كانت الكاميرا هي المستشعر: سلاسل التوريد الهجينة وسَطْحُ الهجوم التجسسي الجديد
كل نظام أطلقته يوماً في بيئة الإنتاج (Production) يعيش داخل نظام أكبر لم تصممه أنت.
تطبيقك يعتمد على مكتبات برمجة. والمكتبة تعتمد على حساب مُشرف (Maintainer). وحزمة البرامج المكتبية تعتمد على المستودع الرئيسي للكود (Upstream codebase). ومدير كلمات المرور يعتمد على قناة التحديث. ورصيف التحميل في المستودع يعتمد على كاميرا موجهة نحو الطريق لأن شخصاً ما، قبل سنوات، أراد فقط أن يعرف هل وصلت الشاحنة أم لا.
هذا الجزء الأخير تحديداً هو ما تزال العديد من البرامج الأمنية تغفل عنه.
لقد بنينا نموذجاً ذهنياً يفترض أن «أمن سلاسل التوريد» يقتصر على أدوات فحص التبعيات (Dependency scanners)، وقوائم المكونات (SBOM)، وتوقيع الحزم البرمجية، وربما نظرة قلقة إلى صلاحيات بيئات التكامل والنشر المستمر (CI/CD). كل هذا مهم بالقطع، لكن ساحة المعركة قد اتسعت. في الحرب الهجينة الحديثة، لم تعد سلسلة التوريد مجرد المسار الذي يصل عبره الكود إلى بيئة الإنتاج، بل أصبحت المسار الذي تنفذ عبره الثقة، والرؤية، ورموز التوثيق (Tokens)، والبرامج الثابتة (Firmware)، والوصول المادي إلى يد الخصم.
الحزمة البرمجية المخترقة تسرق رموز التوثيق (Tokens). ومدير كلمات المرور المخترق ينتظر في خفاء داخل شبكة الإدارة. وحزمة البرامج المكتبية المخترقة تنجذب نحو تحديثات قادمة من جهات خارجية. والكاميرا المخترقة على قارعة الطريق تراقب الدبابات أثناء مرورها.
الشكل واحد. لكن سطح الهجوم مختلف.
في يوليو 2026، حذّرت خدمتا الاستخبارات الهولنديتان AIVD وMIVD من أن جهات روسية ترعاها الدولة تخترق بشكل ممنهج كاميرات IP متصلة بالإنترنت في هولندا ودول أخرى من الاتحاد الأوروبي وحلف الناتو وأوكرانيا. الهدف لم يكن طلب فدية، بل كان استخبارات عسكرية محض: طرق النقل، وشحنات الأسلحة، ومواقع القوات الأوكرانية، والإيقاع الفيزيائي الهادئ للدعم الأوروبي الموجه لكييف.
هكذا تبدو اختراقات سلاسل التوريد عندما تتوقف عن العيش محصورة داخل GitHub فقط.
أصبحت الكاميرا جزءاً من سلسلة القتل السيبراني (Kill Chain)
فائدة القمر الصناعي أنه يرى المنظر من الأعلى. أما فائدة كاميرا رخيصة على جانب الطريق، فهي أنها ترى الحركة من حيث ينشط الناس فعلاً.
للاستطلاع الفضائي حدوده: توقيت المدار، والطقس، والتمويه، والتشويش، والتكلفة، ودقة الدقة. أما كاميرا IP المكشوفة على واجهة متجر أو شركة فلها ملف ثغرات مختلف تماماً. إنها تبدو غير ملفتة، لكنها موجودة دائماً، وتراقب الطريق نفسه كل يوم. ترى لوحات المركبات، وعلامات الشحن، وتباعد القوافل، ومركبات الحراسة، وسكك التحميل، وبوابات المستودعات، واللحظة الدقيقة التي تغادر فيها شحنة ما الميناء.
بحسب التحذير الهولندي، يمسح المشغلون الروس شبكة الإنترنت العامة، ويحددون العلامات التجارية للكاميرات وطرازاتها، ثم يستولون على الأجهزة التي لا تزال تستخدم كلمات مرور افتراضية، أو برامج ثابتة (Firmware) قديمة، أو لوحات تحكم مكشوفة، أو بثاً فيديوياً عاماً، أو إعدادات إعادة توجيه المنافذ (Port-forwarding) المهملة. لا يوجد أي سحر هنا؛ فالخصم لا يحتاج إلى ثغرة يوم صفر (Zero-day) عندما تكون الكاميرا مُعدّة عملياً وكأنها جهاز للعرض التجريبي.
