الأساسي
- اقطعوا الاتصالات الشبكية للأجهزة المصابة دون إطفائها: فالذاكرة تحتوي على أدلة توصي المديرية العامة لأمن نظم المعلومات (DGSSI) بجمعها والاحتفاظ بها.
- لا تدفعوا الفدية: فاسترجاع البيانات غير مضمون، والدفع يموّل المهاجم.
- إذا كان لديكم تأمين سيبراني، أبلغوا شركة التأمين دون تأخير والتزموا بآجال التصريح المنصوص عليها في عقدكم.
- إذا كانت مؤسستكم خاضعة للقانون رقم 05-20، يجب التصريح لدى DGSSI فور العلم بالحادث؛ أما غيرها، فيدعوها maCERT إلى التصريح بكل حادث.
- استعيدوا آخر نسخة سابقة للاختراق، على شبكة نظيفة، لا أحدث نسخة على الشبكة المصابة.
الساعات الأولى
هذه الصفحة إطار لاتخاذ القرار. وهي لا تغني عن مزوّد خدمات الاستجابة للحوادث، ولا، حسب درجة الخطورة، عن التصريحات لدى شركة التأمين والشرطة وDGSSI (maCERT).
- تعيين صاحب قرار. شخص واحد، لا محادثة جماعية تضم عشرين مشاركًا. هو من يأذن بعمليات الفصل. وتوصي ANSSI (الوكالة الفرنسية للأمن السيبراني) بفتح سجل للأحداث منذ البداية: من فعل ماذا، وفي أي ساعة.
- العزل دون محو كل شيء. اقطعوا اتصال الشبكة المهاجَمة بالإنترنت، ثم افصلوا الأجهزة المشبوهة عن الشبكة (الكابل، Wi-Fi، VPN). الإطفاء ليس ردّ الفعل الصحيح افتراضيًا: فقد تحتوي الذاكرة على عناصر مفيدة للتحليل. في المقابل، ترك خادم يشفّر بقية الشبكة أسوأ. ولا تعيدوا كذلك تشغيل الأجهزة السليمة التي كانت مطفأة.
- عدم الدفع تحت الضغط. الدفع غير مستحسن: فالفدية لا تضمن الحصول على المفتاح، ولا عدم احتفاظ المهاجم بنسخة من البيانات، ولا عدم عودته، كما أنها تموّل هجمات جديدة.
- الإبلاغ: الإدارة العامة، ومزوّد خدمات تقنية المعلومات، وشركة التأمين، والمستشار القانوني إذا كانت معطيات شخصية معنية (القانون رقم 09-08).
- الاحتفاظ بأثر: ساعة الاكتشاف، وما تم فصله، ولقطات الشاشة، ورسالة الفدية، والسجلات. لا تعيدوا تهيئة الأقراص المصابة ما دامت نسخة سليمة لم تُؤكَّد، وما دامت شركة التأمين أو التحقيق لم يحدّدا ما إذا كان يجب الحفاظ على الأصول.
الآجال الجارية
| الإجراء | الأجل | الجهة |
|---|---|---|
| تقديم الشكاية | في أقرب وقت ممكن، قبل أي إعادة تثبيت | الشرطة (DGSN)، أو الدرك الملكي، أو وكيل الملك |
| التصريح بالحادث المؤمَّن عليه | حسب العقد، وغالبًا ما يكون قصيرًا جدًا | شركة التأمين |
| التصريح بالحادث (المؤسسات الخاضعة للقانون رقم 05-20) | فور العلم بالحادث | DGSSI (maCERT: [email protected]) |
| إخبار الأشخاص المعنيين | في أقرب الآجال، إذا كانت معطياتهم متأثرة | العملاء والأجراء المتضررون |
| التسجيل في السجل الداخلي للحوادث | بشكل منهجي | داخليًا |
يجب تقديم الشكاية قبل إعادة تثبيت الأجهزة، حتى تظل الأدلة التقنية متاحة. وللمساعدة الفورية، يقدّم maCERT (التابع لـDGSSI) دعمًا في الاستجابة للحوادث: [email protected]، الهاتف +212 5 37 57 21 47 / +212 5 37 54 06 90.
استعادة حالة سليمة
- ابحثوا عن آخر نسخة احتياطية سابقة للنشاط غير الطبيعي، وليس بالضرورة الأحدث. فالأحدث تكون غالبًا ملوَّثة أو مشفَّرة بالفعل.
- تحقّقوا من أن هذه النسخة خارج الشبكة المهاجَمة، وأن حسابًا للمهاجم لم يعد قادرًا على محوها. هنا تحديدًا تتجلّى أهمية عدم القابلية للتغيير.
- لا تُجروا الاستعادة على الأجهزة التي لا تزال متصلة بالشبكة المخترقة. تتم الاستعادة على شبكة نظيفة، أو على مثيلات احتياطية معزولة، بعد تغيير كلمات المرور وسحب صلاحيات الوصول المشبوهة.
تصف ANSSI المعالجة في أربع مراحل: الاحتواء، ثم طرد المهاجم، ثم الاستئصال، ثم إعادة البناء. والاستعادة قبل طرد المهاجم تعني تسليمه نظامًا جديدًا. تفاصيل إعادة التشغيل التقنية موجودة في كيف تعيد تشغيل نظامك المعلوماتي بعد برنامج فدية؟. أما قائمة الإجراءات الفورية فموجودة في برنامج فدية انطلق للتو.
