تقييم مجاني لاختبار الاختراق: ما نكتشفه قبل المهاجم

نُمضي جزءًا كبيرًا من وقت عملنا في إيجاد طريقة للدخول إلى أنظمة كان أصحابها واثقين تمامًا من إحكام إغلاقها: نموذج تسجيل دخول يثق برأس طلب خاطئ، نطاق فرعي تجريبي نسي الجميع إيقاف تشغيله، واجهة برمجة تطبيقات (API) تُعيد بيانات أكثر بكثير مما تطلبه الشاشة الظاهرة أمام المستخدم. وذلك دائمًا بتفويض موقّع، لعميل طلب منا ذلك، قبل أن يصل إليه من لا يملك مثل هذا التفويض.

هذه دعوة لفعل الشيء نفسه من أجلكم. تبدأ بتقييم مجاني، وتُنفَّذ المهمة بأكملها عن بُعد بالكامل — من إسبانيا، أينما كنتم.

لا يكاد أحد يخضع للاختبار إلا بعد فوات الأوان

تعامل المعهد الإسباني الوطني للأمن السيبراني INCIBE مع 122,223 حادثة أمن سيبراني في عام 2025 — بزيادة 26% عن عام 2024 (97,348 حالة)، وهو أعلى رقم تسجّله المؤسسة على الإطلاق. من بينها: 55,411 حادثة متعلقة بالبرمجيات الخبيثة، و45,445 حالة احتيال إلكتروني (بزيادة 19% عن العام السابق)، و25,133 حالة تصيّد احتيالي، و3,849 حالة وصول غير مصرَّح به أو سرقة بيانات. وبشكل منفصل، رصد فحص INCIBE الخاص 237,028 نظامًا يحتوي على ثغرات مكشوفة على الشبكات الإسبانية خلال العام.

هذه حوادث تمت معالجتها، وليست إحصاءً شاملًا لكل الهجمات — فالمعهد نفسه يوضح أن الرقم الحقيقي أعلى بالضرورة. لكن ما يُظهره الاتجاه العام لا لبس فيه: التعرّض للمخاطر في ازدياد لا في تراجع، وفي أغلب الحالات، يكون المهاجم هو من يكتشفه قبل صاحب النظام نفسه.

ما الذي يكلفكم إياه غياب الاختبار

شركة الخطوط الجوية البريطانية (British Airways)، 2018-2020. أعاد مهاجمون توجيه حركة البيانات على موقع ba.com إلى موقع مزيّف، واعترضوا بيانات الدفع لنحو 400 ألف عميل. حققت المفوضية البريطانية لحماية المعلومات (ICO) في القضية، وكانت في قرارها محددة بشأن ما لم تقم به الشركة: لم تُجرِ اختبارات صارمة — “في صورة محاكاة لهجوم إلكتروني” — على أنظمتها الخاصة، ولم تكن لديها مراقبة لسلامة الملفات كان يمكن أن تكشف تعديلات المهاجم. بلغت الغرامة التي اقترحتها ICO في البداية 183 مليون جنيه إسترليني؛ وبعد اعتراضات الشركة، خُفِّضت إلى 20 مليون جنيه إسترليني — ومع ذلك، تبقى واحدة من أكبر غرامات حماية البيانات في تاريخ المملكة المتحدة، بسبب إخفاق وُجد برنامج الاختبار أصلًا لاكتشافه.

وصف عنوان تقرير Computer Weekly هذا التفاوت بوضوح شديد: “مكافأة اكتشاف ثغرات بقيمة 4,000 جنيه إسترليني كان يمكن أن تُجنّب الخطوط الجوية البريطانية غرامة قياسية من ICO”. نحن لن نَعِدكم برقم بهذه الدقة بشأن أنظمتكم الخاصة — فلا أحد نزيه يستطيع ذلك قبل أن يفحصها فعليًا — لكن طبيعة هذه المعادلة تستحق أن تبقى حاضرة في الذهن.

الذكاء الاصطناعي لم يخلق هذا التهديد — بل حوّله إلى صناعة

تحمل بيانات INCIBE الخاصة لعام 2025 هذه البصمة بالفعل: ارتفعت حالات الاحتيال عبر التصيّد الاحتيالي (phishing) والتصيّد عبر الرسائل النصية (smishing) في إسبانيا بنسبة 25% في ذلك العام، وتركّزت في قطاعات المصارف والخدمات اللوجستية والرعاية الصحية. النصيحة القديمة القائلة بأن نلاحظ الأخطاء اللغوية أو التحية الفجّة تفقد جدواها لسبب محدد وموثّق.

