Dark Web Monitoring بوصفه نظام إنذار مبكر

السوق الإجرامية منظَّمة على أساس تقسيم العمل. إذ تستخرج برامج سرقة المعلومات من الأجهزة المصابة بيانات الاعتماد وملفات تعريف الجلسات وبيانات المتصفح، وتجمعها في ما يُعرف بسجلات السرقة (Stealer-Logs) التي تُتداول في الأسواق وقنوات Telegram؛ وتجمع قوائم Combolists تركيبات البريد الإلكتروني وكلمات المرور من تسريبات قديمة وجديدة، وتُنشر مجموعات البيانات المسروقة على مواقع التسريب التابعة لمجموعات برامج الفدية. ويحوّل وسطاء الوصول الأولي (IAB) هذه البيانات الخام إلى منافذ وصول متحقَّق منها إلى الشبكات ويعيدون بيعها – ووفق ENISA مع اتجاه نحو عروض منخفضة السعر وكبيرة الحجم، يُتداول فيها معظم منافذ الوصول بأقل من نحو 2,800 يورو. كما أن السوق مرنة على نحو لافت: فبعد تفكيك برنامجي سرقة المعلومات RedLine وMETA (Operation Magnus، أكتوبر 2024) ارتفع استخدام Lumma-Stealer بين النصفين الأول والثاني من عام 2024 بأكثر من 350 بالمئة؛ وتعدّ ENISA برامج سرقة المعلومات حلقة ثابتة في سلسلة التوريد الإجرامية السيبرانية.

بين تسرب البيانات والهجوم فاصل زمني قابل للقياس – وهذه النافذة تحديدًا هي ما يستهدفه الرصد. فوفق Verizon Data Breach Investigations Report 2026 سُجّل لدى 73 بالمئة من ضحايا برامج الفدية المدروسين حدث سرقة معلومات أو تسريب بيانات اعتماد في العام السابق للهجوم؛ ولدى نصف هؤلاء المتضررين وقع الحدث خلال 95 يومًا قبل الهجوم. ويؤكد تقرير BSI عن الوضع 2025 هذا الارتباط أيضًا: إذ رافقت تسريبات البيانات 72 بالمئة من هجمات برامج الفدية المبلَّغ عنها في ألمانيا، وارتفع عدد المتضررين من التسريبات وكذلك عدد سرقات بيانات الاعتماد. ومن يكتشف بيانات الاعتماد المخترَقة قبل استغلالها يستطيع قطع سلسلة الهجوم عند حلقتها الأولى – بجهد أقل بكثير مما تتطلبه الاستجابة للحوادث.

عمليًا تقدم خدمات الرصد ثلاث فئات من النتائج. أولًا، بيانات اعتماد مخترَقة للموظفين والعملاء من سجلات السرقة وقواعد بيانات الاختراقات وقوائم Combolists – وغالبًا مع ملفات تعريف الجلسات، وعناوين URL لتسجيل الدخول المتأثرة (مثل بوابات VPN أو SSO أو واجهات الإدارة)، وبيانات عن الجهاز المصاب. ثانيًا، إشارات إلى الشركة في المنتديات والأسواق وقنوات Telegram، مثل عروض الوصول من وسطاء الوصول الأولي أو نقاشات حول هجمات مخطط لها. ثالثًا، مجموعات بيانات ووثائق مسرَّبة على مواقع التسريب واللصق، مثلًا بعد حادث لدى مقدم خدمة. ولهذا الغرض تُراقب عادةً نطاقات المؤسسة ونطاقاتها الفرعية، وعناوين البريد الإلكتروني، ونطاقات IP، والكلمات المفتاحية للعلامات التجارية والمنتجات. ولا يظهر إلا ما يرد في مصادر يمكن الوصول إليها – أما البيع المباشر الحصري بين المجرمين فيبقى بطبيعته مخفيًا.

