«سارق الوجوه».. كوريا الشمالية تستخدم الذكاء الاصطناعي ومكالمات الفيديو المزيفة لسرقة 400 مليون دولار
تحذير أمريكي يكشف الاستيلاء على أكثر من 900 تسجيل لكاميرات الضحايا.. والاختراق يمتد إلى مطوري البرمجيات مفتوحة المصدر، بما يهدد ملايين المستخدمين حول العالم
«سارق الوجوه».. كوريا الشمالية تستخدم الذكاء الاصطناعي ومكالمات الفيديو المزيفة لسرقة 400 مليون دولار
تحذير أمريكي يكشف الاستيلاء على أكثر من 900 تسجيل لكاميرات الضحايا.. والاختراق يمتد إلى مطوري البرمجيات مفتوحة المصدر، بما يهدد ملايين المستخدمين حول العالم
كتب ا. د. وائل بدوى
في تطور يكشف عن مرحلة جديدة من الجرائم الإلكترونية، حذّر مكتب التحقيقات الفيدرالي الأمريكي (FBI) من حملة تجسس واحتيال إلكتروني متطورة، نسبها إلى مجموعات قرصنة مدعومة من كوريا الشمالية، استطاعت الاستيلاء على عملات رقمية تتجاوز قيمتها 400 مليون دولار خلال الأشهر الثمانية عشر الماضية، باستخدام مزيج من انتحال الشخصيات، وتسجيلات كاميرات الويب المسروقة، ومكالمات الفيديو المزيفة، وتقنيات التزييف العميق المدعومة بالذكاء الاصطناعي.
وأعلنت وزارة العدل الأمريكية، في 12 نوفمبر 2026، تعطيل بنية تحتية سحابية مرتبطة بالحملة التي أطلق عليها المحققون اسم «FaceStealer»، أو «سارق الوجوه»، بعد أن تمكنت السلطات من تحديد وضبط أكثر من 900 تسجيل فيديو التُقطت سرًا لضحايا حول العالم، واستُخدمت لاحقًا لخداع معارفهم وزملائهم في العمل.
ولم تعد خطورة هذه الحملة مقتصرة على سرقة الأموال الرقمية، بل امتدت إلى استهداف مطوري البرمجيات مفتوحة المصدر، في محاولة لاختراق الأنظمة البرمجية التي تعتمد عليها مؤسسات وشركات وملايين المستخدمين. United States Department of Justice +1
الجريمة تبدأ بدعوة عادية إلى اجتماع عبر الإنترنت
تبدأ الحكاية برسالة تبدو طبيعية تمامًا. يتلقى موظف في شركة تكنولوجيا أو مستثمر في العملات الرقمية دعوة من شخص يعرفه، عبر تطبيق تيليجرام أو لينكدإن أو سلاك أو ديسكورد، للمشاركة في اجتماع عبر الإنترنت لمناقشة مشروع جديد أو فرصة استثمارية أو تعاون مهني.
المرسل ليس بالضرورة حسابًا مزيفًا؛ فقد يكون الحساب الحقيقي لصديق أو زميل سبق للمهاجمين اختراقه. وبفضل وصولهم إلى المحادثات السابقة، يستطيع المهاجمون صياغة رسائل تبدو منسجمة مع طبيعة العلاقة المهنية أو الشخصية بين الطرفين.
وعندما يحين موعد الاجتماع، تصل رسالة تتضمن رابطًا يشبه روابط منصات Zoom أو Microsoft Teams، لكنه يقود في الحقيقة إلى موقع إلكتروني يتحكم فيه المهاجمون، صُمم ليبدو مطابقًا تقريبًا لواجهة المنصة الأصلية.
يدخل الضحية غرفة الاجتماع، فيشاهد وجه زميل يعرفه، وربما يرى مشاركين آخرين. لكن ما يظهر على الشاشة ليس اتصالًا مباشرًا حقيقيًا، بل تسجيلات فيديو سبق الاستيلاء عليها من أشخاص آخرين.
