لماذا تطلق شركات الأمن السيبراني أسماء رمزية على القراصنة؟ وكيف تساعد هذه الأسماء في تعقب التهديدات؟
عندما يظهر تقرير عن هجوم إلكتروني كبير، غالبًا ما يظهر معه اسم غريب لمجموعة من القراصنة، مثل APT41 أو Lazarus Group أو Fancy Bear. وقد يبدو الأمر وكأن شركات الأمن السيبراني تختار هذه الأسماء لمجرد تسهيل الحديث عن المهاجمين، لكن الحقيقة أن وراء هذه التسميات وظيفة مهمة في التحقيقات الرقمية وفهم التهديدات.
مع توسع مشهد الهجمات الإلكترونية وظهور أعداد متزايدة من مجموعات التهديد، أصبحت عملية التعرف على الجهات المهاجمة وربط الحوادث ببعضها أكثر تعقيدًا. ولهذا تعتمد شركات الأمن السيبراني على أنظمة تسمية تساعد الباحثين على تنظيم المعلومات ومقارنة الأنشطة المختلفة.
ما المقصود بأسماء مجموعات القراصنة؟
الأسماء التي نراها في تقارير الأمن السيبراني ليست بالضرورة أسماء حقيقية للأشخاص الذين يقفون وراء الهجوم.
غالبًا ما تكون عبارة عن معرّفات بحثية تستخدمها شركات الأمن ومؤسسات تحليل التهديدات للإشارة إلى مجموعة من الأنشطة التي يُعتقد أنها مرتبطة بجهة واحدة أو بمجموعة تهديد محددة.
فعلى سبيل المثال، تستخدم Google أسماء مثل APT41 وAPT42 ضمن معلوماتها الخاصة بمجموعات التهديد، مع ربطها بأنماط نشاط وأهداف وأدوات وتقنيات محددة.
وهنا تظهر نقطة مهمة: الاسم ليس دليلًا وحده على هوية المهاجم، بل يمثل نقطة مرجعية تجمع تحتها مجموعة من الأدلة والتحليلات.
لماذا تحتاج شركات الأمن السيبراني إلى تسمية المجموعات؟
تخيل أن فريقًا أمنيًا اكتشف هجومًا جديدًا، ثم وجد أن بعض التقنيات والبنية التحتية المستخدمة تشبه نشاطًا ظهر في حوادث سابقة.
بدون نظام واضح للتسمية، سيصبح من الصعب ربط المعلومات الموجودة في تقارير مختلفة.
أما عند وجود اسم معرف لمجموعة معينة، فيمكن للباحثين تنظيم معلومات مثل:
- القطاعات التي تستهدفها المجموعة.
- أنواع الهجمات التي تستخدمها.
- التقنيات التي ظهرت في عمليات سابقة.
- الأدوات والبرمجيات المرتبطة بها.
- المناطق أو الدول التي تركز عليها.
- الحوادث التي يُعتقد أنها مرتبطة بالنشاط نفسه.
وهذا يساعد فرق الدفاع على الانتقال من مجرد اكتشاف حادث منفرد إلى فهم السلوك الأوسع للجهة المهاجمة.
لماذا لا تستخدم شركات الأمن اسمًا واحدًا لكل مجموعة؟
قد تستخدم شركة اسمًا معينًا لمجموعة ما، بينما تستخدم شركة أخرى اسمًا مختلفًا لنشاط تعتقد أنه مرتبط بالجهة نفسها.
والسبب أن شركات الأمن لا تمتلك بالضرورة المعلومات نفسها.
كل شركة تعتمد على مجموعة مختلفة من البيانات، مثل:
- الحوادث التي تحقق فيها.
- عينات البرمجيات الخبيثة التي تجمعها.
- البنية التحتية التي ترصدها.
- المعلومات الاستخباراتية المتاحة لديها.
- عمليات الرصد والاستجابة للحوادث.
- التحليل الخاص بالأنماط والتقنيات.
لذلك قد تختلف الصورة التي تراها كل مؤسسة عن المجموعة نفسها.
من APT1 وAPT41 إلى نظام Google الجديد
اعتمدت صناعة الأمن السيبراني لسنوات على أسماء رقمية أو اختصارات مختلفة، ومن أشهرها تسميات تبدأ بـ APT، مثل APT1 وAPT41.
هذه الطريقة مفيدة للباحثين، لكنها قد تصبح صعبة التذكر عندما يتزايد عدد المجموعات.
وفي يوليو 2026 أعلنت Google Threat Intelligence Group عن نظام تسمية جديد يجمع بين أنظمة التتبع التي كانت تستخدمها Google وMandiant، بعد توحيد جهودهما ضمن Google Threat Intelligence Group.
