1. الاستطلاع الواسع. يمسح المهاجم عشرات الملايين من العناوين على الإنترنت بأدواتٍ مثل Masscan وShodan، ثم يفلتر أجهزة FortiGate تحديدًا ويصنّفها حسب الدولة. والأذكى: يرتّب الأهداف حسب قيمتها الاقتصادية قبل إنفاق أي جهد، فلا يضيّع موارده على ضحيةٍ صغيرة بينما هناك شركةٌ أثمن.

2. الاختراق الأوّليّ. باستخدام قوائم كلمات مرورٍ مسرَّبة سابقًا، يجرّب المهاجم الدخول آليًّا إلى لوحات الإدارة وبوابات SSL-VPN عبر هجمات «حشو بيانات الاعتماد» (Credential Stuffing) والتخمين بالقاموس. ونجاحه يعتمد على كلمات المرور الضعيفة وغير المُحدَّثة.

3. زرع المتنصّت. بعد الحصول على صلاحية المدير عبر SSH، تُنشَر أداة FortigateSniffer التي تحوّل الجهاز إلى أداة تجسّسٍ سلبيّة تلتقط حركة المصادقة المارّة.

4. كسر التشفير والتحرّك الجانبي. تُكسَر البصمات المشفّرة بعناقيد GPU، ثم تُستخدَم بيانات الاعتماد الصالحة للتوغّل أعمق داخل الشبكة، خصوصًا نحو خوادم Active Directory.

5. التسريب والبقاء. تُسحَب البيانات الحسّاسة من مشاركات الشبكة، وتُستخدَم ملفّات تعريف الجلسات (Session Cookies) المسروقة للحفاظ على وصولٍ مستمرٍّ مُصادَقٍ عليه — أي بابٍ خلفيٍّ يبقى مفتوحًا حتى لو غُيِّرت كلمة المرور لاحقًا.

ولأن العملية آليةٌ بالكامل، فقد عملت في دوراتٍ منتظمة (كل دورةٍ نحو خمس ساعات) تتحقّق من آلاف الأهداف بالتوازي. بل إن المهاجم ضبط نشاطها ضمن ساعات عملٍ نهارية بتوقيت موسكو ومن نطاقات عناوين محدّدة — تفصيلٌ يكشف عن عمليةٍ مُدارةٍ كأنها شركة، لا مجرّد قرصانٍ عابث.

خامسًا: الجذر الحقيقي — لماذا نجح الهجوم أصلًا؟

هنا يكمن أهمّ درسٍ في الحادثة كلها. لم يكن النجاح بسبب «عبقرية» المهاجم بقدر ما كان بسبب ثلاث نقاط ضعفٍ مزمنة في طريقة تشغيل المؤسسات لأجهزتها:

1. تجزئة قديمة لكلمات المرور لم تُحدَّث

خزّنت إصدارات FortiOS الأقدم كلمات مرور المسؤولين بخوارزمية SHA-256 التي صارت ضعيفةً نسبيًّا أمام الكسر دون اتصال (Offline Cracking). انتقلت Fortinet لاحقًا إلى خوارزمية PBKDF2 الأقوى. لكن المشكلة الخبيثة: ترقية النظام لا تُعيد تشفير كلمات المرور القديمة تلقائيًّا. فأي مديرٍ ضبط كلمته قبل التحوّل ولم يُسجّل دخوله ويعيد ضبطها يدويًّا بعد الترقية، ظلّ يخزّنها بالصيغة الضعيفة — حتى لو كان نظامه مُحدَّثًا بالكامل. وهكذا، حين سُرِّبت ملفات الإعداد، كانت كلمات المرور قابلةً للكسر.

2. الحسابات الافتراضية التي لم يلمسها أحد

في تحليلٍ صادم، وجد الباحثون أن نحو 35% من بيانات الاعتماد المخترقة كانت لحسابات «admin» عامة، و28% لحساباتٍ مدمجة افتراضية في النظام. أي أن أكثر من ستة من كل عشرة حسابات إما لم تُعَد تسميتها من الإعداد المصنعيّ، أو حملت أسماء متوقّعة يستطيع المهاجم استهدافها بثقةٍ قبل أن يبذل أي جهدٍ في التخمين. هذه ليست ثغرةً تقنية، بل فشلٌ في النظافة الأمنية تكرّر عبر عشرات آلاف عمليات النشر.

