الرئيسية›الأدلة›ماذا تفعل إذا…
ماذا تفعل إذا…
برنامج فدية انطلق للتو
إذا كان برنامج فدية يشفّر البيانات الآن، فافصل الأجهزة عن الشبكة فورًا، ولا تُطفئها دون سبب، ولا تستعِد شيئًا قبل تحديد النسخة السليمة. السرعة المفيدة هي التي توقف الانتشار، لا التي تعيد تثبيت Windows خلال ساعة.
الأساسيات
- اقطع الإنترنت وافصل الأجهزة المصابة: كابل الشبكة وWi-Fi. لا تُطفئها، فالذاكرة تحتوي على آثار مفيدة.
- لا تدفع: تذكّر ANSSI (الوكالة الفرنسية للأمن السيبراني) بأن الدفع لا يضمن الحصول على وسيلة لفك التشفير.
- غيّر كلمات المرور من جهاز لم يكن متصلًا بالشبكة المصابة.
- قدّم شكاية قبل إعادة التثبيت، وأبلغ شركة التأمين، وصرّح بالحادث لدى maCERT (إلزامي للمؤسسات الخاضعة للقانون رقم 05-20).
- استعِد نسخة سابقة للاختراق، على أجهزة سليمة، وليس أبدًا على الشبكة التي لا تزال مصابة.
في الدقائق الأولى
- افصل مقابس الشبكة وWi-Fi عن محطات العمل والخوادم التي تشفّر البيانات أو التي يمكن الوصول إليها منها. واقطع كذلك اتصال الشبكة المهاجَمة بالإنترنت لاحتواء الانتشار. ويُفصل أيضًا جهاز NAS السليم إذا كان موصولًا بهذه الأجهزة.
- لا تُطفئ الأجهزة المصابة: فذاكرتها تحتوي على آثار مفيدة للتحقيق. وتنصح ANSSI بوضعها في حالة السبات إذا استمر التشفير. ولا تُعِد تشغيل الأجهزة السليمة التي كانت مطفأة أصلًا.
- لا تدفع ولا ترد على رسالة الفدية قبل التواصل مع الإدارة، ومع شركة التأمين إن وُجدت. وتذكّر ANSSI بأن الدفع لا يضمن الحصول على وسيلة لفك التشفير.
- اتصل بالشخص المسؤول عن إدارة الأنظمة وبمزوّد النسخ الاحتياطي. وأخبرهما بما تم فصله.
- صوّر شاشة الفدية (اسم المجموعة، العنوان، امتداد الملفات). يفيد ذلك في التعرف على المهاجمين وفي ملف التأمين.
- لا تُعِد التهيئة. قد تظل الأقراص المشفّرة تحتوي على ملفات سليمة وعلى آثار. توضع جانبًا بعد عزلها.
- غيّر كلمات المرور لحسابات المسؤولين وVPN والبريد الإلكتروني ووحدة إدارة النسخ الاحتياطي من هاتف أو جهاز لم يكن متصلًا بالشبكة، لا من حاسوب لا يزال مشكوكًا فيه.
ابدأ من الآن سجلًّا للأحداث: الوقت، والإجراء، والشخص. ويوصي مرجع DGSSI بجمع الأدلة وتخزينها بطريقة آمنة؛ وسيطلب المحققون وشركة التأمين هذا السجل أيضًا.
في الساعات التالية
- شكّل خلية أزمة، ولو مصغّرة: الإدارة، وتقنية المعلومات، والشؤون القانونية، والتواصل. وتشدد ANSSI على تواصل أزمة مُعَدّ مسبقًا، داخليًا وخارجيًا.
- قدّم شكاية لدى الشرطة (DGSN) أو الدرك الملكي أو وكيل الملك، قبل إعادة تثبيت الأجهزة. فالاختراقات التي تطال نظم المعالجة الآلية للمعطيات يعاقب عليها القانون الجنائي (القانون رقم 07-03). احتفظ بالسجلات ورسالة الفدية وعينات من الملفات المشفّرة.