ما لا ينبغي تصديقه
- «برنامج مكافحة الفيروسات حذف كل شيء، يمكننا إعادة الفتح.» ربما رصد التشفير، لا الحسابات التي أُنشئت قبل ثلاثة أسابيع.
- «نسخة الأمس الاحتياطية تكفي.» ليس إذا كان الاختراق يعود إلى ثلاثة أسابيع.
- «خطة PCA انتقلت إلى الموقع الاحتياطي، إذن نحن في أمان.» إذا كان الموقع الاحتياطي قد تلقّى الملفات المشفَّرة نفسها، فهو في الحالة نفسها. يلزم الرجوع إلى إصدار تاريخي.
- «في غضون يومين، سيعود كل شيء إلى العمل.» تذكّر ANSSI بأن المعالجة بعد حادث كبير قد تستغرق عدة أسابيع، بل عدة أشهر. خطّطوا لنمط تشغيل منقوص طوال هذه المدة.
بعد ذلك
تقرير ختامي، وتغيير الأسرار، وتصحيح مسار الدخول (حساب دون عامل مصادقة ثانٍ، نسخة احتياطية قابلة للمحو، غياب التنبيه)، واختبار استعادة جديد. فالهجوم الذي لا يتبعه تغيير في الممارسات يتكرّر.
لدى WeDoBack
تُخزَّن النسخ على خوادم مخصّصة للنسخ الاحتياطي، منفصلة عن بيئة الإنتاج وخارج شبكة العميل. إذا كان عرض ثابت (IMMUABLE) مفعّلًا خلال الفترة المعنية، فلا يمكن أن يكون المهاجم قد عدّل هذه النسخ أو حذفها. ويتيح عرض PRA إعادة تشغيل الخوادم على مثيلات احتياطية انطلاقًا من إصدار مختار، ما يجنّب الاستعادة على شبكة لا تزال موضع شك؛ ويُفوتر التفعيل عند وقوع الكارثة باليوم. مفتاح التشفير يحتفظ به العميل: ويجب أن يكون متاحًا لإجراء الاستعادة. يمكن التواصل مع الدعم على الرقم +33 9 72 50 78 28 أو عبر [email protected]، من 9:00 إلى 13:00 ومن 14:00 إلى 17:30 (بتوقيت باريس). تستعيد WeDoBack الأنظمة المنسوخة احتياطيًا. لكنها لا تتولّى وحدها التحقيق في الاختراق ولا التصريحات لدى السلطات (DGSSI، maCERT): يجب التخطيط لهذه الأدوار في مكان آخر.
الأسئلة الشائعة
هل يجب إطفاء الحواسيب بعد هجوم سيبراني؟
كقاعدة عامة، لا: افصلها عن الشبكة (الكابل، Wi-Fi) دون إطفائها، للحفاظ على العناصر المفيدة للتحقيق والموجودة في الذاكرة. غير أن هناك استثناءً مقبولًا: إذا كان التشفير لا يزال جاريًا ولا يمكن إيقافه بطريقة أخرى، فقد يصبح الإطفاء ضروريًا.
في أي أجل يجب تقديم الشكاية؟
في أقرب وقت ممكن، وقبل إعادة تثبيت الأجهزة. إذا كنتم مؤمَّنين ضد المخاطر السيبرانية، فأبلغوا شركة التأمين دون تأخير والتزموا بآجال التصريح المنصوص عليها في عقدكم. تُقدَّم الشكاية لدى الشرطة (المديرية العامة للأمن الوطني DGSN) أو الدرك الملكي أو وكيل الملك؛ ويعاقب القانون الجنائي (القانون رقم 07-03) على اختراق نظم المعالجة الآلية للمعطيات.
هل يجب التصريح بهجوم برنامج فدية؟
في أغلب الأحيان، نعم. إذا كانت مؤسستكم خاضعة للقانون رقم 05-20 (الإدارات، والبنيات التحتية ذات الأهمية الحيوية، والمشغلون ومقدمو الخدمات الرقمية)، فيجب التصريح بالحادث لدى المديرية العامة لأمن نظم المعلومات (DGSSI) فور العلم به (المادتان 8 و33). وفي جميع الحالات، يدعو maCERT إلى التصريح بأي حادث: استمارة تُرسل إلى [email protected]. كما أن ملفات العملاء أو الأجراء المشفَّرة تمس معطيات شخصية يُلزم القانون رقم 09-08 بحمايتها من الإتلاف أو الضياع العرضي (المادة 23): اطلبوا تقييم التزاماتكم في هذا الشأن وسجّلوا الحادث في سجل داخلي.
كم تستغرق العودة إلى الوضع الطبيعي؟
بالنسبة لحادث كبير، تشير الوكالة الوطنية الفرنسية لأمن نظم المعلومات (ANSSI) إلى أن المعالجة قد تمتد لعدة أسابيع، بل لعدة أشهر. ويمكن إعادة تشغيل الخدمات الأكثر حساسية في وقت أبكر، على بنية تحتية نظيفة أو احتياطية، بينما يُعاد بناء الباقي.
للتعمق أكثر
المصادر
وثائق اطُّلع عليها في أكتوبر 2026.
هل لديك مشروع نسخ احتياطي أو PRA أو PCA؟
أكثر من 20 عامًا من الخبرة في حماية بيانات الشركات.
طلب عرض أسعار+33 9 72 50 78 28احمِ بياناتك مع WeDoBack
نسخ احتياطي مشفّر خارج الموقع، وتخزين ثابت غير قابل للتعديل، وخطة PRA وخطة PCA: صِف لنا خوادمك، ونقترح عليك التركيبة المناسبة.