في يونيو 2024 أعلنت عصابة برامج الفدية لوكبيت (LockBit) أنها اخترقت الاحتياطي الفيدرالي الأمريكي (البنك الفيدرالي) وسرقت 33 تيرابايت من البيانات. لكن عندما انتهت المهلة لم تنشر أي بيانات تخص الفيدرالي. ما نشرته كان بيانات منسوبة إلى بنك آخر هو بنك إيفولف (Evolve Bank & Trust).
في هذا المقال تعرف ما حدث بالتفصيل، ومن هي لوكبيت، وما الذي أصابها بعد ذلك، وما الدروس التي تفيدك أنت كمبرمج أو كمستخدم.
ماذا ادّعت لوكبيت؟
يوم الإثنين 24 يونيو 2024 أضافت لوكبيت الاحتياطي الفيدرالي إلى قائمة ضحاياها على موقع التسريبات الخاص بها في الإنترنت المظلم (Dark Web). وقالت إنها سرقت 33 تيرابايت من البيانات المصرفية الحساسة، ووصفتها بأنها «أسرار المصارف الأمريكية».
وحددت العصابة موعدًا لنشر البيانات: 25 يونيو 2024 الساعة 20:27:10 بتوقيت غرينتش. وطالبت الفيدرالي بتعيين مفاوض جديد خلال 48 ساعة، وسخرت من المفاوض الحالي لأنه، على حد زعمها، قدّر قيمة هذه البيانات بـ 50,000 دولار فقط.
انتشر الخبر بسرعة وأثار قلقًا كبيرًا، لأن الاحتياطي الفيدرالي هو المسؤول عن السياسة النقدية في الولايات المتحدة وعن الرقابة على البنوك. ولو صح الادعاء لكان من أخطر اختراقات البيانات المالية على الإطلاق.
من هي عصابة LockBit؟
لوكبيت من أنشط مجموعات برامج الفدية (Ransomware) في العالم منذ ظهورها في 2019. وتشير التحقيقات إلى أن جذورها روسية وأن لها شركاء في دول كثيرة. وكانت تدير موقعها على شبكة تور (TOR)، وهناك كانت تجنّد المهاجمين وتنشر بيانات الضحايا الذين يرفضون الدفع.
نموذج برامج الفدية كخدمة
تعمل لوكبيت بنموذج «برامج الفدية كخدمة» (Ransomware-as-a-Service). الفريق الأساسي يطوّر البرنامج الخبيث ويدير البنية التحتية، ويؤجّره لمهاجمين يُسمَّون الشركاء (Affiliates) مقابل نسبة من الفدية. والشركاء هم من يخترقون الضحايا وينفذون الهجمات.
وتعتمد المجموعة على أسلوب «الابتزاز المزدوج» (Double Extortion): تشفّر ملفات الضحية وتسرق نسخة منها أيضًا، ثم تهدد بنشرها إن لم تُدفع الفدية.
صورة «روبن هود» المزعومة
تقدّم لوكبيت نفسها على أنها مجموعة «أخلاقية» تقول إنها لا تستهدف المؤسسات الصحية أو التعليمية أو الخيرية. لكن الواقع يخالف ذلك. ففي ديسمبر 2022 مثلًا تعرّض مستشفى الأطفال في تورنتو لهجوم ببرنامجها، فاعتذرت المجموعة وقدّمت أداة فك التشفير مجانًا بعد أن وقع الضرر.
من يقف وراء لوكبيت؟
في مايو 2024 كشفت السلطات الأمريكية والبريطانية هوية «لوكبيت سب» (LockBitSupp)، وهو الاسم الذي يدير به زعيم المجموعة حسابها العلني. قالت السلطات إنه المواطن الروسي ديمتري يوريفيتش خوروشيف. ووجّهت له وزارة العدل الأمريكية اتهامات وفُرضت عليه عقوبات، وأعلنت وزارة الخارجية مكافأة تصل إلى 10,000,000 دولار لمن يقدّم معلومات تؤدي إلى اعتقاله أو إدانته.