وبعد دقائق، تظهر مشكلة تقنية مفتعلة، غالبًا ما تتعلق بتعطل الصوت أو عدم قدرة الآخرين على سماع الضحية. ويطلب الشخص الذي يبدو أنه يدير الاجتماع تنفيذ تحديث أو إجراء لإصلاح المشكلة.
وهنا تقع الخدعة الأساسية. فالإجراء المقترح لا يصلح الصوت، بل يؤدي إلى تثبيت برمجيات خبيثة على جهاز الضحية، يمكنها سرقة كلمات المرور وبيانات المتصفح وتسجيل ضغطات لوحة المفاتيح والتقاط الشاشة والوصول إلى المحافظ الرقمية.
وتشير التفاصيل التي نشرها مكتب التحقيقات الفيدرالي إلى أن المهاجمين قد يحتفظون بإمكانية الوصول إلى الجهاز لفترات طويلة، وينتظرون شهورًا أو أكثر من عام قبل سرقة العملات الرقمية، خصوصًا عندما تزداد أرصدة المحافظ المستهدفة. ic3.gov
الذكاء الاصطناعي يدخل عالم انتحال الشخصيات
ما يجعل عملية «سارق الوجوه» مختلفة عن رسائل الاحتيال التقليدية ليس مجرد تزوير رابط اجتماع أو سرقة كلمة مرور، بل توظيف صورة الإنسان وثقة الآخرين فيه باعتبارهما جزءًا من سلاح الاختراق.
فقد كشف التحذير الأمريكي أن المهاجمين بدأوا استخدام تقنيات التزييف العميق (Deepfake)، التي تعتمد على نماذج تعلم آلي لتوليد مقاطع فيديو تحاكي أشخاصًا حقيقيين، مستفيدين من الصور والمقاطع المتاحة علنًا لشخصيات معروفة في قطاع العملات الرقمية وتقنيات البلوك تشين.
ولم يكن الهدف بالضرورة إنتاج فيديو سينمائي يصعب تمييزه عن الواقع، بل إنتاج صورة مقنعة بالقدر الكافي لكي يعتقد الضحية أنه يتحدث مع شخص يعرفه أو يثق فيه.
والأخطر أن مكتب التحقيقات الفيدرالي أوضح أن الجزء الأكبر من الحملة لا يزال يعتمد على تسجيلات حقيقية مسروقة من الضحايا السابقين، لا على الفيديوهات الاصطناعية وحدها. وهذا التفصيل بالغ الأهمية؛ لأن المهاجم لا يحتاج دائمًا إلى ابتكار وجه رقمي مقنع ما دام يمتلك تسجيلًا حقيقيًا لشخص يعرفه الضحية.
وبذلك تتحول عملية الاختراق إلى سلسلة متكررة، يصبح فيها كل ضحية مصدرًا لخداع ضحايا جدد. ic3.gov
عندما يتحول الاختراق الفردي إلى تهديد لسلسلة توريد البرمجيات
ربما يكون الجانب الأكثر خطورة في التحذير الأمريكي هو انتقال المهاجمين من استهداف أصحاب المحافظ الرقمية إلى استهداف مطوري البرمجيات مفتوحة المصدر.
فالبرمجيات مفتوحة المصدر تشكل جزءًا أساسيًا من البنية التكنولوجية العالمية. وتستخدمها الشركات والجامعات والبنوك والمؤسسات الحكومية في تطوير تطبيقاتها ومواقعها الإلكترونية وأنظمتها التشغيلية.
وكثير من هذه البرمجيات يعتمد على مكتبات صغيرة يطورها أفراد أو مجموعات محدودة من المبرمجين، ثم تستخدمها آلاف التطبيقات بصورة مباشرة أو غير مباشرة.
وبحسب تقرير مكتب التحقيقات الفيدرالي، استهدف المهاجمون خلال عام 2026 مسؤولًا عن مكتبة برمجية مهمة بلغة JavaScript، واستدرجوه إلى اجتماع مزيف عبر Microsoft Teams، شارك فيه ظاهريًا أشخاص يعرف أحدهم على الأقل.
