تحت قناع الإعلانات الرقمية… كيف تُستغل بيانات المستخدمين في الهجمات السيبرانية الموجّهة؟

لم تعد منظومة الإعلانات الرقمية (AdTech) مجرد قناة لعرض منتجات تتوافق مع اهتمامات المستخدم، بل أصبحت شبكة واسعة من التطبيقات والمواقع ومنصات المزايدة ووسطاء البيانات، تتبادل في أجزاء من الثانية معلومات عن الأجهزة والمواقع التقريبية وعادات التصفح والمحتوى الذي يطالعه الأفراد. وقد صُمّمت هذه البنية لتحديد الإعلان الأنسب لكل مستخدم، إلا أن الآليات نفسها يمكن أن تمنح جهات التهديد وسيلة لتحديد أهداف بعينها وتعقبها والوصول إليها عبر منصات تبدو موثوقة.

خلال مؤتمر «كاسبرسكي للأمن السيبراني» لمنطقة الشرق الأوسط وتركيا وأفريقيا، الذي عُقد في تبليسي عاصمة جورجيا، عرض الباحثون كيف انتقلت إساءة استخدام بيانات الإعلان من انتهاك الخصوصية والتأثير في السلوك إلى المراقبة الفعلية والاستغلال السيبراني الموجّه. ويرتكز هذا التحول على تقنيات الإعلان والمزايدة الفورية ومعرّفات الأجهزة وحزم تطوير البرمجيات المدمجة داخل التطبيقات، إلى جانب وسطاء قادرين على جمع أجزاء متناثرة من البيانات وتحويلها إلى ملف رقمي شديد الدقة.

ماهر يموت كبير الباحثين الأمنيين في فريق البحث والتحليل العالمي لدى «كاسبرسكي» (الشركة)

تبدأ العملية عندما يفتح المستخدم تطبيقاً أو موقعاً يحتوي على مساحة إعلانية. يرسل التطبيق طلباً إلى البنية الإعلانية يتضمّن معلومات تساعد الجهات المهتمة في تحديد قيمة هذا المستخدم بالنسبة إليها، ثم تتنافس شركات متعددة في مزاد فوري لعرض إعلانها، ووفقاً لـ«كاسبرسكي»، قد تكتمل هذه الدورة خلال نحو 100 مللي-ثانية.

ولا يقتصر طلب المزايدة على معلومة عامة تفيد بأن شخصاً مجهولاً فتح تطبيقاً؛ إذ قد يحتوي على معرّف فريد ونوع المتصفح وعنوان بروتوكول الإنترنت واستنتاجات مرتبطة بالموقع الجغرافي، ونوع المحتوى الذي كان المستخدم يقرأه. وتبدو كل معلومة منفردة محدودة القيمة، لكن جمعها وربطها عبر خدمات مختلفة يسمح ببناء ما وصفه العرض بـ«الحمض النووي الرقمي» للمستخدم.

ويصرّح كبير الباحثين الأمنيين في فريق البحث والتحليل العالمي لدى «كاسبرسكي»، ماهر يموت، في مقابلة خاصة مع «الشرق الأوسط»، بأن «منظومة الإعلان صُمّمت لتقديم الرسالة والمحتوى المناسبين إلى الشخص المناسب في الوقت المناسب»، غير أن القدرات نفسها يمكن أن تستغلها جهات متقدمة لأغراض تختلف عن الإعلان. ويضيف أن الأدوات التي أنشئت للاستهداف التجاري يمكن تحويلها إلى وسيلة لجمع المعلومات الاستخباراتية، بما يتيح تحديد الأشخاص ذوي القيمة العالية، وفهم سلوكهم، ثم محاولة الوصول إليهم عبر تطبيقات ومواقع يثقون بها.

وتكمن إحدى المشكلات في أن بيانات طلب المزايدة قد تُبث إلى أطراف متعددة مهتمة بشراء المساحة الإعلانية، وليس إلى الجهة التي تفوز بالمزاد فقط. وهذا يعني أن المعلومات قد تنتقل إلى عدد من المشاركين قبل أن يظهر الإعلان على شاشة المستخدم، وهو ما يوسع دائرة الوصول إلى البيانات ويجعل تتبع مسارها أكثر تعقيداً.