- أبلغ شركة التأمين السيبراني قبل أي استعادة واسعة إذا اشترط العقد ذلك، مع احترام آجال التصريح المنصوص عليها فيه.
- صرّح بالحادث لدى DGSSI: إذا كانت مؤسستك خاضعة للقانون رقم 05-20 (الإدارات، والبنيات التحتية ذات الأهمية الحيوية، ومتعهدو ومزوّدو الخدمات الرقمية)، فإن التصريح إلزامي فور العلم بالحادث (المادتان 8 و33). ويدعو maCERT كل مؤسسة إلى التصريح بحوادثها: تُرسل الاستمارة إلى [email protected]. وإذا تضررت بيانات شخصية، فاطلب تقييم التزاماتك بموجب القانون رقم 09-08؛ ويؤكد المستشار القانوني الحالة.
- اطلب المساعدة: يقدّم maCERT (DGSSI) مساعدة في الاستجابة للحوادث ([email protected]، الهاتف +212 5 37 57 21 47 / +212 5 37 54 06 90). لكنه ليس خدمة إصلاح تتولى الاستعادة بدلًا منك.
- ابحث عن تاريخ البداية: حسابات أُنشئت، مهام مجدولة، أول امتداد ملف غريب. يجب أن تكون النسخة الاحتياطية المراد استعادتها أقدم من هذا التاريخ.
- تحقّق من أن وحدة إدارة النسخ الاحتياطي لم تُفرَغ هي الأخرى. إذا كانت النسخة ثابتة أو غير متصلة بالشبكة، فيجب أن تكون لا تزال موجودة. وتعتبر ANSSI النسخة الاحتياطية غير المتصلة ضرورية، تحديدًا لهذا السيناريو.
من يجب إبلاغه: ملخص
| الجهة | متى | لماذا |
|---|---|---|
| تقنية المعلومات ومزوّد النسخ الاحتياطي | فورًا | العزل، وحالة النسخ |
| الإدارة | فورًا | القرارات، والتواصل، والفدية |
| شركة التأمين السيبراني | خلال الساعات الأولى | التكفّل، والخبراء المكلَّفون |
| الشرطة أو الدرك الملكي أو وكيل الملك | قبل إعادة التثبيت | الشكاية، والتحقيق، والأدلة |
| DGSSI (maCERT) | فور العلم بالحادث | إلزامي بموجب القانون رقم 05-20، وموصى به للجميع |
| العملاء والشركاء | بعد قرار الإدارة | تفادي الاحتيال والشائعات |
ما لا يجب فعله
- إعادة توصيل جهاز «للتجربة».
- استعادة نسخة الأمس على الخادم الذي لا يزال مصابًا.
- تشغيل أداة فك تشفير محمّلة عشوائيًا: فبعضها برامج خبيثة جديدة. والأدوات الموثوقة يجمعها مشروع No More Ransom المدعوم من Europol.
- إعلان العملاء بأن «كل شيء قد سُوّي» قبل استعادة تم التحقق منها.
تجد الخطوات التالية، بعد احتواء الطوارئ، في ماذا تفعل بعد هجوم سيبراني؟ وكيف تعيد تشغيل نظامك المعلوماتي بعد هجوم فدية؟. وإذا أطاح الهجوم بخادم، فطريقة الاستعادة مفصّلة في توقّف الخادم عن العمل: ماذا تفعل؟.
لدى WeDoBack
إذا لم تُحذف نسخ WeDoBack، فهي مخزنة على خوادم مخصصة للنسخ الاحتياطي، منفصلة عن بيئة الإنتاج، ومشفّرة بمفتاح العميل. ويمنع العرض الثابت (IMMUABLE)، إذا كان يغطي الفترة المعنية، حذف هذه النسخ. وتتيح خطة PRA إعادة تشغيل الخوادم على نسخ احتياطية جاهزة انطلاقًا من الإصدار المختار؛ ويُفوتَر التفعيل عند وقوع الكارثة حسب عدد الأيام. اتصل بالرقم +33 9 72 50 78 28، من 09:00 إلى 13:00 ومن 14:00 إلى 17:30 (بتوقيت باريس)، بعد أن تكون قد عزلت الأجهزة: فمزوّد النسخ الاحتياطي لا يستطيع فصل مقابسك عن بُعد. ويجب أن يكون مفتاح التشفير معروفًا لدى شخص يمكن الوصول إليه: فمن دونه لا تكون أي استعادة ممكنة.