وبعد خداع المطور لتنفيذ إجراءات تقنية خبيثة، حاول المهاجمون استغلال صلاحياته لإدخال تبعيات برمجية ضارة إلى المكتبة، التي تُحمّل عشرات الملايين من المرات أسبوعيًا.
وقد اكتُشف الهجوم وأُوقف قبل أن يتحول إلى انتشار واسع، لكن الواقعة كشفت احتمالًا شديد الخطورة: أن يؤدي اختراق حاسوب مطور واحد إلى تعريض عدد هائل من التطبيقات والمستخدمين للخطر.
كما ذكر التقرير محاولات لاستهداف مطورين يستخدمون مستودع حزم npm الخاص بمنظومة JavaScript، ومستودعات حزم Rust المعروفة باسم crates. ic3.gov
وهنا لم يعد الأمر يتعلق بسرقة أموال من حساب فردي، بل باحتمال تسميم سلسلة توريد البرمجيات (Software Supply Chain Attack)، بحيث تنتقل التعليمات الخبيثة عبر تحديثات أو مكونات تبدو مشروعة.
وهذا التحول يعكس حقيقة أساسية في الأمن السيبراني الحديث: ليست كل الهجمات بحاجة إلى اختراق ملايين الأجهزة مباشرة؛ فقد يكفي اختراق نقطة موثوقة تعتمد عليها ملايين الأجهزة الأخرى.
400 مليون دولار.. ومن يقف وراء الهجمات؟
خسائر حملة FaceStealer المعلنة
400+ مليون
دولار أمريكي خلال 18 شهرًا
تسجيلات فيديو مضبوطة
900+
تسجيل من كاميرات ضحايا حول العالم
وفق بيان وزارة العدل الأمريكية وتحذير FBI الصادرين في 12 نوفمبر 2026. United States Department of Justice +1
نسبت السلطات الأمريكية هذه الأنشطة إلى مجموعات قرصنة مرتبطة بكوريا الشمالية، تُعرف في تقارير التهديدات بأسماء متعددة، منها Sapphire Sleet وUNC1069 وBlueNoroff وAPT38 وStardust Chollima.
وتستخدم شركات الأمن السيبراني أحيانًا تسميات مختلفة لتتبع مجموعات أو أنشطة متداخلة، ولذلك لا تعني هذه الأسماء بالضرورة أنها تنظيمات منفصلة تمامًا أو متطابقة في جميع تصنيفات الباحثين.
وتتهم واشنطن كوريا الشمالية باستخدام سرقة العملات الرقمية لتمويل أنشطة حكومية وبرامج تسلح محظورة. وهذه نسبة رسمية أعلنتها السلطات الأمريكية، وليست نتيجة قضائية مستقلة تثبت مسؤولية كل فرد أو جهة ورد اسمها في التحقيقات.
كما أعلنت وزارة العدل، بالتزامن مع تعطيل حملة FaceStealer، إجراءات منفصلة تتعلق بأصول رقمية مسروقة من منصة Binance، شملت الحصول على إذن قضائي لضبط أو تجميد ما تزيد قيمته على 1.2 مليار دولار.
ومن المهم عدم الخلط بين المبلغين؛ فخسائر FaceStealer البالغة أكثر من 400 مليون دولار تخص الحملة محل التحذير، بينما ترتبط إجراءات Binance بعملية أخرى نسبتها السلطات إلى جهات قرصنة كورية شمالية. United States Department of Justice
هل أصبحت كاميرا الكمبيوتر دليلًا كاذبًا على الهوية؟
تطرح الواقعة سؤالًا بالغ الأهمية: إذا كان الإنسان يرى وجه زميله على الشاشة، فهل يكفي ذلك لإثبات أنه يتحدث معه فعلًا؟
لقد اعتادت المؤسسات الاعتماد على الصورة والصوت بوصفهما مؤشرين طبيعيين للهوية. ففي الاجتماعات المهنية، نميل إلى الثقة في الشخص عندما نرى وجهه، ونسمع صوته، ونتعرف على طريقة حديثه.