النتيجة في البداية مجرد نقطة بيانات – وتصبح قابلة للتنفيذ عبر الفرز. ففي البداية يأتي التحقق (هل تخص مجموعة البيانات المؤسسة فعلًا، وهل كلمة المرور لا تزال صالحة؟) وترتيب الأولويات حسب نوع الحساب والخدمة المكشوفة: الحسابات ذات الصلاحيات المميزة ومنافذ VPN وSSO قبل تسجيلات الدخول غير الحرجة إلى البوابات. ويشمل دليل الإجراءات القياسي إعادة تعيين كلمة المرور، وإبطال الجلسات والرموز النشطة، والتحقق من المصادقة متعددة العوامل أو فرضها، وتحليل الأنظمة المتأثرة بحثًا عن تسجيلات دخول مريبة، والبحث عن مصدر التسرب، مثل جهاز طرفي مصاب أو مورّد خارجي. وإذا أسفر التقييم عن حادث أمني جسيم أو انتهاك لحماية البيانات الشخصية، تسري التزامات الإبلاغ: وفق NIS2 المادة 23 إنذار مبكر خلال 24 ساعة، وبلاغ خلال 72 ساعة، وتقرير نهائي في موعد أقصاه شهر بعد البلاغ؛ ووفق GDPR المادة 33 إبلاغ الجهة الرقابية دون تأخير، وإن أمكن خلال 72 ساعة. لذلك يجب دمج تنبيهات الرصد بشكل ثابت في عملية الاستجابة للحوادث القائمة.

يولّد رصد الويب المظلم دون سياق كثيرًا من الضوضاء. إذ تعيد قوائم Combolists تدوير تسريبات قديمة، فتتعلق نتائج كثيرة بكلمات مرور غُيّرت منذ زمن أو بموظفين غادروا؛ كما أن الحسابات الخاصة المسجلة ببريد إلكتروني للشركة لا تكشف الكثير عن أمن شبكة الشركة، وتؤدي النطاقات المتشابهة إلى إسناد خاطئ. ولا يستطيع أي مقدم خدمة ضمان الاكتمال – فالمنتديات المغلقة والمبيعات الخاصة تبقى بعيدة عن الرصد. والنهج أيضًا تفاعلي في جوهره: فما يُكتشف قد تسرب بالفعل، ولا توجد طريقة موثوقة «لحذفه» من التداول. ولذلك فإن النتائج الخام دون عملية فرز واستجابة محددة لا تنتج في الغالب سوى إرهاق التنبيهات (Alert-Fatigue). والمعيار المعقول للنجاح ليس عدد النتائج، بل الوقت من الاكتشاف حتى اتخاذ إجراء فعّال.

لا يشترط NIS2 ولا DORA رصد الويب المظلم نصًا – لكنه يخدم التزامات محددة. إذ يشترط NIS2 (التوجيه (EU) 2022/2555) في المادة 21(2)، من بين أمور أخرى، سياسات لتحليل المخاطر (البند a) ومعالجة الحوادث الأمنية (البند b)؛ وتوفر بيانات التهديد الخاصة بالمؤسسة من المصادر السرية دليلًا موثوقًا لذلك. وتُلزم DORA (اللائحة (EU) 2022/2554، واجبة التطبيق منذ 17.01.2025) المؤسسات المالية صراحةً في المادة 13(1) بتوفير القدرات والموظفين لجمع المعلومات عن الثغرات الأمنية والتهديدات السيبرانية ودراسة آثارها المحتملة؛ كما تستند اختبارات الاختراق الموجَّهة بالتهديدات (TLPT، المادة 26) إلى تحليلات التهديد أيضًا. وبذلك يُعد رصد الويب المظلم ركيزة تشغيلية لاستخبارات التهديدات السيبرانية (Cyber Threat Intelligence) – مكمّلًا لإدارة سطح الهجوم الخارجي (External Attack Surface Management) وإدارة الثغرات الأمنية واكتشاف SOC، لا بديلًا عنها.