قدّر المركز الوطني البريطاني للأمن السيبراني (NCSC) في يناير 2024، وأعاد تأكيد ذلك لاحقًا ، أن الذكاء الاصطناعي “شبه مؤكد أنه سيزيد من حجم الهجمات السيبرانية ويكثّف من أثرها” — وذلك تحديدًا لأنه يُزيل الحاجة إلى المهارة والجهد اللذين كانا في السابق يحدّان من قدرة الأشخاص على تنفيذ هجوم فعّال. ووضعت وكالة الاتحاد الأوروبي للأمن السيبراني ENISA رقمًا لجزء من هذا الواقع في تقريرها Threat Landscape 2025 : من بين رسائل التصيّد الاحتيالي التي رصدتها بين سبتمبر 2024 وفبراير 2025، استخدم أكثر من 80% منها الذكاء الاصطناعي بشكل ما.

والأمر لا يقتصر على البريد الإلكتروني. ففي يناير 2024، انضم موظف في القسم المالي بشركة الهندسة Arup إلى ما بدا أنه مكالمة فيديو روتينية مع المدير المالي للشركة وعدد من الزملاء، ووافق خلال تلك المكالمة الواحدة على خمس عشرة عملية تحويل مصرفي بقيمة إجمالية بلغت 200 مليون دولار هونغ كونغي — نحو 25.6 مليون دولار أمريكي . كان كل من في المكالمة سوى ذلك الموظف عبارة عن تزييف عميق (deepfake)، أُنشئ من مقاطع فيديو وصوت حقيقية ظهر فيها هؤلاء المسؤولون التنفيذيون بالفعل خلال اجتماعات عادية للشركة. ولم يكتشف أحد الخديعة إلا بعد أن اتصل الموظف لاحقًا بالمقر الرئيسي لشركة Arup للتأكد.

كما أن الأمر لا يقتصر على مجرمين يجرّبون حظهم. ففي فبراير 2024، كشفت مايكروسوفت وOpenAI أنهما رصدتا وأغلقتا حسابات استخدمتها خمس مجموعات قرصنة مرتبطة بدول — على صلة بروسيا وإيران وكوريا الشمالية والصين — كانت تستخدم نماذج OpenAI لأغراض الاستطلاع والترجمة والمساعدة الأساسية في البرمجة. وبحسب تقييم الشركتين نفسيهما، لم يظهر بعد أي أسلوب هجوم مبتكر بشكل حقيقي: إنه نفس عمل الاستطلاع وكتابة السكربتات الذي اعتادت هذه المجموعات القيام به، لكن بسرعة أكبر فحسب.

لا شيء من هذا يغيّر الغرض من اختبار الاختراق. ما يتغيّر هو مدى سرعة اكتشاف الثغرة التي لم تختبروها، ومَن الذي سيكتشفها.

لماذا “الموافقة” ليست مجاملة، بل هي القانون

كل ما يقوم به اختبار الاختراق — الدخول إلى نظام لم يُصمم مالكه بابًا مخصصًا لكم فيه — يُعدّ، بدون إذن، جريمة في إسبانيا. تنص المادة 197 مكرر-1 من قانون العقوبات الإسباني ، السارية منذ إصلاح عام 2015 (القانون الأساسي رقم 1/2015)، على معاقبة كل من “vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado” — أي من يخترق تدابير الأمان الموضوعة لمنع الوصول، دون أن يكون مصرَّحًا له بذلك حسب الأصول — ويدخل إلى نظام معلوماتي أو يُسهّل لغيره الدخول إليه، بعقوبة السجن من ستة أشهر إلى سنتين. والشيء الوحيد الذي يُحوّل هذا الفعل نفسه إلى خدمة أمنية مشروعة هو تلك العبارة الوسطى: مصرَّح له حسب الأصول.

ولهذا السبب تبدأ كل مهمة نقوم بها قبل إرسال أول طلب على أنظمتكم: بتفويض موقّع يحدد بدقة ما يدخل ضمن النطاق، والإطار الزمني، والأصول المحددة المشمولة، وجهة اتصال لديكم يمكنها أن تشهد لصالحنا إذا ما فعّلت أنظمة المراقبة الخاصة بكم إنذارًا. هذا ليس إجراءً ورقيًا شكليًا. إنه الحقيقة المحددة التي تُبقي هذا العمل التقني نفسه في الجانب الصحيح من القانون.

ما يفرضه القانون بالفعل على أي حال

حتى في الحالات التي لم يطلب فيها أحد ذلك بعد، فإن الاتجاه واحد:

