الخلاصة: هجوم ConnectWise استغل تطبيق نسخ احتياطي موثوقاً للوصول إلى بيئات Microsoft 365 لدى عملائه. وبحسب Microsoft، استخدم المهاجمون أداة تقودها وكلاء ذكاء اصطناعي وبلغوا أكثر من 2,250 مستأجراً بمعدل 2,900 محاولة دخول في الدقيقة.
هجوم ConnectWise هو هجوم سلسلة توريد بدأ في 15 أكتوبر 2026، استهدف عملاء خدمة ConnectWise Cloud Backup عبر صلاحيات التطبيق نفسه داخل حساباتهم في Microsoft 365. وفي 21 أكتوبر 2026 أعلنت Microsoft أن المهاجمين استخدموا ARTEX، وهو إطار اختبار اختراق مفتوح المصدر تديره وكلاء ذكاء اصطناعي. والنتيجة هجوم واحد طال مئات المؤسسات حول العالم في وقت قصير.
ما الذي حدث بالترتيب؟
تجمع التقارير المنشورة تسلسلاً واضحاً للأحداث:
| التاريخ (2026) | الحدث | المصدر |
|---|---|---|
| سبتمبر | أقدم استخدام معروف لأداة ARTEX من المجموعة المهاجمة | Microsoft عبر CyberScoop |
| 11–14 أكتوبر | حملة رش كلمات مرور على 327 حساباً في 8 مؤسسات، بلا نجاح | Microsoft عبر CyberScoop |
| 13–14 أكتوبر | رصد Huntress محاولات رش كلمات مرور ضد أربعة مكاتب محاماة | The Record |
| 15 أكتوبر | انطلاق حملة سلسلة التوريد عبر تطبيق ConnectWise | Sophos وMicrosoft |
| 16–17 أكتوبر | ConnectWise تعلن التحقيق ثم تؤكد الوصول غير المصرّح وتوقف الخدمات | The Record |
| 21 أكتوبر | Microsoft تنشر تحليلها وConnectWise تبدأ استعادة الخدمات على مراحل | CyberScoop ورويترز |
نسبت Microsoft الهجوم إلى مجموعة تتبعها منذ 2021 باسم Storm-0940. وقالت إن الأهداف شملت قطاعات الطيران والطاقة والخدمات المالية والقانون والتصنيع والتقنية والمنظمات غير الربحية وغيرها.
كيف تحوّل تطبيق النسخ الاحتياطي إلى باب خلفي؟
تطبيقات النسخ الاحتياطي تحتاج بطبيعتها إلى صلاحيات قراءة واسعة على البريد والملفات وTeams ودليل المستخدمين. وهذا ما جعلها هدفاً مثالياً.
بحسب The Record، قالت Huntress إن بيانات اعتماد مخترقة خاصة بـConnectWise Cloud Backup استُخدمت للوصول إلى بيئات العملاء. ورجّحت Microsoft أن المهاجمين استغلوا صلاحيات منحها العملاء للتطبيق سابقاً، ومنها صلاحيات مرتفعة على الدليل.
ووصفت Sophos ما رصدته صباح 15 أكتوبر بدقة:
- استمر النشاط نحو 96 دقيقة، من خادم افتراضي واحد.
- طلب المهاجم رمز وصول واحداً لكل مستأجر، بهوية التطبيق لا بهوية مستخدم.
- لم يحتج الدخول إلى كلمة مرور مستخدم ولا إلى تحقق متعدد العوامل.
- شمل المسح مستأجرين لا يملكون اشتراكاً فعالاً، ما يشير إلى قائمة بكل من وافق على التطبيق يوماً.
لاحظت Sophos أن المستأجرين استُهدفوا بترتيب تصاعدي وبفواصل منتظمة، وهي علامات على سكربت آلي لا على يد بشرية.