لكن هذه الافتراضات لم تعد كافية في عصر التزييف العميق وسرقة تسجيلات الفيديو.
فالصورة قد تكون حقيقية لكنها مسجلة، والصوت قد يكون مولدًا أو معاد تشغيله، والحساب الذي أرسل الدعوة قد يكون حسابًا أصليًا استولى عليه مهاجم.
وبذلك لا تكمن الأزمة في قدرة الذكاء الاصطناعي على اختراع صور مزيفة فقط، وإنما في قدرتنا المتناقصة على استخدام الأدلة البصرية والسمعية التقليدية للتحقق من الهوية داخل البيئة الرقمية.
وهذه قضية تمتد إلى ما هو أبعد من العملات الرقمية، لتشمل الاجتماعات الحكومية، والاتصالات الدبلوماسية، والمؤسسات المالية، والجامعات، والإدارات التنفيذية، وحتى المقابلات الوظيفية عن بُعد.
ولا تعني الواقعة أن كل اجتماع بالفيديو غير آمن، لكنها تؤكد ضرورة ألا تكون صورة الشخص أو حسابه الإلكتروني وحدهما دليلًا نهائيًا على هويته.
ما الذي ينبغي على المؤسسات فعله؟
لم يعد من الكافي أن تدرب المؤسسة موظفيها على تجنب الرسائل مجهولة المصدر. فالهجمات الحديثة قد تأتي من حسابات يعرفها الموظفون بالفعل، وتستخدم تفاصيل مستمدة من محادثاتهم السابقة.
ولهذا أوصى مكتب التحقيقات الفيدرالي باستخدام التطبيقات الرسمية لمنصات الاجتماعات، والدخول من خلال رموز الاجتماعات بدلًا من الضغط على روابط غير مؤكدة، وعدم تشغيل الكاميرا قبل التأكد من هوية الطرف الآخر.
كما حذر من تنفيذ أوامر برمجية أو تثبيت تحديثات بناءً على تعليمات تظهر داخل الاجتماع، ودعا إلى التحقق من الدعوات غير المعتادة عبر وسيلة اتصال مستقلة، مع تفعيل المصادقة متعددة العوامل لحماية الحسابات.
وبالنسبة إلى أصحاب المحافظ الرقمية، شدد على عدم الاحتفاظ بمفاتيح المحافظ الخاصة أو عبارات استعادتها على الأجهزة المستخدمة في الاتصالات اليومية، وعلى نقل الأصول إلى محفظة جديدة أُنشئت على جهاز موثوق إذا وُجد اشتباه جدي في اختراق الجهاز أو تسرب مفاتيحه. ic3.gov
أما مطورو البرمجيات والمؤسسات التي تستخدم المكونات مفتوحة المصدر، فتحتاج إلى مستويات إضافية من الحماية، تشمل مراجعة التحديثات البرمجية، وتقليل صلاحيات الوصول، والفصل بين الأجهزة الشخصية وبيئات تطوير البرمجيات، ومراقبة التغييرات غير المعتادة في المستودعات.
الأمن القومي في عصر سرقة الهوية الرقمية
تكشف هذه العملية عن تحول استراتيجي في مفهوم الهجمات السيبرانية. فلم تعد الجرائم الإلكترونية مجرد محاولات فردية لسرقة بيانات مصرفية، بل أصبحت في بعض الحالات عمليات منظمة يمكن أن تتداخل فيها الأهداف المالية والاستخباراتية والعسكرية.
إن الجمع بين الهندسة الاجتماعية والذكاء الاصطناعي والبرمجيات الخبيثة واستهداف سلاسل توريد البرمجيات يخلق نموذجًا للهجمات قادرًا على تجاوز الحدود الجغرافية والمؤسساتية.
