إذا كان موظفك يبحث عن وظيفة أو يجرب برنامجا جديدا من جهاز العمل، فهذا بالضبط الطريق الذي سرق منه أكبر اختراق في تاريخ العملات الرقمية. في 3 نوفمبر 2026 نشرت بينانس تقريرها الأولي: الهجوم الذي طال نحو 6.34 مليار دولار في 29 أكتوبر بدأ بمقابلتي عمل وهميتين لمهندس، انتهتا بملف اختبار برمجة نزله على لابتوب العمل. الخلاصة العملية لشركتك: لا ملفات من جهات توظيف خارجية على أجهزة العمل، ولا برامج إلا من قائمة معتمدة، ولا صلاحيات أوسع من حاجة الموظف. كتبنا في 31 أكتوبر عن من يستطيع تحويل مال شركتك دون توقيعك، وهذا المقال عن الباب الذي دخل منه المهاجم.
ما الذي حدث بالتسلسل؟
بحسب ما نشرته بينانس عن تحقيقها الأولي، مر الهجوم بأربع محطات:
- يونيو 2026: مهندس في فريق المحافظ بحث عن أداة برمجة بالذكاء الاصطناعي، فنزل نسخة معدلة من برنامج تثبيت Homebrew تحمل برمجية خبيثة. اكتشفها فريق الأمن، فاستبدل الجهاز وغير بيانات الدخول، لكن معلومات عن المهندس وزملائه في الفريق كانت قد تسربت.
- سبتمبر 2026: تواصل شخص ينتحل صفة مدير مشاريع مع مهندس ثان عبر منصة توظيف. أجرى معه مقابلتين: الأولى فيديو مع موظفة موارد بشرية مزعومة، والثانية مع من قدم نفسه رئيسا تنفيذيا لشركة غير موجودة. في المقابلة الثانية طلب منه تنزيل اختبار برمجي على جهاز العمل، فاشتغل الكود الخبيث أثناء الإعداد ولم تكتشفه أدوات الحماية.
- 20 أكتوبر 2026: استخدم المهاجم الجهاز المخترق وأداة ذكاء اصطناعي داخلية في بينانس للسيطرة على جهازي مهندسين آخرين.
- 29 أكتوبر 2026: بين الساعة 17:15 و19:56 بتوقيت غرينتش دخل المهاجم جهاز المهندس الثالث ببيانات دخول مسروقة من الأول، ونشر حاوية وشغل سكربتا خبيثا، ثم خرجت التحويلات من المحافظ الساخنة بين 20:05 و20:09.
تقول بينانس إن نحو 2.85 مليار دولار جمدت أو اعترضت، وإنها عوضت 98% من الأصول المتأثرة حتى 31 أكتوبر، وإنها رصدت ومنعت 57 حالة تهديد يشتبه بارتباطها بكوريا الشمالية خلال 2026. أي أن المنصة صدت عشرات المحاولات، ثم سقطت في واحدة.
لماذا نجحت مقابلة العمل الوهمية؟
لأنها لا تشبه رسالة تصيد. الموظف لم يضغط رابطا مريبا في بريد مجهول، بل دخل عملية توظيف تبدو حقيقية: منصة معروفة، ومقابلة فيديو، وموظفة موارد بشرية شاركته محتوى من حسابها الشخصي لتبني الثقة، ثم رئيس تنفيذي. وطلب تنزيل مشروع وتشغيله جزء طبيعي من اختبارات المبرمجين، فلم يبد غريبا.
هذا الأسلوب ليس جديدا. تذكر TechCrunch أن تقريرا لشركة CrowdStrike نسب نحو نصف الاختراقات في شركات التقنية الأمريكية العام الماضي إلى كوريين شماليين ينتحلون صفة موظفين عن بعد أو مسؤولي توظيف. الهدف ليس بنوك العملات الرقمية وحدها، بل أي شخص يملك صلاحية على أنظمة أو أموال.