وبحسب وزارة العدل الأمريكية نفّذ أعضاء لوكبيت هجمات على أكثر من 2,000 ضحية حول العالم، وحصلوا على أكثر من 120 مليون دولار من الفديات.
ماذا حدث عند انتهاء المهلة؟
انتهى العد التنازلي ولم تنشر لوكبيت أي بيانات تخص الاحتياطي الفيدرالي. بدلًا من ذلك نشرت روابط لبيانات قالت إنها تخص بنك إيفولف، وهو بنك أمريكي صغير يتعامل مع شركات التقنية المالية (Fintech).
اللافت أن مجلس الاحتياطي الفيدرالي كان قد أعلن في وقت سابق من الشهر نفسه إجراءات تنفيذية ضد بنك إيفولف بسبب قصور في مكافحة غسيل الأموال وإدارة المخاطر. وكان البيان الصحفي لذلك القرار منشورًا على صفحة لوكبيت. أي أن المجموعة ربطت بين الجهتين لتبدو كأنها اخترقت الفيدرالي نفسه.
بعد أيام أكد بنك إيفولف أنه تعرّض لحادث أمني، وأن بيانات سُرقت منه ونُشرت على الإنترنت المظلم، وأنه لم يدفع الفدية. وذكرت مواقع أمنية متخصصة أن البيانات المسرّبة تضمنت معلومات معالجة مدفوعات وبيانات علاقات عملاء.
| ادعاء لوكبيت | ما ثبت لاحقًا |
|---|---|
| اختراق الاحتياطي الفيدرالي | لم تُنشر أي بيانات تخص الفيدرالي |
| سرقة 33 تيرابايت من «أسرار المصارف» | نُشرت بيانات تخص بنك إيفولف |
| مفاوضات جارية مع الفيدرالي | لا يوجد ما يؤكد حدوث أي مفاوضات |
لماذا كان الادعاء متوقعًا؟ عملية كرونوس
قال بريت كالو (Brett Callow)، محلل التهديدات في شركة إمسيسوفت (Emsisoft) وقتها، إن ادعاء لوكبيت هراء ومحاولة لإعادة المجموعة إلى الأضواء. وكان لكلامه ما يبرره.
ففي 19 فبراير 2024 نفذت الوكالة الوطنية لمكافحة الجريمة البريطانية (NCA)، مع مكتب التحقيقات الفيدرالي (FBI) ويوروبول (Europol) ووكالات أخرى، عملية سُميت «كرونوس» (Operation Cronos). سيطرت العملية على مواقع لوكبيت وخوادمها وحصلت على مفاتيح فك تشفير. وفي يونيو 2024 أعلن مكتب التحقيقات الفيدرالي أنه يملك أكثر من 7,000 مفتاح فك تشفير، ودعا الضحايا إلى التواصل معه لاستعادة ملفاتهم.
المجموعة كانت إذن جريحة وسمعتها بين شركائها تتراجع. وادعاء ضخم مثل «اختراق الفيدرالي» هو أسرع طريقة لجذب الانتباه وإثبات أنها ما زالت قادرة.
ماذا حدث للوكبيت بعد ذلك؟
استمرت الضغوط على المجموعة بعد 2024:
- اعتقالات متتالية: في ديسمبر 2024 أعلنت وزارة العدل الأمريكية اتهام روستيسلاف بانيف (Rostislav Panev)، الذي قالت إنه أحد مطوري برنامج لوكبيت، بعد اعتقاله في إسرائيل، ثم سُلِّم إلى الولايات المتحدة في 2025.
- اختراق المخترِق: في مايو 2025 اختُرقت لوحة تحكم لوكبيت نفسها، وسُرّبت قاعدة بيانات تحتوي على محادثات تفاوض مع ضحايا وعناوين محافظ عملات رقمية.