أضاف تحليل شركة Censys أرقاماً واضحة تُبرز حجم سطح الهجوم (Attack surface). في هولندا وحدها، وجد التحليل 45,386 كاميرا يمكن الوصول إليها عبر الإنترنت. نحو 2,000 من الأجهزة المضيفة التي تشغّل تلك الكاميرات أظهرت ترويسة خدمة (Service banner) تتطابق مع ثغرات معروفة ومُستغلة بالفعل، في حين احتوت 541 منها على ثغرات مُستغلة في البرمجيات التشغيلية للكاميرا نفسها. وعلى مستوى دول الاتحاد الأوروبي والناتو وأوكرانيا، أحصت Censys أكثر من 87,000 كاميرا متصلة بالإنترنت تشغّل خدمات تطابق ثغرات معروفة ومستغلة، منها أكثر من 4,000 في أوكرانيا وحدها.
هذه الأرقام تتطلب التقييد ببعض التحفظات؛ فترويسة الخدمة (Service banner) ليست دليلاً قطعياً على حدوث الاختراق، وشركة Censys نفسها تؤكد على هذه النقطة. لكن هذا التحفظ لا يقلل من خطورة المشهد؛ فهو يوضح فقط أن الحد الأدنى للمشكلة يتسم بالفوضى. أما الحقيقة الاستراتيجية فهي أكثر وضوحاً: لقد وضعت أوروبا شبكة ضخمة وقابلة للبحث ومهملة غالباً من المستشعرات على الطرق والموانئ والجسور والمستودعات وسكك الحديد التي تقع في صلب اهتمام أي جهاز استخبارات عسكري.
داخل دول الناتو والاتحاد الأوروبي، تصف أجهزة الاستخبارات الهولندية هذا الوصول بأنه عمليات تجسس: مراقبة الطرق وشحنات الأسلحة، وبناء الوعي العسكري بالموقف الميداني، وتجهيز قدرات رصد يمكن استخدامها لاحقاً. أما داخل أوكرانيا، فقد امتد هذا النشاط ليشمل نطاق العمليات المادية/الميدانية (Kinetic loop). إذ يُشير التحذير إلى أن الوصول للكاميرات اسْتُخدم في محاولات لاستهداف أفراد عسكريين أوكرانيين وتدمير معداتهم.
كان هذا النمط واضحاً حتى قبل تحذير عام 2026. ففي 2 يناير 2024، أعلنت خدمة الأمن الأوكرانية (SBU) أنها حجبت كاميرتي ويب مخترقتين في كييف استخدمتهما الاستخبارات الروسية أثناء هجوم صاروخي. إحداهما كانت مثبتة على شرفة منزلية، والأخرى تراقب موقف سيارات في مجمع سكني. قام المهاجمون بتغيير زاوية الرؤية، وبثوا إحدى الكاميرات عبر منصة YouTube، وجمعوا معلومات بصرية عن نشاط الدفاع الجوي والبنية التحتية الحيوية. وقالت SBU إنها حجبت منذ بداية الغزو الشامل نحو 10,000 كاميرا IP كان يمكن لروسيا استخدامها لتصحيح الضربات الصاروخية.
وهذا النمط يعمل في الاتجاهين. ففي ديسمبر 2025، نشرت SBU لقطات لما وصفته بضربة نفذتها طائرة مسيرة تحت الماء ضد غواصة روسية من فئة Kilo في نوفوروسيسك. وأشارت وسائل إعلام متخصصة مثل Naval News وMilitary Times إلى أن اللقطات بدت وكأنها ملتقطة عبر كاميرات الميناء، مما يُرجّح أن الاستخبارات الأوكرانية اخترقت شبكة الكاميرات المحلية لمراقبة القاعدة البحرية. ورغم أن روسيا نفت حجم الأضرار، وبقي التحقق المستقل محدوداً، فإن الدرس العملياتي جليّ: من يملك الكاميرا، يملك اقتطاع شريحة من ساحة المعركة.