3. أبوابٌ خلفية مزروعة

لاحظ باحثون أن بعض أزواج اسم المستخدم/كلمة المرور تكرّرت عبر آلاف العناوين المختلفة، ما يرجّح أن المهاجم زرعها عمدًا كأبوابٍ خلفية سرّية تضمن له العودة لاحقًا. وهذا يعني أن مجرّد تغيير كلمة المرور قد لا يكفي إن لم يُدقَّق في كل الحسابات.

الخلاصة الصادمة: الجدار الناريّ — الجهاز الذي اشترته المؤسسة لتأمين شبكتها — تحوّل بسبب سوء التهيئة إلى أوسع نقطة دخولٍ لها. الأداة الدفاعية صارت سطح الهجوم.

سادسًا: الصورة الأكبر — لماذا أصبحت «أجهزة الحافة» الهدف المفضّل؟

FortiBleed ليست حادثةً منعزلة، بل عَرَضٌ لاتجاهٍ استراتيجيّ يتسارع منذ سنوات. لفهم المستقبل، يجب فهم لماذا تنتقل الهجمات من الحواسيب والخوادم إلى أجهزة حافة الشبكة (Edge Devices): الجدران النارية، وبوابات VPN، وموازنات الحمل، وأجهزة التوجيه.

السبب يتلخّص في معادلةٍ قاتلة: أعلى قيمة، أقلّ دفاع.

• قيمة استراتيجية قصوى: من يسيطر على جدارٍ ناريّ يرى خريطة الشبكة الداخلية، ويتحكّم بقواعد التوجيه والترشيح، ويملك نقطة انطلاقٍ موثوقة نحو العمق.
• نقطة عمياء بالتصميم: لا يمكن — غالبًا — تثبيت أدوات كشف التهديدات (EDR) على هذه الأجهزة، وسجلّاتها محدودة، وكثيرٌ منها يعمل بأنظمة ملفاتٍ في الذاكرة بحيث تمحو إعادة التشغيل أدلّة الاختراق. فحين يُخترَق الجهاز، لا يراه أحد.
• تعرّضٌ مباشر للإنترنت: بحكم وظيفتها، هذه الأجهزة مكشوفةٌ ومتاحةٌ للوصول من أي مكان، فتشكّل واجهة الهجوم الخارجية الأولى.
• بطء الترقيع: تحديثها يتطلّب توقّفًا في الخدمة ونوافذ صيانةٍ تتردّد المؤسسات في جدولتها، فتبقى مكشوفةً طويلًا بعد اكتشاف الثغرات.

الأرقام تؤكّد التحوّل: بحسب تقرير Verizon لتحقيقات خروقات البيانات، قفز استغلال أجهزة الحافة من نحو 3% إلى 22% من إجمالي خروقات الاستغلال خلال عامٍ واحد — زيادةٌ بثمانية أضعاف. ووصفت شركاتٌ مثل Trend Micro وSentinelOne وEclypsium هذا بأنه «إعادة حسابٍ استراتيجية» من المهاجمين: فكلّما نضج أمن الحواسيب الطرفية (بالـ EDR والمصادقة الثنائية)، اتجه المهاجمون إلى الأصول الأعلى قيمةً والأقلّ حراسة.

وقد دفع هذا الاتجاه الجهات الرسمية للتحرّك مبكرًا: ففي فبراير 2026 — قبل انكشاف FortiBleed — أصدرت CISA وFBI وNCSC ورقةً مشتركة تحذّر من استغلال أجهزة الحافة منتهية الدعم، بل أصدرت CISA توجيهًا (BOD 26-02) يُلزم الجهات الفيدرالية الأمريكية بالحدّ من مخاطر هذه الأجهزة. FortiBleed جاءت لتؤكّد أن التحذير لم يكن مبالغًا فيه.