كيف يعمل نظام Google الجديد؟
يعتمد النظام على أسماء رمزية مكونة من كلمتين.
الكلمة الأولى تكون اسمًا مميزًا وسهل التذكر للمجموعة، بينما تشير الكلمة الثانية إلى فئة مرتبطة بالجهة أو نشاطها، مثل بلد المنشأ أو نوع التهديد.
| الفئة | الكلمة المستخدمة |
|---|---|
| الصين | قلعة |
| إيران | أيون |
| كوريا الشمالية | نبتون |
| روسيا | أثر |
| الجرائم الإلكترونية | مذنب |
هذا الأسلوب يجعل الاسم أكثر قابلية للتذكر من سلسلة أرقام فقط، وفي الوقت نفسه يضيف قدرًا من السياق إلى المعرّف.
هل الأسماء القديمة اختفت؟
لا. أوضحت Google أن الأسماء السابقة ستظل متاحة وقابلة للبحث، كما ستبقى الأسماء البديلة التي تستخدمها شركات أخرى وعمليات الربط مع MITRE ATT&CK محفوظة.
وهذا مهم لأن تغيير الاسم بالكامل دون الاحتفاظ بالسجلات القديمة قد يؤدي إلى فقدان روابط مهمة بين التقارير الأمنية القديمة والجديدة.
كما أن عملية إعادة التسمية ليست فورية لجميع الجهات، وإنما بدأت Google بعدد من المجموعات النشطة مع استمرار عملية التحديث تدريجيًا.
ما الفرق بين APT ومجموعة التهديد؟
مصطلح APT يعني عادةً Advanced Persistent Threat، ويُستخدم في الأمن السيبراني للإشارة إلى تهديد يتميز بقدرات متقدمة واستمرارية في العمليات.
لكن كلمة APT لا تعني بالضرورة اسم مجموعة محددة.
فعندما نرى اسمًا مثل APT41، فنحن أمام معرف لمجموعة تهديد، وليس مجرد وصف عام لكل الهجمات المتقدمة.
وهناك أيضًا مصطلحات أخرى مثل:
- Threat Actor: الجهة أو الشخص أو المجموعة التي تقف وراء نشاط ضار.
- Threat Group: مجموعة من الأنشطة أو الجهات التي يربط الباحثون بينها بناءً على الأدلة المتوفرة.
- UNC: تستخدم Google تسميات UNC لبعض مجموعات التهديد التي لا تزال في مرحلة مبكرة من التحقيق أو لم يتم تصنيفها بصورة نهائية.
لماذا يصعب تحديد هوية القراصنة بدقة؟
تحديد الجهة المسؤولة عن هجوم إلكتروني ليس دائمًا أمرًا مباشرًا. فقد يستخدم المهاجمون بنية تحتية مشتركة، أو أدوات متاحة لجهات متعددة، أو يعيدون استخدام تقنيات ظهرت سابقًا لدى مجموعات أخرى.
ولهذا تعتمد عملية الإسناد Attribution على مجموعة من المؤشرات والأدلة، وليس على مؤشر واحد.
ومن الممكن أيضًا أن تتغير المجموعة بمرور الوقت، أو تنقسم إلى فرق أصغر، أو يستخدم أفراد مختلفون بعض الأدوات نفسها.
لهذا السبب تظل بعض التسميات مؤقتة، بينما تحتاج جهات أخرى إلى سنوات من الرصد قبل الوصول إلى مستوى أعلى من الثقة في التحليل.
هل مجموعات الجرائم الإلكترونية أسهل في التتبع؟
ليس بالضرورة. طبيعة بعض مجموعات الجرائم الإلكترونية قد تجعل تتبعها أكثر تعقيدًا بسبب تغير الأعضاء والبنية التنظيمية وظهور مجموعات جديدة أو انقسام مجموعات موجودة.
وفي المقابل، قد تكون بعض الجهات المدعومة من حكومات أكثر اتساقًا في أهدافها على المدى الطويل، وهو ما يمكن أن يوفر للباحثين مؤشرات إضافية عند تحليل نشاطها.
لكن ذلك لا يعني أن إسناد هجوم إلى جهة حكومية أمر سهل أو مؤكد تلقائيًا.
ما أهمية هذه الأسماء للشركات العادية؟
قد تبدو أسماء مجموعات التهديد مهمة فقط للباحثين الأمنيين، لكنها يمكن أن تكون مفيدة أيضًا لفرق حماية المؤسسات.
عندما يتم ربط حادث أمني بمجموعة تهديد معروفة بدرجة مناسبة من الثقة، يمكن للفريق الأمني استخدام المعلومات السابقة لفهم المخاطر المحتملة بصورة أسرع.