وهنا تكمن الحقيقة المزعجة: الكاميرا ليست مجرد مخاطرة في إنترنت الأشياء (IoT)، بل هي بمثابة واجهة برمجية (API) تحكُم العالم المادي.
مدير كلمات المرور كحلقة في سلسلة التوريد
إذا كانت قضية الكاميرات تتعلق بالرؤية والاستطلاع، فإن قضية Passwork تتعلق بـ التسويق التجاري للثقة.
في يوليو 2026، كشف مشروع تقصي الجريمة المنظمة والفساد (OCCRP) وشُركاؤه الإعلاميون أن شركة Passwork Europe S.L. المسجلة في إسبانيا، والتي تدير منتجاً لتخزين كلمات المرور وتسوّقه كمنتج أوروبي، ترتبط بروابط تقنية وتاريخية وثيقة بنسخة روسية مقابلة. روّجت Passwork لنفسها بشعارات مثل “Made in EU” وادعت عدم وجود أي ارتباط بكيانات غير أوروبية. إلا أن كشف OCCRP أظهر واقعاً أكثر تعقيداً: مؤسسين روس، وقاعدة كود أصلية خرجت من مدينة أرخانغلسك الروسية، ونطاقين روسي وأوروبي سُجلا بفارق يوم واحد، وجداول تحديث متزامنة، ووثائق تقنية متطابقة تقريباً، وقناة تحديث وسيطة في الإمارات، وشركة روسية مسجلة باسم Passwork LLC حاصلة على اعتمادات من الهيئة الفيدرالية للرقابة الفنية والتصدير (FSTEC) وجهاز الأمن الفيدرالي (FSB).
من جانبه، نفى المدير التنفيذي لشركة Passwork وجود أي علاقة تشغيلية بين الشركة الإسبانية والنظيرة الروسية. وذكرت OCCRP أيضاً أنها لم تجد دليلاً على وجود كود خبيث في النسخة الأوروبية، ولا دليلاً على تسريب البيانات، ولا إثباتاً على مخالفة قانونية. هذا التوضيح مهم. إن الادعاء الدقيق هنا ليس أن «Passwork برمجية خبيثة»، بل هو ادعاء أكثر تحديداً—ولعله بالنسبة لمدير كلمات مرور لا يقل خطورة:
الثقة في أداء مدير كلمات المرور لا تقتصر على قوة التشفير فحسب؛ بل تعتمد على أصل البرمجية (Provenance)، والحوكمة، والتحكم في قناة التحديثات، والنطاق القضائي الخاضع لمراجعة الكود، والشفافية مع العملاء، والقدرة على معرفة الجهات المسموح لها بتعديل النظام الذي يحفظ مفاتيحك.
تعلن النسخة الروسية من Passwork الحصول على اعتمادات من FSTEC، وهي جهة تابعة لوزارة الدفاع الروسية، ومن FSB. وأوضح خبراء OCCRP أن مثل هذه الاعتمادات تتطلب فحصاً دقيقاً للكود المصدري (Source code) في مختبرات معتمدة من الدولة للبث في وجود ثغرات أو خصائص غير مُعلنة. هذا لا يثبت وجود باب خلفي (Backdoor)، لكنه يعني أن الدولة قد تحصل على معرفة عميقة بالبنية الداخلية للبرنامج. وإذا كانت النسخة الأوروبية تشترك في أصل الكود المصدري وتتلقى تحديثات مشابهة عبر وسيط غامض، فإن تلك المعرفة تتحول إلى مخاطرة في سلاسل التوريد حتى دون وجود دليل قاطع.
وفرَضية التشفير بآلية المعرفة الصفرية (Zero-knowledge) لا تحسم الأمر كلياً. فالتشفير من جانب العميل (Client-side encryption) أداة قوية، لكنه لا يحمي محتويات الخزنة إلا إذا ظلت برمجية العميل موثوقة ونظيفة. التحديث الخبيث لا يحتاج إلى كسر تشفير AES، بل يكفيه الانتظار حتى يقوم المستخدم بفك تشفير الخزنة لسرقة النص الصريح أو المفتاح الرئيسي من جهاز المستخدم النهائي (Endpoint).