سابعًا: الذكاء الاصطناعي يغيّر قواعد اللعبة

عنصرٌ جديد يميّز هذا الجيل من الهجمات: الأتمتة المدعومة بالذكاء الاصطناعي. أشار الباحثون إلى أن أجزاءً من سير عمل FortiBleed ربما استعانت بمنصّة هجوميةٍ مفتوحة المصدر مدعومة بالذكاء الاصطناعي تُدعى CyberStrike — وهي أداة اختبار اختراقٍ ذاتية التشغيل.

ما الذي يعنيه ذلك للمستقبل؟ نقطتان جوهريتان:

• انهيار نافذة الترقيع. كان الفارق بين إصدار الترقيع وبدء الاستغلال يُقاس بأسابيع. أما الآن، ومع أدوات الذكاء الاصطناعي التي تكتشف الثغرات وتبني الاستغلالات آليًّا، فقد تقلّص هذا الفارق إلى أيامٍ بل ساعات. لم يعد لدى المدافع رفاهية الانتظار.
• توسّع نطاقٍ بلا تكلفة. الأتمتة تجعل استهداف مئات آلاف الأجهزة بالكلفة نفسها تقريبًا التي يتطلّبها استهداف عشرة. ولهذا لم تقتصر العملية على Fortinet، بل امتدّت بأسلوب «الرشّ والصلاة» إلى أجهزة تخزينٍ شبكية (Synology NAS)، وجدران Sophos، وبوابات Citrix، وخوادم MS-SQL.

نحن أمام تحوّلٍ من «القرصان الذي يلاحق هدفًا» إلى «خطّ إنتاجٍ صناعيّ» يحصد الوصول على نطاق الكوكب.

ثامنًا: ماذا يعني هذا لمستقبل الأمن السيبراني؟

تتجاوز دروس FortiBleed حادثةً بعينها، وتشير إلى خمسة تحوّلاتٍ عليك استيعابها:

1. القيمة تنتقل من الاختراق اللحظيّ إلى البيانات طويلة الأمد. كما لاحظ خبراء، لم يعد الاستغلال الحديث يدور دائمًا حول الأثر الفوريّ، بل حول حصاد بياناتٍ يبقى ثمنها حتى بعد ترقيع الثغرة الأصلية. بيانات الاعتماد المسروقة اليوم قد تُستخدَم بعد أشهر.

2. محيط الشبكة لم يعد حدًّا، بل صار سطح هجوم. الفكرة التقليدية عن «جدارٍ يحمي الداخل» تتآكل. الأجهزة التي نضعها على الحدود هي نفسها أكثر ما يستهدفه المهاجم. وهذا يدفع نحو نماذج الثقة الصفرية (Zero Trust): لا تثق بأي جهازٍ أو هويةٍ لمجرد موقعها داخل الشبكة، بل تحقّق دائمًا.

3. الهوية هي خطّ الدفاع الجديد. حين تصبح كلمات المرور سلعةً تُحصَد بالملايين، تصبح المصادقة متعدّدة العوامل (MFA) ليست خيارًا تكميليًّا بل ضرورة وجودية. كلمة المرور وحدها لم تعد تحمي شيئًا.

4. افترض الاختراق، لا تنتظر إثباته. نصيحة الباحثين كانت واضحة: حتى إن لم يتأكّد اختراقك، تعامل مع بيانات اعتمادك كأنها مسروقة وغيّرها فورًا. هذا تحوّلٌ ذهنيّ من «الدفاع الوقائي» إلى «افتراض الاختراق».

5. النقاط العمياء يجب أن تُضاء. ما دامت أجهزة الحافة لا تقبل أدوات EDR، فالحلّ هو مراقبة الشبكة نفسها: تحليل حركة المرور (NDR)، وإرسال السجلّات إلى نظام مراقبةٍ مركزيّ (SIEM)، والتحقّق المستمرّ من سلامة البرامج الثابتة (Firmware) — لأن المهاجم المتقدّم قد يزرع نفسه في البرنامج الثابت بحيث يبقى حتى بعد إعادة التشغيل والترقية.

تاسعًا: ماذا تفعل الآن؟ — قائمة عملية

إذا كنت تدير جدارًا ناريًّا من FortiGate أو أي جهاز حافةٍ مكشوفٍ على الإنترنت، فهذه خطواتٌ عاجلة (تتقاطع توصيات Fortinet وSOCRadar وCISA عليها):

1. افترض أن بيانات اعتمادك مكشوفة. أعد فورًا ضبط كل كلمات مرور حسابات الإدارة وVPN، خصوصًا على الأنظمة المتّصلة بالإنترنت. أنهِ كل الجلسات الإدارية وجلسات VPN النشطة لإبطال أي بابٍ خلفيٍّ محتمل.

