X-Force Threat Intelligence Index 2026

خلال العامين الماضيين، أبلغ X-Force عن استغلال بيانات الاعتماد الصحيحة كأبرز وسيلة وصول أوَّلي يستخدمها المهاجمون عبر مختلف الصناعات والمناطق.

جاذبية استخدام بيانات اعتماد شرعية للوصول إلى البنى التحتية جذبت المهاجمين بسبب سهولتها النسبية وارتفاع معدل نجاحها. ومع ذلك، لاحظ X-Force في 2025 تحوُّلًا كبيرًا في هذا التوجُّه. شهدنا زيادة بنسبة 44% في الحوادث الناجمة عن استغلال التطبيقات المتاحة للعامة. شكَّلت هذه الزيادة 40% من الحالات، في حين مثَّل استخدام بيانات الاعتماد الصحيحة 32% فقط من الحالات. التطبيقات المواجهة للعامة عُرضة للاستغلال عبر ثغرات أمنية أو إعدادات خطأ تتعلق بنشر التطبيق أو تكوينه، أو كليهما معًا.

تفاقم هذا الاتجاه مع تزايد الهجمات على سلسلة التوريد التي تستهدف بشكل متزايد بيئات التطوير والبنية التحتية الموثوق بها، ما يعني أن الثغرات الأمنية يتم استغلالها في مراحل أبكر من دورة حياة البرمجيات وعلى نطاق أوسع بكثير. قد يكون هذا التحوُّل مرتبطًا أيضًا بنقاط الضعف في بيئات العملاء التي رصدها X‑Force Red (ويوضِّحها لاحقًا في هذا التقرير)، حيث قدَّمت الأخطاء في التهيئة، وضعف المصادقة، والرمز غير الآمن -المحددة في CAPEC‑180 وCAPEC‑49 وCAPEC‑242 من Common Attack Pattern Enumeration and Classification- نقاط دخول سهلة بشكل مستمر. معًا، أدت الهشاشة النظامية في بيئات سلسلة التوريد وانتشار هذه الثغرات الأمنية الأساسية الموثَّقة في CAPEC إلى تسريع استغلال الثغرات الأمنية بشكل كبير طوال عام 2025.

بالإضافة إلى ذلك، لاحظنا زيادة في جهود الاكتشاف والإبلاغ خلال 2025. تحتفظ X‑Force بقاعدة بيانات تتعقب الثغرات الأمنية بمرور الوقت، وأشارت بياناتنا إلى اتجاه تصاعدي ملحوظ للثغرات الأمنية الجديدة على أساس سنوي. يشير هذا الاتجاه إلى تزايد تعقيد بيئات البرمجيات وتوسُّع سطح الهجوم ليشمل أنظمة الذكاء الاصطناعي. من المحتمل أيضًا أن هذه الزيادة في الإبلاغ عن الثغرات الأمنية قد تكون نتيجة جزئية لاستخدام الباحثين والمهاجمين الذكاء الاصطناعي وأدوات التعلم الآلي لتحديد الثغرات.

بالإضافة إلى ذلك، يمكن تصنيف الثغرات الأمنية التي تم تتبُّعها إلى فئتين حسب إذا ما كانت تتطلب المصادقة للاستغلال أم لا. تكشف البيانات أن معظم الثغرات الأمنية (56%) يمكن استغلالها دون مصادقة، ما يزيد بشكل كبير من سطح الهجوم المحتمل. يؤكِّد هذا التوجُّه وجود قضية أمنية حرجة. الأنظمة التي تفتقر إلى ضوابط المصادقة تكون أكثر عرضة للوصول غير المصرح به والاستغلال، ما يجعل من الضروري على المؤسسات تطبيق آليات مصادقة قوية وفرض سياسات وصول صارمة.

رغم أنها لم تَعُد أبرز وسيلة وصول أوَّلي، مثَّلت إساءة استخدام الحسابات الصحيحة ما يقارب ثلث الحالات، ما يشير إلى استمرار الاعتماد على بيانات الاعتماد الشرعية. تظل بيانات الاعتماد الشرعية من أبرز نقاط الدخول المفضلة للمهاجمين، لأنها تُلغي الحاجة إلى الاستغلال وتمكِّن الخصوم من الاندماج بسلاسة في عملية المصادقة العادية. ويتضح هذا النمط في عدة تحقيقات أجراها IBM X-Force.

تُظهر الحملات التي تعتمد على سرقة بيانات الاعتماد كخطوة تمهيدية نفس النمط:

• نفَّذت Hive0145 في 2025 عملية ضد مؤسسات ألمانية تضمَّنت استخدام Strela Stealer خصوصًا لجمع بيانات تسجيل الدخول من Microsoft Outlook وMozilla Thunderbird. بمجرد الحصول عليها، مكَّنت هذه البيانات الحقيقية المهاجمين من الوصول إلى صناديق البريد وانتحال هوية المستخدمين.
  
  
• وبالمثل، استخدمت موجة التصيد الموجَّهة نحو فرنسا بيانات عملاء مزوِّدي الخدمة المسرَّبة لجذب الضحايا لإدخال بيانات اعتماد Amazon الخاصة بهم على صفحة تسجيل دخول مزيفة، ما مكَّن من الاستيلاء الفوري على الحساب دون أي استغلال تقني.