لهذا السبب تُعد قنوات التحديث مساراً شديد الحساسية. لقد علّمتنا حادثة SolarWinds هذا الدرس على مستوى البنية التحتية، وتطرح Passwork نفس السؤال اليوم على مستوى إدارة الهويات: من يُسمح له بإرسال كود جديد إلى المكان الذي تصبح فيه كل أسرارك قابلة للقراءة؟
البرمجيات «السيادية» ليست مجرد شعار
قصة Euro-Office هي امتداد لمشكلة الثقة نفسها لكن في حلة مختلفة.
أُطلقت Euro-Office كبديل أوروبي لـ Microsoft Office وGoogle Docs، بدعم من شركات أوروبية وتموضع تسويقي حول السيادة الرقمية. وهي في الأصل نسخة مقتطعة (Fork) من مشروع OnlyOffice، وهي حزمة مكتبية مفتوحة المصدر ذات صلات روسية. لم تكن هذه الحقيقة مخفية. لكن المشكلة، بحسب تحليل نشرته منصة Cybernews في يونيو 2026، تمثلت في حجم التأثير الذي واصلت قاعدة الكود القديمة ممارسته.
قامت Cybernews بتحليل نحو 15,600 تعديل (Commit) في مستودع كود OnlyOffice، ووجدت أن نحو 90% منها تمت وفق النطاق الزمني لموسكو، وارتفعت النسبة إلى 99.5% عند احتساب بقية المناطق الزمنية الروسية. أما بالنسبة لمشروع Euro-Office نفسه، فقد أشار التحليل إلى أن 98.6% من كود محرك المستندات و99.2% من مكونات الخدمة المباشرة كُتبت بوساطة مطورين يعملون ضمن نطاقات زمنية روسية، في حين لم تتجاوز مساهمات المطورين الأوروبيين سوى 0.5% تقريباً. كما ذكرت Cybernews أن Euro-Office واصلت استيراد تعديلات مختارة من OnlyOffice لمكونات التعاون على مستوى الخادم بعد عملية الاقتطاع (Fork).
تحليل النطاق الزمني ليس تحليلاً للجنسية؛ فهو مؤشر تقني وليس جواز سفر. وصرحت OnlyOffice بأن فريقها دولي، وحذّرت من تقييم البرمجيات بحسب جنسية المطورين بدلاً من معايير الجودة والأمن والامتثال. كما أوضحت شركة Nextcloud لـ Cybernews أن الكود المصدري أُنشئ بالكامل تقريباً خلف أبواب مغلقة في روسيا، وأن فريق Euro-Office يعمل على مراجعته وتنقيته.
هذه هي الصياغة المنصفة للادعاء.
لكنها تترك سؤالاً هندسياً صعباً: عندما يُسوَّق منتج ما كمنتج سيادي، ما الذي أصبح سيادياً بالضبط؟ هل هي العلامة التجارية؟ أم النطاق القضائي للاستضافة؟ أم التحالف التجاري؟ أم صيغة المستندات؟ أم آلية التحديث؟ أم عمليات مراجعة الكود؟ أم القدرة على فك الارتباط بالمصدر بسرعة إذا تعقدت الظروف الجيوسياسية؟
إذا كانت الإجابة محصورة في الأبعاد التسويقية، فإن السيادة تكون صورية. والسيادة الصورية خطيرة لأنها تمنح فرق المشتريات شعوراً زائفا بالأمان قبل طرح الأسئلة الجوهرية.
هنا يجب أن تلتقي لغة السياسات الأوروبية مع الواقع الهندسي. السيادة ليست المكان الذي تُرجمت فيه صفحة المبيعات، بل هي القدرة العملية على فحص الأنظمة التي تعتمد عليها، وبنائها، وتحديثها، واستبدالها، وإخضاعها للحوكمة القانونية.
المسار الآخر: عندما تنفجر سلسلة التوريد مادياً
ليست كل هجمات سلاسل التوريد ترغب في التخفي والصمت.