ويحمل ذلك دلالات مهمة للدول النامية، ومنها مصر، التي تتوسع في استخدام المنصات السحابية والخدمات المالية الرقمية والبرمجيات مفتوحة المصدر.
فالاستثمار في التحول الرقمي يجب أن يصاحبه استثمار في تأمين الهوية الرقمية، وحماية مستودعات البرمجيات، وتدريب العاملين، وإنشاء آليات مؤسسية للتحقق من الاتصالات الحساسة.
كما أن الجامعات ومراكز البحث التي تعتمد على أدوات مفتوحة المصدر تحتاج إلى النظر إلى الأمن السيبراني باعتباره جزءًا من جودة البحث والتطوير، وليس مجرد مسؤولية تقع على أقسام تكنولوجيا المعلومات.
هل انتهت الحملة بعد تدخل السلطات الأمريكية؟
رغم إعلان السلطات الأمريكية تعطيل البنية التحتية السحابية المرتبطة بعملية FaceStealer وضبط تسجيلات فيديو تخص أكثر من 900 ضحية، فإن ذلك لا يثبت انتهاء جميع أنشطة المهاجمين أو القضاء على الأسلوب المستخدم.
فالحملة تعتمد على مجموعة من الأدوات والموارد التي يمكن إعادة بنائها أو استبدالها، ومنها الحسابات المخترقة، وتسجيلات الفيديو، وروابط الاجتماعات المزيفة، والبرمجيات الخبيثة.
ولهذا فإن تعطيل البنية التحتية يمثل ضربة مهمة للعملية، لكنه ليس ضمانًا بعدم ظهور نسخ أخرى تستخدم التكتيك نفسه.
والتحدي الأكبر أمام المؤسسات ليس فقط اكتشاف مواقع الاجتماعات المزيفة بعد إنشائها، بل بناء ثقافة أمنية تجعل الموظف قادرًا على التحقق من هوية من يتواصل معه، حتى لو بدا الوجه مألوفًا والحساب صحيحًا.
الخاتمة.. عندما يصبح وجهك سلاحًا ضد أصدقائك
ربما تكون أكثر الحقائق إثارة للقلق في حملة «سارق الوجوه» أن الضحية لا يخسر أمواله أو بياناته فقط، بل قد تتحول صورته وتسجيلاته وحساباته الشخصية إلى أدوات لاستهداف الآخرين.
فالمهاجمون لا يسرقون الهوية من أجل الاختباء وراءها فحسب، بل يستغلون العلاقات الإنسانية نفسها لتوسيع دائرة الاختراق.
وهذا هو التحول الأخطر في الجرائم السيبرانية الحديثة: لم تعد الثقة مجرد نقطة ضعف يمكن استغلالها، بل أصبحت مادة يمكن جمعها وتخزينها وإعادة استخدامها في هجمات منظمة.
لقد كشف مكتب التحقيقات الفيدرالي عن سرقة أكثر من 400 مليون دولار، وضبط مئات التسجيلات السرية، ومحاولات الوصول إلى سلاسل توريد برمجية يعتمد عليها ملايين المستخدمين. لكن القيمة الحقيقية لهذا التحذير تتجاوز هذه الأرقام.
إننا ندخل مرحلة لا يكفي فيها أن نرى الشخص حتى نصدقه، ولا أن نتلقى رسالة من حساب معروف حتى نثق بها، ولا أن نستخدم منصة تحمل شعار شركة عالمية حتى نفترض أنها آمنة.
فالذكاء الاصطناعي لم يجعل تزوير الوجوه ممكنًا فقط، بل جعل الثقة الرقمية نفسها هدفًا قابلًا للهجوم.
وفي عالم أصبحت فيه الصورة والصوت والحسابات الإلكترونية أدوات لإثبات الهوية، ربما تكون القاعدة الأمنية الأهم للمرحلة المقبلة هي:
«لا تثق في الوجه الذي تراه على الشاشة قبل أن تتحقق من الشخص الذي يقف خلفه».