إلى جانب حملات التصيد التي تسرق بيانات الاعتماد، يستهدف المهاجمون أيضًا الأنظمة التي تخزِّن أو تُدير بيانات اعتماد عالية القيمة. نشر فريق خدمات الخصوم لدى X‑Force Red أبحاثًا حول فك تشفير بيانات اعتماد SCCM (System Center Configuration Manager من Microsoft). أوضح المحللون أنه بمجرد أن يحصل المهاجم على موطئ قدم على خادم موقع Configuration Manager، يمكنه استخراج وفك تشفير كلمات مرور حسابات الخدمة المخزَّنة في قاعدة بيانات SCCM. بعد ذلك، يمكنهم استخدام تلك البيانات الصحيحة للتنقل داخل البيئة بنفس مستوى الثقة والنطاق الذي تتمتع به بنية الإدارة الخاصة بالمؤسسة. في هذه المرحلة، لا يحتاج المهاجم إلى استغلال ثغرة؛ يكفيه "تسجيل الدخول" باستخدام حسابات SCCM التي تعمل على أتمتة نشر البرمجيات وتمتلك أذونات واسعة على الشبكة، ما يحوِّل خادمًا واحدًا مخترقًا إلى وصول على مستوى المؤسسة بأكملها.

استخدام بيانات الاعتماد الشرعية -سواء تم الحصول عليها عبر التصيد أم السرقة- يمكن أن يمكِّن المهاجمين من الانتقال من جهة خارجية إلى مستخدم مصرَّح له، مع تجاوز الضوابط والحصول على وصول دائم ومنخفض الظهور.

بالنظر إلى أهمية بيانات الاعتماد للمهاجمين، ليس من المستغرب أن تكون من بين أكثر العناصر طلبًا في أسواق المجرمين الإلكترونيين. أظهر تحليلنا أن جمع بيانات الاعتماد تصدَّر قائمة التأثيرات التي تعرضت لها المؤسسات الضحية في 2025.

أدى انتشار روبوتات المحادثة المدعومة بالذكاء الاصطناعي في العمليات إلى ظهور متَّجه هجوم جديد للمجرمين الإلكترونيين الذين يستخدمون برمجيات ضارة لسرقة المعلومات. مع تزايد دمج المؤسسات لتقنيات روبوتات المحادثة المدعومة بالذكاء الاصطناعي في مهام سير عملها، ظهر خطر إصابة الأنظمة التي تخزن بيانات الاعتماد لهذه المنصات. علاوةً على ذلك، توضِّح سرقة بيانات اعتماد روبوتات المحادثة المدعومة بالذكاء الاصطناعي التي تمكِّن من الوصول إلى أنظمة أخرى -كما يبيّن حادث Salesloft/Drift، حيث سرق المهاجمون رموز OAuth المميزة الخاصة بـ Drift واستخدموها لاختراق بيئات Salesforce متعددة- أن الوصول إلى الأنظمة الأخرى عبر رموز الروبوتات يحدث بالفعل وقد يكون أوسع انتشارًا.

تمت مراجعة أفضل 5 منصات -ChatGPT (OpenAI)، وMicrosoft Copilot، وGoogle Gemini، وPerplexity وClaude AI (Anthropic)- للبحث عن حسابات معروضة للبيع على الشبكة الخفية تحتوي على بيانات اعتماد لهذه المنصات.  تختلف درجة الرؤية بشكل كبير بين المنصات المدرجة في مجموعة البيانات. المنصات التي تعتمد على مزوِّدي خدمات طرف ثالث -مثل SSO أو Apple أو Google أو Microsoft- لا تخزِّن بيانات اعتماد خاصة بالمنصة، وبالتالي لا يمكن تحديدها ضمن بيانات الاعتماد المسروقة. في 2025، تم رصد أكثر من 300000 من بيانات اعتماد ChatGPT معروضة للبيع.

بالإضافة إلى ذلك، في فبراير 2025، نشر أحد المهاجمين أمثلة على بيانات اعتماد ChatGPT على BreachForums وادَّعى أنه سرق أكثر من 20 مليون حساب.  رغم أن أيًّا من بيانات الاعتماد النموذجية المنشورة لم يَعُد صالحًا، فإنها كانت تتطابق بشكل مستمر مع إصابات ببرمجيات سرقة المعلومات ومجموعات بيانات اعتماد مسرَّبة تم رصدها في 2024 وما قبله. يوضِّح ذلك كيف يمكن لسرقة بيانات الاعتماد على نطاق واسع نتيجة نشاط برمجيات سرقة المعلومات في السابق أن تعود كأداة ضغط إجرامية متجددة، من خلال تحويل البيانات التي تم اختراقها سابقًا إلى فرص جديدة للاستغلال.

رغم أن عام 2025 شهد عمليات إسقاط كبيرة لبنية برمجيات سرقة المعلومات -مثل Lumma وRhadamanthys- فإن استخدام هذا النوع من البرمجيات لا يزال وسيلة سهلة للمهاجمين للحصول على إمكانية الوصول.

كما هو الحال عند تبنّي تقنيات جديدة أخرى، ينبغي على الشركات أولًا تقييم السياسات ومستوى اعتماد روبوتات المحادثة المدعومة بالذكاء الاصطناعي داخل مؤسساتها.  بعد ذلك، ينبغي إعطاء أولوية لتعزيز الوعي بالأمن الإلكتروني وتحسين حماية بيانات الاعتماد - مثل اعتماد المصادقة متعددة العوامل ومفاتيح المرور، واكتشاف أنماط تسجيل الدخول غير الطبيعية، ومراقبة تعرُّض بيانات الاعتماد.