في 17 و18 سبتمبر 2024، انفجرت أجهزة استدعاء (Pager) وأجهزة اتصال لاسلكية (Walkie-talkie) يستخدمها عناصر من حزب الله في لبنان وسوريا. نُسبت العملية على نطاق واسع إلى الاستخبارات الإسرائيلية، رغم أن إسرائيل لم تعلن مسؤوليتها رسمياً في ذلك الوقت. شملت الأجهزة طرازات مرتبطة بالعلامة التجارية Gold Apollo التايوانية، حيث صرّحت الشركة بأن الأجهزة تم تصنيعها وتوريدها بموجب اتفاقية ترخيص مع شركة BAC Consulting المجرية. وتناولت تقارير صادرة عن مؤسسات مثل The Guardian، وThe Washington Post، وAmnesty International تفاصيل ما بدا أنه اختراق مادي لسلسلة التوريد: أجهزة تم تعديلها أو تصنيعها مسبقاً بشحنات متفجرة صغيرة وقدرة على التفجير عن بُعد.
هذا هو المسار المادي الصاخب من الشجرة نفسها.
فالمسار المتبع في قصة Passwork يستهدف البقاء والاستمرار داخل النظام، ومسار الكاميرات يستهدف الرؤية والاستطلاع، ومسار Euro-Office يستهدف الارتهان التقني للتبعيات، بينما استهدف مسار أجهزة النداء التسبب في صدمة وشلل عملياتي فوري. أحدهما يختبئ داخل قناة تحديث، والآخر يختبئ داخل بث CCTV، والثالث يختبئ خلف ادعاء بالسيادة، والأخير يختبئ داخل جهاز افترض الهدف أنه أكثر أماناً من الهاتف الذكي.
حمولة مختلفة، لكن الاعتماد يتأسس على نفس منطق الثقة.
الخطأ الشائع هو التعامل مع هذه الحالات كأنها تصنيفات منفصلة: تجسس سيبراني هنا، وسلسلة توريد برمجية هناك، وتخريب عتادي في مكان آخر. عملياتياً، لا يهتم الخصم بالتقسيمات الإدارية؛ بل يهتم بالتبعية التقنية التي تقربه من الأثر الذي يبتغيه.
إذا كان الأثر المطلوب هو المراقبة، فاخترق الكاميرا.
إذا كان الأثر المطلوب هو الوصول الإداري، فاخترق خزنة المفاتيح.
إذا كان الأثر المطلوب هو التأثير في مشتريات القطاع العام، فاخترق قصة الثقة.
إذا كان الأثر المطلوب هو التدمير المادي، فاخترق الجهاز قبل تسليمه.
الخطوات الدفاعية ذات الأثر الحقيقي
يتميز إطار العمل الهولندي Cybercheck بنقطة أساسية: مخاطر سلسلة التوريد متعددة الطبقات. فهو يدفع المؤسسات إلى تقييم البرمجيات، وأنظمة التشغيل، والبرامج الثابتة (Firmware)، والعتاد المادي عند شراء منتجات من دول تملك برامج سيبرانية هجومية. هذا التأطير مهم لأنه يكسر وهم أن «مخاطر الموردين» مجرد استبيان ورقي، وأن «الأمن السيبراني» مجرد أداة فحص آلية.
في البيئات الحساسة، يمكن تحويل هذا الإطار إلى عملية مراجعة ميدانية عبر أربعة أسئلة جوهرية:
1. ما هي الأنظمة التي تملك القدرة على رؤيتنا؟
قم بحصر شامل لكاميرات الـ IP، وأجهزة تسجيل الفيديو الشبكية (NVR)، وأجراس الأبواب الذكية، وأنظمة مراقبة المرور، وإدارة المواقف، والمستشعرات التي يديرها الموردون الخارجيون. ثم حدد نطاق كشفها: البوابات، الطرق، أرصفة التحميل، غرف الخوادم، المحطات الفرعية، ومواقف التنفيذيين. الكاميرا الموجهة نحو ممر الشحن ليست مجرد أداة مراقبة مرفقية، بل هي جزء من بنية تحتية استخباراتية.