ما دور وكلاء الذكاء الاصطناعي في الهجوم؟
هنا تكمن الجدّة. تصف Microsoft أداة ARTEX بأنها منظومة وكلاء يقودها نموذج لغوي، تنفذ اختبار اختراق كاملاً من الاستطلاع حتى سحب البيانات بتدخل بشري محدود. وبحسب رويترز، يمكن ربطها بأي نموذج ذكاء اصطناعي.
ونقلت CyberScoop عن Microsoft أن المجموعة استخدمت الأداة للوصول إلى أكثر من 2,250 مستأجراً بمعدل 2,900 محاولة تسجيل دخول في الدقيقة. وفي بعض البيئات تجاوز الوكلاء مرحلة الدخول إلى عمليات على الدليل عبر Microsoft Graph. وشملت هذه العمليات الاستطلاع وتعديل بيانات اعتماد التطبيقات وتغيير الهويات والمجموعات والأدوار المميزة.
وتقول Microsoft إن معظم محاولات الاستهداف فشلت. لكن المجموعة حققت وصولاً مميزاً مستمراً في السحابة لدى مؤسسات كثيرة خلال وقت قصير، وهو وصول قد يصمد حتى بعد التنظيف.
هل ARTEX أداة جديدة على المدافعين؟
لا. فقد ربطت شركة GMO Cybersecurity اليابانية، بحسب وكالة جيجي برس في 20 أكتوبر 2026، هجمات على شركات مالية ولوجستية يابانية بستة خوادم تعمل بالأداة نفسها. وأعلنت ثماني شركات مستهدفة عن تسرب معلومات بين سبتمبر وأكتوبر. كما يُعتقد أن الأداة استُخدمت ضد مؤسسات مالية في كوريا الجنوبية.
لماذا لا يكفي تغيير كلمة المرور؟
لأن المهاجم ربما بنى طرقاً بديلة للعودة. قالت Huntress إن تدوير بيانات اعتماد المورّد «ضروري لكنه غير كافٍ». فمن يملك صلاحيات إدارية يستطيع إنشاء تطبيقات جديدة أو إعادة تعيين بيانات اعتماد أو تعديل سياسات الوصول المشروط.
وحذّر الرئيس التنفيذي لـConnectWise، Manny Rivelo، بحسب رويترز، من أن خطوات الاحتواء لا تزيل الوصول غير المصرّح الذي قد يكون موجوداً داخل بيئات العملاء. ولذلك تحتاج كل بيئة إلى مراجعة مستقلة.
وفي المقابل، أكدت ConnectWise أنه لا يوجد ما يشير إلى المساس ببيانات النسخ الاحتياطي. وقالت إنها ألغت الشهادات المستخدمة في اتصالات التطبيق لدى جميع المستخدمين.
ماذا يعني هذا للسعودية والخليج؟
الشركات في المملكة والخليج التي تعتمد على Microsoft 365 وتدير تقنيتها عبر مزوّدي خدمات مُدارة معنية بهذا الهجوم مباشرة. فهؤلاء المزوّدون يستخدمون أدوات نسخ احتياطي وإدارة عن بُعد بصلاحيات واسعة. وفي هذا النموذج، اختراق أداة واحدة لدى المزوّد قد يفتح أبواب عشرات العملاء.
وتغطي «ضوابط الأمن السيبراني للحوسبة السحابية» الصادرة عن الهيئة الوطنية للأمن السيبراني جانباً من هذه المخاطر. لكن الضوابط لا تغني عن مراجعة عملية لمن يملك صلاحيات داخل بيئتك اليوم. ويناسب هذا السياق مبدأ «الثقة الصفرية» الذي شرحناه في الأمن السيبراني ومعمارية الثقة الصفرية في الشركات السعودية.
كيف تراجع بيئة Microsoft 365 لديك؟
اعتماداً على توصيات Sophos وHuntress، هذه خطوات دفاعية عملية:
- راجع التطبيقات المصرّح لها: افتح قائمة تطبيقات المؤسسة في Entra، وأزل موافقة أي تطبيق متوقف أو غير مستخدم.
- افحص سجلات الدخول: ركّز على دخول هويات التطبيقات بين 15 و17 أكتوبر 2026 إن كنت من عملاء الخدمة.