• تفرض المادة 32(1)(د) من اللائحة العامة لحماية البيانات (GDPR) وجود "عملية منتظمة لاختبار وتقييم فعالية التدابير التقنية والتنظيمية" لضمان أمن المعالجة. وهذا ينطبق عمليًا على أي شركة تقريبًا تعالج بيانات شخصية داخل الاتحاد الأوروبي — وليس التزامًا محدودًا بقطاعات معينة خاضعة للتنظيم.
• تُدرج توجيهات NIS2 (توجيه الاتحاد الأوروبي رقم 2022/2555) اختبار الأمن ضمن تدابير إدارة المخاطر الواجب على الكيانات “الأساسية” و"المهمة" تطبيقها. وقد فوّتت إسبانيا الموعد النهائي لنقل التوجيه إلى قانونها الوطني في 17 أكتوبر 2024، وفي 8 يوليو 2026 أحالت المفوضية الأوروبية إسبانيا إلى محكمة العدل الأوروبية لعدم إخطارها حتى الآن بإتمام النقل الكامل — أي بتأخير يقارب عامين. غير أن جوهر الالتزام لا ينتظر أن تُسوّي إسبانيا أوراقها الخاصة.
• تُلزم لائحة DORA (لائحة الاتحاد الأوروبي رقم 2022/2554)، السارية منذ 17 يناير 2025، الكيانات المالية التي تُصنّفها جهتها الرقابية على أنها مهمة بما يكفي، بإجراء اختبارات اختراق موجّهة بالتهديدات (TLPT) مرة كل ثلاث سنوات على الأقل ، وفق منهجية TIBER-EU.
• يفرض الإطار الوطني الإسباني للأمن (ENS) (المرسوم الملكي 311/2022 ) إجراء تدقيق أمني رسمي مرة كل عامين على الأقل للأنظمة المصنَّفة ضمن الفئة “المتوسطة” أو “العالية”، أو في وقت أقرب في حال حدوث تغيير جوهري — كما ينطبق تقييم ذاتي بالدورية نفسها كل عامين حتى على الفئة “الأساسية”. وأي شركة تبيع برمجيات أو خدمات للإدارة العامة الإسبانية تقع على الأرجح ضمن هذا النطاق.

ما هو التقييم المجاني فعليًا

نظرة أولى خارجية وغير تدخّلية على ما تعرضونه فعليًا على الإنترنت: نرسم خريطة له، ونقارنه بالأخطاء المعروفة في الإعدادات والبرمجيات غير المحدَّثة، ونجري مراجعة يدوية للمجالات الأكثر احتمالًا لأن تكون مهمة لعمل تجاري مثل عملكم. ستحصلون على ملخص بلغة واضحة لما اكتشفناه، وإجابة صريحة عن السؤال الوحيد المهم: هل يستحق تدقيق كامل إنفاق أموالكم الآن. وإذا لم يكن كذلك، فسنخبركم بذلك.

ما الذي يضيفه التدقيق الكامل

تُدار المهمة الكاملة بشكل رئيسي عبر عمل يدوي، لا عبر تقرير أداة فحص آلي يحمل شعارنا. تتبع المنهجية دليل اختبار OWASP (OWASP Testing Guide) ومعيار تنفيذ اختبار الاختراق (PTES)؛ ويُتفق على النطاق وقواعد الاشتباك ويُوقَّع عليها قبل بدء الاختبار، تمامًا كما سبق وصفه أعلاه؛ وتُكتب النتائج بلغة واضحة، ومرتّبة بحسب الخطر الفعلي الذي تمثله لا بحسب درجة خطورة عامة؛ وبمجرد أن تُصلحوا ما اكتشفناه، نعيد اختباره. يُحدَّد السعر بعد التقييم، بما يتناسب مع ما تُشغّلونه فعليًا — فادّعاء أن اختبار شركتين مختلفتين بشكل صحيح يكلّف المبلغ نفسه سيكون أول شيء غير صادق نقوله لكم.

يُنفَّذ بالكامل عن بُعد، انطلاقًا من إسبانيا

تُجرى الاختبارات نفسها عن بُعد على أنظمتكم التي يمكن الوصول إليها من الخارج وضمن نطاق متفق عليه، لذا فإن المسافة لم تكن يومًا القيد الذي تبدو عليه. يمكن لأي شركة، أينما كانت، أن يُحدَّد نطاقها ويُقيَّم أمنها وتُختبر أنظمتها دون أن يحجز أحد تذكرة طيران. وإدارة هذه الممارسة من إسبانيا يضع المهمة تحت الولاية القضائية للاتحاد الأوروبي، وكل ما نلمسه أثناء الاختبار يُعامَل بالانضباط ذاته المتوافق مع اللائحة العامة لحماية البيانات (GDPR) الذي نطبّقه على كل ما نبنيه.

إذا أردتم معرفة وضعكم الحقيقي

أخبرونا بما تودّون تقييمه، وإلى أين نرسل النتائج.

اطلبوا تقييمكم المجاني

يصف هذا المقال ممارستنا الخاصة في الاختبار بعبارات عامة؛ ويتوقف النطاق الدقيق والمنهجية والالتزامات القانونية المطبَّقة عليكم على أنظمتكم وقطاعكم وولايتكم القضائية. هذا محتوى معلوماتي عام، وليس استشارة قانونية أو استشارة امتثال — وإذا كنتم تعملون في قطاع خاضع للتنظيم، فيُرجى التأكد من التزاماتكم المحددة بالاختبار لدى مستشاري الامتثال الخاصين بكم.