2. فعّل المصادقة متعدّدة العوامل (MFA) على كل حسابات الإدارة وVPN دون استثناء.

3. حدّث النظام إلى إصدارٍ مدعوم (مثل فروع 7.2.11 أو 7.4.8 أو 7.6.1 فما فوق حسب توصيات المزوّد)، ثم — وهذه خطوةٌ يغفلها كثيرون — سجّل دخول كل مدير مرةً على الأقل بعد الترقية، لأن ذلك ما يُفعّل إعادة التشفير القوي (PBKDF2) لكلمات المرور المخزّنة بالصيغة القديمة.

4. راجع كل الحسابات بدقّة. أعد تسمية أو عطّل الحسابات الافتراضية، واحذف الحسابات المدمجة غير الضرورية، وابحث عن أي حسابٍ مزروعٍ لا تعرفه.

5. أخرج واجهات الإدارة من الإنترنت. لا ينبغي أن تكون لوحة إدارة الجدار أو SSL-VPN مكشوفةً للعالم كله؛ قيّد الوصول إليها بنطاقاتٍ موثوقة أو شبكةٍ خاصة. عطّل SSL-VPN إن لم تكن بحاجةٍ إليه.

6. افحص السجلّات بأثرٍ رجعيّ بحثًا عن وصولٍ غير مصرّحٍ به، ويُفضَّل الرجوع 90 يومًا على الأقل، مع تفعيل المراقبة المستمرّة للحركة الشاذّة.

7. تحقّق من تعرّضك. أتاحت بعض الجهات الأمنية أدوات فحصٍ مجانية تكشف إن كان نطاقك أو عنوانك ضمن قواعد البيانات المسرّبة (راجع المصادر الرسمية الحيّة للحصول على الأداة المحدّثة).

ملاحظة بشأن دوام البيانات: هذه حادثةٌ نشطة ومتطوّرة لحظة كتابة هذا المقال (يونيو 2026)، والأرقام والتوصيات قد تتغيّر. اعتمد دائمًا على نشرات Fortinet الأمنية (PSIRT) وتنبيهات CISA/NCSC الرسمية للحصول على أحدث الإرشادات.

الخلاصة

FortiBleed ليست قصّة ثغرةٍ خارقة، بل قصّة حارسٍ موثوقٍ انقلب جاسوسًا بسبب مزيجٍ من سوء التهيئة، وكلمات مرورٍ قديمة، ونقاطٍ عمياء بنيوية في أجهزةٍ صُمِّمت لتحمينا. وما يجعلها أبلغ من حادثةٍ عابرة أنها تكثّف في مكانٍ واحدٍ كل اتجاهات التهديد المقبلة: انتقال الهجوم إلى حافة الشبكة، والأتمتة المدفوعة بالذكاء الاصطناعي، وتحوّل بيانات الاعتماد إلى سلعةٍ تُحصَد صناعيًّا، وانهيار الفكرة التقليدية عن «المحيط الآمن».

الدرس الأعمق بسيطٌ وصعب في آن: لم يعد كافيًا أن تشتري جهاز أمنٍ وتنساه. كل جهازٍ على الحافة هو مسؤوليةٌ دائمة تتطلّب تحديثًا، ومراقبةً، وتحقّقًا مستمرًّا، وافتراضًا دائمًا بأن الاختراق ممكن. المؤسسات التي ستزدهر في السنوات المقبلة هي التي تتعامل مع أمنها كعمليةٍ حيّة، لا كصندوقٍ يُركَّب مرّةً ويُغلَق عليه. أما من يبقى يثق بحارسه دون أن يراقبه، فقد علّمته FortiBleed كم يكون الثمن باهظًا حين ينقلب الحارس.

المقال التالي

المساعد الذكي من إليفانتي

تعرف على التصيد

تأثير الذكاء الاصطناعي

رحلة الذكاء الاصطناعي

إدارة قيود الذكاء