الهجمات السيبرانية على البنية التحتية الحيوية في السعودية: الدروس والدفاع في 2026

الهجمات السيبرانية على البنية التحتية الحيوية في السعودية ليست سيناريو نظرياً. ففي 15 أغسطس 2012 بدأ فيروس «شمعون» مسح بيانات أكثر من 30 ألف جهاز في أرامكو السعودية، بحسب توثيق الحادثة. وبعد خمس سنوات استهدفت برمجية «تريتون» أنظمة السلامة في منشأة بتروكيماوية سعودية. هذا التحليل يعرض ما حدث فعلاً، وما تغيّر في الدفاع، وما تفعله الهيئة الوطنية للأمن السيبراني في 2026.

ماذا حدث في هجوم شمعون على أرامكو؟

شمعون برمجية مسح خبيثة تحدد مواقع الملفات في الأجهزة المصابة وتمحوها، ثم تكتب فوقها بيانات تالفة يصعب استعادتها. وتذكر المصادر أن:

• الهجوم بدأ في الساعة 11:08 صباحاً بالتوقيت المحلي، في توقيت كان فيه أغلب الموظفين في إجازة.
• أكثر من 30 ألف جهاز بنظام ويندوز تأثرت، واستغرقت الشركة أكثر من أسبوع لاستعادة خدماتها.
• مدخل الهجوم كان رسالة تصيّد فتحها أحد موظفي تقنية المعلومات، ما أتاح للمهاجمين دخول الشبكة.
• تبنّت الهجوم مجموعة سمّت نفسها «سيف العدالة القاطع».
• عاد شمعون في نوفمبر 2016 ثم في ديسمبر 2018.

الدرس الأبرز: هجوم بدأ برسالة بريد واحدة شلّ أنظمة الأعمال في أكبر شركة نفط. ولم يكن المستهدف منشآت الإنتاج نفسها، بل الأنظمة المكتبية التي تدير العمليات.

ما برمجية تريتون ولماذا تُعد أخطر؟

إن كان شمعون قد مسح البيانات، فإن تريتون استهدفت ما هو أخطر: أنظمة السلامة الآلية التي توقف المصنع حين يقترب من حالة خطرة. وتسلسل الحادثة كما وُثّق:

1. في يونيو 2017 أطلق المهاجمون نظام السلامة فتوقفت المنشأة، وظُن حينها أنه عطل ميكانيكي.
2. في أغسطس 2017 توقفت المنشأة مرة ثانية، فبدأ التحقيق الذي كشف البرمجية.
3. أُعلن عن الهجوم في ديسمبر 2017.

واستهدفت البرمجية تقنية السلامة «Triconex» من إنتاج شركة «شنايدر إلكتريك»، ويُنسب إليها كثيراً أنها أول برمجية صُممت لتعطيل أنظمة السلامة الصناعية بقصد إيقاع ضرر بشري. ولم تسفر الحادثة عن إصابات. ومن العوامل التي سهّلتها، بحسب المصدر، أن مفاتيح فعلية لأنظمة السلامة تُركت في وضع يسمح بالوصول إليها. أي أن الخلل لم يكن تقنياً فقط، بل إجرائياً أيضاً.

كيف ترصد السعودية التهديدات اليوم؟

تقول الهيئة الوطنية للأمن السيبراني في صفحة التهديدات والحوادث السيبرانية إنها توفر الدراية الأمنية على المستوى الوطني لمراقبة الهجمات والتصدي لها على مدار الساعة، وإدارة الاستجابة للحوادث، ودعم الجهات في التعافي. وتركز على التهديدات التي تستهدف الجهات الوطنية وذات البنى التحتية الحساسة، وتشاركها عبر قنوات معتمدة:

• التقارير السيبرانية.
• التنبيهات الأمنية.
• مؤشرات الاختراق.
• توصيات لتعزيز جوانب الحماية.

وتنص الهيئة على أن هدف هذه المشاركة رفع جاهزية الجهات، والتأكد من تنفيذها للاحترازات الأمنية، والحد من الهجمات في الوقت المناسب.

ما حجم التهديدات بالأرقام الرسمية؟

تنشر الهيئة على صفحة إنجازاتها مؤشرات تشغيلية، منها:

ولا تفصّل الهيئة هذه الحوادث حسب القطاع أو نوع الهجوم. لذلك لا يمكن من المصادر الرسمية المنشورة قياس «نسبة تصاعد» للهجمات على البنى الحيوية تحديداً، وأي رقم من هذا النوع يُنسب إليها دون رابط يستحق الحذر.