2. من يملك صلاحية تحديث النظام الذي يحفظ أسرارنا؟
أدوات إدارة كلمات المرور، ووكلاء الأجهزة الحافة (Endpoint agents)، وعملاء الـ VPN، وأدوات إدارة الأجهزة المحمولة (MDM)، وبيئات CI/CD، وإضافات المتصفحات، وأنظمة النسخ الاحتياطي تتطلب معاملة أمنية استثنائية. إذا كان اختراق قناة التحديث يتيح تشغيل كود مصدري بالقرب من رموز التوثيق، فإن ملكية المورد، ونطاقه القضائي، وسلسلة بناء البرمجيات، وضوابط توقيع الإصدارات ليست مجرد متطلبات ورقية، بل هي ضوابط أمنية جوهرية.
3. هل سيادتنا الرقمية تشغيلية أم صورية؟
عند شراء برمجيات تُصنف على أنها «سيادية»، طالب بإثباتات عملية: إمكانية إعادة إنشاء الإصدارات (Build reproducibility)، وأصل الكود المصدري، وحوكمة المشرفين، ومصدر التبعيات، وآلية المراجعة الأمنية، وتوقيع الإصدارات، والنطاق القضائي للدعم الفني، وسياسات الإفصاح عن الحوادث، وخطة الخروج ونقل البيانات. إن وجود عنوان لشركة في أوروبا ليس بنية أمنية بحد ذاته.
4. ما هي الأجهزة المكشوفة مباشرة على الإنترنت لمجرد أن أحداً نسى وجودها؟
هذا الإجراء هو أقل الضوابط إثارة، ولكنه يقدم أعلى عائد أمني. قم بإيقاف البث العام، وأزل إمكانية الوصول المباشر للكاميرات عبر الإنترنت، وعطّل بروتوكول UPnP، وألغِ إعدادات إعادة توجيه المنافذ (Port-forwarding). ضع الكاميرات وأجهزة NVR في شبكات افتراضية معزولة (VLANs)، وافرض الاتصال عبر VPN مع توثيق متعدد العوامل (MFA). سارع بتحديث البرامج الثابتة (Firmware)، واستبدل الأجهزة التي انتهت فترة دعمها. استخدم ميزات حجب الخصوصية (Privacy masking) أو عدّل زوايا العدسات لمنع التقاط الطرق العامة، أو الموانئ، أو المسارات القريبة من المنشآت الحساسة.
سيدفع قانون المرونة السيبرانية الأوروبي (EU Cyber Resilience Act) ببعض هذه الإجراءات إلى خانة الالتزام القانوني. حيث تبدأ التزامات الإبلاغ عن الثغرات المستغلة والحوادث الأمنية الجسيمة في 11 سبتمبر 2026، بينما يُصبح الإطار القانوني الأوسع نافذاً بالكامل في 11 ديسمبر 2027. سيُطلب من المصنعين تصميم المنتجات مع وضع متطلبات الأمن السيبراني في الاعتبار، وإعلان فترات الدعم، ومعالجة الثغرات، والإبلاغ عن العيوب المستغلة. هذا بلا شك تقدم ملموس.
لكن الامتثال القانوني لن ينقذ الكاميرا التي تبث حالياً مجريات العمل داخل مركز لوجستي حساس.
الخلاصة
كان السؤال التقليدي حول سلاسل التوريد هو: «هل أستطيع الوثوق بهذه التبعية؟»
أما السؤال الجديد والأكثر قسوة فهو: «ما هي القدرة الفعلية في العالم الحقيقي التي تمنحها هذه التبعية لطرف آخر إذا كنت مخطئاً؟»
الحزمة البرمجية تمنح القدرة على تنفيذ الكود المصدري. ومدير كلمات المرور يمنح المفاتيح. وحزمة البرامج المكتبية تمنح الوصول إلى المستندات الحساسة. والكاميرا تمنح بَصَراً واستطلاعاً. وجهاز النداء يمنح القرب المادي. ومُحدث البرامج الثابتة يمنح التخفي والاستمرارية. وواجهة المورد تمنح إمكانية الإنكار المعقول.
لم يعد أمن سلاسل التوريد مجرد إثبات أن المنتج أُنشئ بطريقة صحيحة، بل أصبح فهماً شاملاً لما يمكن لهذا المنتج رؤيته، أو تعديله، أو التوثق منه، أو تحديثه، أو فتحه، أو تدميره بعد أن نمنحه ثقتنا.
الكاميرا على الجدار لم تكن يوماً مجرد كاميرا.
لقد كانت مستشعراً يعمل في نظام شخص آخر.