أسئلة شائعة
هل يجب إطفاء الأجهزة المشفّرة؟
لا، كقاعدة عامة. توصي المديرية العامة لأمن نظم المعلومات (DGSSI) بجمع الأدلة والحفاظ عليها: لذلك لا تُطفأ الأجهزة المصابة، بل تُفصل عن الشبكة. وتقترح ANSSI (الوكالة الفرنسية للأمن السيبراني) وضعها في حالة السبات إذا استمر التشفير. أما الأجهزة السليمة التي كانت مطفأة أصلًا، فلا يُعاد تشغيلها.
هل يجب دفع الفدية لاسترجاع البيانات؟
تنصح وكالات الأمن السيبراني، مثل ANSSI، بعدم الدفع. فالدفع لا يضمن الحصول على المفتاح، ولا عمله بشكل صحيح، ولا عدم تكرار الهجوم، كما أنه يموّل المهاجمين. القرار يعود إلى الإدارة، لكنه لا يُتخذ على عجل، ولا يُتخذ أبدًا قبل التحقق من حالة النسخ الاحتياطية.
من يجب إبلاغه، وفي أي أجل؟
مزوّد خدمات تقنية المعلومات ومزوّد النسخ الاحتياطي فورًا، وشركة التأمين السيبراني بسرعة وضمن الآجال المنصوص عليها في عقدك، والشرطة أو الدرك الملكي أو وكيل الملك عبر تقديم شكاية قبل إعادة التثبيت. يتلقى maCERT (DGSSI) التصريحات بالحوادث: وإذا كانت مؤسستك خاضعة للقانون رقم 05-20، فإن التصريح إلزامي فور العلم بالحادث. وإذا تضررت بيانات شخصية، فاطلب تقييم التزاماتك بموجب القانون رقم 09-08.
هل يمكن استخدام أداة فك تشفير مجانية؟
فقط إذا كانت صادرة عن مصدر موثوق، مثل مشروع No More Ransom المدعوم من Europol، الذي يجمع أدوات لبعض عائلات برامج الفدية. فأداة «فك تشفير» محمّلة عشوائيًا قد تكون برنامجًا خبيثًا جديدًا.
لمزيد من المعلومات
المصادر
وثائق اطُّلع عليها في أكتوبر 2026.
- مرجع تدبير حوادث الأمن السيبراني — DGSSI
- هجمات برامج الفدية، الجميع معني: كيف تستبقها وتتصرف عند وقوع حادث؟ (الإصدار 1.0، غشت 2020) — ANSSI ووزارة العدل الفرنسية
- التصريح بالحوادث (maCERT) — DGSSI
- maCERT: المساعدة في الاستجابة للحوادث — DGSSI
- النسخ الاحتياطي لنظم المعلومات – الأساسيات (ANSSI-BP-100، الإصدار 1.1، 27 نونبر 2025) — ANSSI
- عرض PRA (خطة استئناف النشاط) — WeDoBack
هل تحتاج إلى مساعدة الآن؟
لا تستعِد أي شيء قبل التأكد من وجود نسخة سليمة. يمكننا إرشادك.
اتصل على الرقم +33 9 72 50 78 28أو راسلناهل تواجه حادثًا الآن؟
تساعدك فرقنا على تحديد النسخة السليمة واستعادتها، من الاثنين إلى الجمعة من 9:00 إلى 13:00 ومن 14:00 إلى 17:30 (بتوقيت باريس).