الثغرة الثانية: برنامج نزل من نتائج البحث
القصة لم تبدأ بالمقابلة. قبلها بثلاثة أشهر نزل مهندس آخر برنامجا معدلا وهو يبحث عن أداة ذكاء اصطناعي. وهذا ما يحدث في كثير من الشركات كل يوم: موظف يسمع عن أداة جديدة، يبحث عنها، يضغط أول نتيجة، ويثبتها بصلاحية مدير الجهاز. والدرس الأهم أن بينانس استبدلت الجهاز وغيرت كلمات المرور، لكن ما تسرب من معلومات عن الفريق بقي في يد المهاجم، واستخدمه بعد أشهر.
6 قواعد لأجهزة موظفيك هذا الأسبوع
- لا ملفات توظيف خارجية على جهاز العمل: أي اختبار أو مشروع أو ملف يرسله طرف خارجي يفتح على جهاز منفصل لا يصل إلى أنظمة الشركة. وهي نفس توصية الخبراء الذين نقلت عنهم TechTarget: أبعد كود المقابلات عن أي جهاز قريب من الإنتاج.
- البرامج من قائمة معتمدة فقط: اسحب صلاحية مدير الجهاز من الموظفين، واجعل التثبيت عبر مسؤول التقنية ومن الموقع الرسمي للبرنامج، لا من إعلان في نتائج البحث.
- أقل صلاحية ممكنة: من يستطيع تحويل المال أو تعديل الأنظمة الحساسة يفعل ذلك من حساب وجهاز مخصصين، لا من الجهاز الذي يتصفح منه ويجرب عليه الأدوات.
- أدوات الذكاء الاصطناعي الداخلية بصلاحيات محدودة: في بينانس كانت أداة ذكاء اصطناعي داخلية هي الجسر بين الأجهزة. أي أداة تصل إلى أجهزة الموظفين أو أنظمتكم تحتاج صلاحيات ضيقة وسجلا لكل ما تفعله.
- اكتشاف الاختراق ليس نهايته: إذا اخترق جهاز، فلا تكتف باستبداله. افترض أن ما عليه تسرب، وغير كل كلمات المرور والمفاتيح والرموز المرتبطة به وبفريقه، وراقب حسابات زملائه.
- درب فريقك على تصيد عروض العمل: عرض عمل مغر يطلب تنزيل ملف أو تشغيل كود هو علامة إنذار، ومن يستخدم جهاز العمل في البحث عن وظيفة يعرض الشركة كلها للخطر. وإذا كنت توظف عن بعد، فتحقق من هوية المتقدم قبل منحه أي دخول.
ماذا تقول الضوابط الأساسية للأمن السيبراني؟
الضوابط الأساسية للأمن السيبراني ECC-2:2024 من الهيئة الوطنية للأمن السيبراني ملزمة للجهات الحكومية والجهات التي تملك أو تشغل أو تستضيف بنى تحتية وطنية حساسة، والهيئة تشجع بقوة بقية الجهات على الاستفادة منها. وثلاثة منها تغطي هذه الحادثة مباشرة:
- الضابط 1-10-3: برنامج التوعية يشمل التعامل الآمن مع البريد والتصيد، وتصفح الإنترنت، واستخدام وسائل التواصل الاجتماعي.
- الضابط 2-2-3-3: منح الصلاحيات وفق مبدأ الحاجة إلى المعرفة والاستخدام، وأقل صلاحية، وفصل المهام.
- الضابط 2-3-3-1: حماية أجهزة المستخدمين والخوادم من الفيروسات والبرامج المشبوهة والبرمجيات الخبيثة بتقنيات حديثة.
نظرة أوريجامي
نرى في المنشآت السعودية نفس النمط الذي أسقط بينانس: جهاز واحد يستعمله الموظف للعمل والتصفح والبحث عن الفرص وتجربة كل أداة جديدة، وبصلاحية مدير كاملة لأن ذلك أسهل. المهاجم لا يحتاج ثغرة معقدة إذا كان الموظف سيشغل الملف بنفسه.