ما استراتيجيات الدفاع عن البنى الحيوية؟

على المستوى التنظيمي، أصدرت الهيئة ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC-1:2022). وهي تضع الحد الأدنى لحماية الأنظمة التشغيلية في المرافق الصناعية الحساسة لدى الجهات الحكومية والخاصة، ومنع الوصول غير المصرح به إليها. وتعد امتداداً للضوابط الأساسية للأمن السيبراني، وترافقها أداة لقياس الالتزام.

وعلى مستوى المنشأة، تكشف دروس شمعون وتريتون عن أولويات واضحة:

1. مقاومة التصيّد: تدريب الموظفين وتقييد الصلاحيات، لأن رسالة واحدة كانت مدخل شمعون.
2. فصل الشبكات: عزل الأنظمة التشغيلية عن الشبكة المكتبية قدر الإمكان.
3. حماية أنظمة السلامة: ضبط الوصول المادي والمنطقي، فمفاتيح متروكة سهّلت هجوم تريتون.
4. التعامل مع التوقف غير المفسَّر بجدية: توقف يونيو 2017 عُدّ عطلاً ميكانيكياً في البداية.
5. النسخ الاحتياطي والتعافي: خطة مجربة لاستعادة الخدمات، لأن المسح يطال البيانات نفسها.
6. متابعة تنبيهات الهيئة: وتنفيذ مؤشرات الاختراق والتوصيات فور وصولها.

ما الجديد في الدفاع خلال 2026؟

الانتقال الأوضح هذا العام هو من الإرشاد إلى التحقق. ففي 8 سبتمبر 2026 نشرت صحيفة عاجل أن الهيئة نفذت زيارات تفتيشية على جهات وطنية، شملت جهات حكومية وخاصة ذات بنى تحتية حساسة. وتحققت الزيارات من:

• الالتزام بالتنبيهات الأمنية والمتطلبات التنظيمية.
• حصول الجهات على التراخيص اللازمة من الهيئة.
• تطبيق أفضل الممارسات في القطاعات ذات الأولوية والبنى الحساسة.

وأوضحت الهيئة أن ذلك يتم في إطار ممكناتها النظامية، وأن فرقها ترصد المخالفات وتتابعها باستمرار. وهذا يعني أن التنبيه الذي تتلقاه منشأة حيوية لم يعد توصية يمكن تأجيلها، بل التزاماً قد يُسأل عنه.

ما الذي ينبغي الانتباه إليه؟

في المقابل، ليس كل ما يُكتب عن «تصاعد الهجمات» في المملكة دقيقاً. فالمصادر المفتوحة توثق حوادث بعينها، والهيئة تنشر أرقاماً إجمالية، لكن التفاصيل الحساسة لا تُنشر عادة لأسباب أمنية. لذلك تعامل بحذر مع المقالات التي تقدم نسباً دقيقة لزيادة الهجمات دون مصدر رسمي.

ومن المهم أيضاً التمييز بين نوعين من الأنظمة. فالأنظمة المكتبية، كما في حالة شمعون، تحمل بيانات الأعمال والفواتير والبريد. أما الأنظمة التشغيلية، كما في حالة تريتون، فتتحكم في المضخات والصمامات وأنظمة السلامة. والضرر في الثانية قد يتجاوز الخسارة المالية إلى سلامة العاملين والبيئة، ولهذا خُصصت لها ضوابط مستقلة.

الخلاصة: إن كنت مسؤولاً عن منشأة صناعية أو خدمية حيوية، فدروس الماضي واضحة. ابدأ بوثيقة ضوابط الأنظمة التشغيلية، وافصل شبكاتك، ودرّب فريقك على التصيّد، وتعامل مع كل تنبيه من الهيئة بوصفه أولوية.

الأسئلة الشائعة

ما أشهر هجوم سيبراني على البنية التحتية في السعودية؟

هجوم شمعون على أرامكو في أغسطس 2012، الذي طال أكثر من 30 ألف جهاز.

ما هي برمجية تريتون؟

برمجية تستهدف أنظمة السلامة الصناعية، اكتُشفت في منشأة بتروكيماوية سعودية عام 2017.

من المسؤول عن التصدي للهجمات السيبرانية في السعودية؟

الهيئة الوطنية للأمن السيبراني، على مدار الساعة.

كم عدد الحوادث السيبرانية التي تعاملت معها الهيئة؟

أكثر من 2000 حادث بحسب صفحة إنجازاتها.

ما الضوابط الخاصة بالمرافق الصناعية؟

ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC-1:2022).