- ابحث عن التغييرات منذ 13 أكتوبر: بيانات اعتماد جديدة، أو تطبيقات، أو موافقات، أو إسناد أدوار إدارية.
- طبّق أقل الصلاحيات: لا تمنح أي تطبيق صلاحية كتابة على الدليل ما لم تكن ضرورية فعلاً.
- راقب الدخول الآلي: معدلات محاولات دخول غير طبيعية علامة مبكرة على وكلاء هجوميين.
ما الدرس الأوسع؟
هجوم ConnectWise يضيف حلقة جديدة إلى سلسلة أكتوبر 2026، بعد قصة الهاكر الذي استخدم سرباً من الوكلاء وحوادث «أكتوبر الأسود». والقاسم المشترك هو الأتمتة الهجومية بالوكلاء، وهي فكرة تمتد حتى إلى ديدان الذكاء الاصطناعي بين الأجهزة الذكية. وللصورة الكاملة راجع دليل الأمن السيبراني في عصر الذكاء الاصطناعي.
وإن أردت مراجعة صلاحيات التطبيقات في بيئتك السحابية بشكل منظم، يمكن لفريق الأمن السيبراني مساعدتك.
الأسئلة الشائعة
ما هو هجوم ConnectWise باختصار؟
هجوم سلسلة توريد بدأ في 15 أكتوبر 2026، استُغلت فيه بيانات اعتماد تطبيق ConnectWise Cloud Backup للوصول إلى بيئات Microsoft 365 لدى عملائه. وتقول Microsoft إن المهاجمين استخدموا أداة ARTEX التي تقودها وكلاء ذكاء اصطناعي.
كيف تجاوز المهاجمون التحقق متعدد العوامل؟
لم يسجلوا الدخول كمستخدمين. بحسب Sophos، تصرّف المهاجم بهوية التطبيق نفسه وطلب رموز وصول خاصة بالتطبيق، وهذا النوع من الدخول لا يتطلب كلمة مرور مستخدم ولا تحققاً متعدد العوامل.
هل سُرقت بيانات النسخ الاحتياطي؟
قالت ConnectWise إنه لا يوجد ما يشير إلى المساس ببيانات النسخ الاحتياطي. وأكدت Microsoft أن نجاح الدخول لا يعني بالضرورة الوصول إلى بيانات العملاء أو سحبها.
شركتي لا تستخدم ConnectWise، فهل يعنيني الأمر؟
نعم. الدرس عام لأي تطبيق طرف ثالث منحته صلاحيات واسعة على بريدك أو ملفاتك أو دليل المستخدمين. راجع قائمة التطبيقات المصرّح لها في بيئتك وأزل ما لا تحتاجه.
ما أداة ARTEX؟
تصفها Microsoft بأنها إطار مفتوح المصدر لاختبار الاختراق، يتكون من وكلاء يقودهم نموذج لغوي وينفذون اختباراً كاملاً من الاستطلاع حتى سحب البيانات بتدخل بشري محدود. وتقول Microsoft إن أكثر من جهة تهديد تستخدمها.
المصادر
- CyberScoop — «Microsoft pins ConnectWise supply-chain attack to China-state aligned threat group» — 21 أكتوبر 2026 — cyberscoop.com
- رويترز (منشور عبر KFGO) — «Chinese-linked hackers compromise ConnectWise, target hundreds in global attack, Microsoft says» — 21 أكتوبر 2026 — kfgo.com
- The Record — تعليق ConnectWise لخدمة النسخ الاحتياطي السحابي بعد الهجوم — أكتوبر 2026 — therecord.media
- Sophos — «ConnectWise Cloud Backup application abused in token sweep» — أكتوبر 2026 — sophos.com
- Nippon.com نقلاً عن جيجي برس — «Chinese AI Tool Likely Used in Cyberattacks on Japan Firms» — 20 أكتوبر 2026 — nippon.com
آخر تحديث للمعلومات: 26 أكتوبر 2026 — فريق تحرير تكنولوجيا سعودية.