الحل ليس منع الموظفين من التعلم أو تجربة أدوات الذكاء الاصطناعي، بل أن يجربوها في مكان لا يصل إلى المال والبيانات. وعندما نبني الأنظمة لعملائنا نفصل من البداية بين حسابات التشغيل اليومي وحسابات الصلاحيات الحساسة، ونسجل كل وصول إليها.
الخلاصة
اختراق بقيمة 6.34 مليار دولار لم يبدأ بثغرة في الخوادم، بل بمقابلة عمل وبرنامج نزل من البحث. خصص هذا الأسبوع ساعة مع مسؤول التقنية: اسحب صلاحية مدير الجهاز من الموظفين، واكتب قائمة البرامج المعتمدة، وافصل أجهزة الصلاحيات الحساسة، وأبلغ فريقك أن أي ملف من جهة توظيف لا يفتح على جهاز العمل. وإذا أردت مراجعة لصلاحيات أنظمتك، تواصل معنا أو اطلع على خدماتنا.
مصادر
- بينانس: تحديث التحقيق في الحادثة الأمنية، 3 نوفمبر 2026: تسلسل يونيو وسبتمبر و20 و29 أكتوبر، والمقابلتان، والمبالغ المجمدة والمعوضة، وحالات التهديد الـ57.
- الهيئة الوطنية للأمن السيبراني: الضوابط الأساسية للأمن السيبراني ECC-2:2024: نطاق التطبيق والضوابط 1-10-3 و2-2-3-3 و2-3-3-1.
- TechCrunch: Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist، 3 نوفمبر 2026: نسبة CrowdStrike والتحذيرات السابقة.
- TechTarget: Binance details recruiter impersonation behind $6.3B wallet breach، 3 نوفمبر 2026: توصيات الخبراء حول أجهزة المطورين.
- Nextgov/FCW: Binance says fake job interview helped North Korean hackers steal $6.3 billion، نوفمبر 2026: نسبة الهجوم إلى كوريا الشمالية من مكتب التحقيقات الفيدرالي.
أسئلة شائعة
شركتنا ليست في العملات الرقمية، فهل يعنينا اختراق بينانس؟
نعم، لأن الهجوم لم يستهدف تقنية خاصة بالعملات الرقمية، بل موظفا يملك صلاحية. مقابلة عمل وهمية وبرنامج معدل من نتائج البحث يصلحان لاختراق أي شركة فيها موظف يصل إلى بوابة البنك أو نظام المحاسبة أو بيانات العملاء.
كيف أعرف أن عرض العمل الذي وصل موظفي وهمي؟
العلامة الأوضح أن يطلب منه تنزيل ملف أو مشروع وتشغيله على جهازه، خاصة بعد مقابلات سريعة مع شركة لا يجد عنها معلومات موثوقة. حتى لو بدا العرض حقيقيا، فالقاعدة ثابتة: لا يفتح أي ملف من جهة توظيف على جهاز العمل.
هل يكفي برنامج مكافحة الفيروسات لمنع هذا الهجوم؟
لا. في حالة بينانس اشتغل الكود الخبيث ولم تكتشفه أدوات الحماية. برنامج الحماية خط واحد، ويحتاج معه سحب صلاحية مدير الجهاز من الموظفين، وقائمة برامج معتمدة، وفصل أجهزة الصلاحيات الحساسة عن أجهزة التصفح.
هل الضوابط الأساسية للأمن السيبراني ملزمة لشركتي الخاصة؟
هي ملزمة للجهات الحكومية والجهات التي تملك أو تشغل أو تستضيف بنى تحتية وطنية حساسة. أما بقية الشركات فتشجعها الهيئة الوطنية للأمن السيبراني بقوة على الاستفادة منها، وضوابط التوعية والصلاحيات وحماية الأجهزة فيها قائمة جاهزة للمراجعة.