لكن يجب عدم التعامل مع هذه المعلومات على أنها دليل قاطع على أن كل هجوم مشابه جاء من المجموعة نفسها؛ فالتحليل الأمني يعتمد على تجميع الأدلة وربطها بالسياق.
ماذا يخبرنا نظام التسمية الجديد عن تطور الأمن السيبراني؟
إعادة تصميم أنظمة التسمية تعكس مشكلة أكبر من مجرد تغيير أسماء المجموعات. فالمشهد السيبراني أصبح أكثر تعقيدًا، وتزايدت كمية البيانات التي تحتاج فرق الأمن إلى تحليلها.
كما أصبحت الجهات المهاجمة تستخدم مجموعة واسعة من الأدوات والتقنيات، وفي بعض الحالات بدأت تستفيد من الذكاء الاصطناعي في مراحل مختلفة من عملياتها.
وهذا يجعل قدرة الباحثين على تنظيم المعلومات وربط النشاط الحالي بالسابق أكثر أهمية في مواجهة التهديدات الحديثة.
هل يمكن الوصول إلى نظام موحد عالميًا لأسماء القراصنة؟
قد يكون ذلك مفيدًا، لكنه ليس سهل التنفيذ.
حتى لو اتفقت شركات الأمن على قائمة أسماء واحدة، ستظل هناك اختلافات في البيانات التي تراها كل مؤسسة وفي مستوى الثقة الذي تمنحه لعملية الإسناد.
ولهذا تبدو عملية ربط الأسماء المختلفة ببعضها أكثر واقعية من محاولة إجبار كل المؤسسات على التخلي فورًا عن أنظمتها الخاصة.
الخلاصة
أسماء مثل APT41 وLazarus وFancy Bear ليست مجرد ألقاب تطلقها شركات الأمن السيبراني على القراصنة، بل هي أدوات لتنظيم المعرفة حول التهديدات الرقمية.
كلما زادت الهجمات والمجموعات والأدوات، أصبحت الحاجة إلى نظام يساعد الباحثين على تتبع النشاط وربط الحوادث ببعضها أكثر أهمية.
وتأتي أنظمة التسمية الحديثة كخطوة لتبسيط عملية التتبع من خلال أسماء أسهل في التذكر، مع الاحتفاظ بالأسماء القديمة والمرادفات المستخدمة في الصناعة.
وفي النهاية، لا تكمن قيمة اسم المجموعة في الاسم نفسه، وإنما في المعلومات الأمنية التي يجمعها الباحثون حول النشاط المرتبط به.
الأسئلة الشائعة
لماذا تطلق شركات الأمن السيبراني أسماء على القراصنة؟
لتسهيل تتبع مجموعات التهديد وربط الحوادث والأنشطة والأدوات التي يُعتقد أنها مرتبطة بالجهة نفسها.
هل أسماء القراصنة حقيقية؟
غالبًا لا. معظمها أسماء رمزية أو معرفات بحثية تستخدمها شركات الأمن السيبراني ومؤسسات تحليل التهديدات.
لماذا تختلف أسماء المجموعة نفسها بين الشركات؟
لأن كل شركة تمتلك مصادر وبيانات ورؤية مختلفة عن نشاط التهديد، ولذلك قد تصل إلى تسميات مختلفة.
ماذا يعني APT؟
اختصار لـ Advanced Persistent Threat، وهو مصطلح يستخدم لوصف نوع من التهديدات المتقدمة والمستمرة، كما يدخل في أسماء بعض مجموعات التهديد.
ما نظام Google الجديد لتسمية مجموعات التهديد؟
هو نظام يعتمد على أسماء رمزية مكونة من كلمتين، بحيث تكون الكلمة الأولى اسمًا مميزًا للمجموعة، بينما تشير الثانية إلى فئة مثل بلد المنشأ أو نوع النشاط.
هل اختفت أسماء APT القديمة؟
لا. الأسماء السابقة تظل مهمة في الأبحاث الأمنية، كما تستمر منصات التهديدات في الاحتفاظ بالأسماء البديلة والروابط بين التسميات المختلفة.
المصادر والمراجع
- Google Cloud — Google Threat Intelligence.
- جوجل كلاود - نظام تسمية الجهات الفاعلة في التهديدات السيبرانية المحدث.
- جوجل كلاود - مجموعات التهديد المتقدمة المستمرة والجهات الفاعلة في التهديدات.
- MITRE ATT&CK — مجموعات التهديد والتقنيات.
نرحب بتعليقاتكم واستفساراتكم!
يرجى الالتزام بالأسلوب الراقي وتجنب التعليقات المسيئة أو نشر الروابط الترويجية والإعلانية (Spam)، لضمان بيئة نقاش مفيدة للجميع.