- محاولات العودة: لم تختفِ المجموعة تمامًا، وما زالت تحاول العودة بإصدارات جديدة، لكنها فقدت كثيرًا من ثقة شركائها ومن مكانتها.
الدرس هنا أن مجموعات برامج الفدية لا تختفي بضربة واحدة، لكن التعاون الدولي يرفع تكلفة عملها كثيرًا.
ماذا تتعلم أنت من هذه القصة؟
سواء كنت مطورًا أو تدير أنظمة شركة صغيرة أو مستخدمًا عاديًا، هذه أهم الدروس:
- لا تصدّق ادعاءات المهاجمين قبل التحقق: المبالغة جزء من أسلوب الابتزاز. انتظر الأدلة والبيانات الرسمية.
- النسخ الاحتياطية خط دفاعك الأول: طبّق قاعدة 3-2-1: ثلاث نسخ، على وسيطين مختلفين، ونسخة واحدة خارج الموقع أو غير متصلة بالشبكة.
- فعّل المصادقة متعددة العوامل (MFA): كلمات المرور المسروقة من أشهر طرق الدخول الأولى في هجمات الفدية.
- حدّث أنظمتك باستمرار: كثير من شركاء لوكبيت استغلوا ثغرات معروفة لها تحديثات متاحة منذ مدة.
- انتبه للأطراف الثالثة: اختراق إيفولف أثّر على شركات تقنية مالية تتعامل معه. أمانك يعتمد أيضًا على أمان شركائك.
وإن كنت تبني تطبيقات أو تدير خوادم، فهم أساسيات الأمن لم يعد إضافة اختيارية. يمكنك أن تبدأ بدورة أساسيات الأمن السيبراني Cybersecurity، ثم تتعلم إدارة الخوادم بأمان من خلال Linux Administration.
الخلاصة
ادّعت لوكبيت في يونيو 2024 أنها اخترقت الاحتياطي الفيدرالي وسرقت 33 تيرابايت، لكن الادعاء انهار عند انتهاء المهلة، وتبيّن أن البيانات المنشورة تخص بنك إيفولف. جاءت القصة بعد أشهر من عملية كرونوس التي أضعفت المجموعة، وكانت على الأرجح محاولة لاستعادة الأضواء.
الدرس الأهم لك: لا تصدّق المهاجمين قبل التحقق، واحمِ بياناتك بالنسخ الاحتياطية والمصادقة متعددة العوامل والتحديثات المستمرة. وإن أردت أن تبني أساسًا تقنيًا متينًا، تصفّح مسارات المدرسة لتعلم البرمجة من الصفر.
أسئلة شائعة
هل اخترقت لوكبيت الاحتياطي الفيدرالي الأمريكي فعلًا؟
لا يوجد دليل على ذلك. عند انتهاء المهلة لم تنشر لوكبيت أي بيانات تخص الفيدرالي، ونشرت بدلًا منها بيانات تخص بنك إيفولف، الذي أكد لاحقًا تعرّضه لحادث أمني.
ما هي برامج الفدية (Ransomware)؟
برامج خبيثة تشفّر ملفات الضحية وتطلب فدية مقابل فك التشفير. أغلب المجموعات اليوم تسرق البيانات أيضًا وتهدد بنشرها، وهذا ما يُسمّى الابتزاز المزدوج.
ما هي عملية كرونوس؟
عملية دولية قادتها الوكالة الوطنية لمكافحة الجريمة البريطانية مع مكتب التحقيقات الفيدرالي ويوروبول في فبراير 2024، سيطرت فيها على مواقع لوكبيت وخوادمها وحصلت على آلاف من مفاتيح فك التشفير.
كيف أحمي نفسي أو شركتي من هجمات الفدية؟
احتفظ بنسخ احتياطية منفصلة عن الشبكة، وفعّل المصادقة متعددة العوامل، وحدّث الأنظمة باستمرار، ودرّب فريقك على كشف رسائل التصيد، وراجع أمان الجهات التي تتعامل معها.