تدخل البيانات إلى هذه المنظومة عبر قنوات متعددة، من بينها حزم تطوير البرمجيات المعروفة اختصاراً بـ«SDK»، التي يضيفها مطورو التطبيقات لتوفير وظائف جاهزة أو تشغيل أدوات التحليل أو تحقيق الإيرادات من الإعلانات. وقد ترث هذه الحزم الأذونات نفسها الممنوحة للتطبيق، مما يمنحها القدرة على الوصول إلى بيانات لا يدرك المستخدم دائماً أنها تغادر الجهاز أو تُشارك مع جهات أخرى.

ولا يعني ذلك أن كل حزمة تطوير خبيثة؛ إذ تستخدمها التطبيقات لأغراض مشروعة وضرورية. لكن المشكلة تبدأ عندما تنتقل البيانات بين عدة شركات، ويصبح من الصعب على المستخدم أو المؤسسة معرفة جميع الأطراف التي حصلت عليها، وكيف جرى دمجها، وإلى متى ستظل محفوظة.

وتشمل المصادر أيضاً وحدات تتبع صغيرة قد تكون صورة غير مرئية بقياس بكسل واحد داخل بريد إلكتروني أو صفحة ويب. وعند تحميلها، يمكن أن تكشف عن عنوان بروتوكول الإنترنت، ونوع الجهاز، والمتصفح أو البرنامج المستخدم. ومع إضافة الموقع التقريبي وبيانات التطبيق وسجل التفاعل، تتحول هذه الإشارات إلى سلسلة مترابطة تكشف عن أنماط الحركة والعادات والأوقات والأماكن التي يتكرر فيها وجود المستخدم.

وفي هذا السياق، لا تأتي الخطورة من معلومة منفردة، بل من القدرة على ربطها بمعرّف موحد يلاحق الجهاز عبر تطبيقات وخدمات مختلفة. ويعرض يموت هذه العملية بوصفها انتقالاً من «فتات رقمي» متناثر إلى هوية يمكن تمييزها عن ملايين المستخدمين الآخرين.

قد تكشف طلبات المزايدة الإعلانية الفورية عن معرّفات الأجهزة وعناوين الإنترنت والمواقع التقريبية وأنواع المتصفحات (أدوبي)

يقسّم باحثو «كاسبرسكي» تطور إساءة استخدام بيانات المستخدمين إلى 3 مراحل. بدأت الأولى باستخدام المعلومات في التأثير النفسي والتلاعب بالمواقف والسلوك، ثم انتقلت إلى المراقبة والتتبع في العالم الفعلي، قبل أن تصل في صورتها الحديثة إلى الاستغلال السيبراني الموجّه.

وفي المرحلة الأولى، تُستخدم البيانات لمعرفة اهتمامات الأفراد ومخاوفهم وتفضيلاتهم، ثم توجيه الرسائل إليهم بطريقة تزيد احتمال التأثير في قراراتهم. أما المرحلة الثانية فتضيف الموقع والحركة والأنماط اليومية، بما يسمح بتكوين صورة عن الأماكن التي يزورها الشخص والأوقات التي يتحرك فيها.

وتبدأ المرحلة الثالثة عندما تتحول هذه المعلومات من أداة للتأثير أو المراقبة إلى أساس لاختيار الضحية وتنفيذ الهجوم. عندها يمكن استخدام نوع الجهاز والمتصفح والتطبيقات والموقع لتحديد الثغرة المناسبة والمسار الأكثر احتمالاً للنجاح.

تركز متاجر التطبيقات على مراجعة البرنامج الأساسي قبل السماح بنشره، لكن التطبيق قد يحتوي داخله على شبكات إعلانية ومكونات تحليل تابعة لأطراف أخرى. وهنا تظهر ما سماه يموت «مفارقة الثقة»؛ أي إن المستخدم يحمّل تطبيقاً من متجر رسمي، ويفترض أن جميع مكوناته خضعت للمستوى نفسه من التدقيق، في حين قد تكون المخاطر في النظام الإعلاني المحيط بالتطبيق، لا في التطبيق ذاته.

ويعني ذلك أن فتح تطبيق شرعي قد يكون كافياً لبدء تفاعل مع بنية إعلانية واسعة، من دون الضغط على رابط أو تنزيل ملف مباشر. وتزداد أهمية هذا العامل مع ظهور حملات تعتمد على إعلانات مصممة للوصول إلى شخص محدد، بدلاً من توزيع البرمجيات الخبيثة عشوائياً، وانتظار وقوع أحد المستخدمين في الفخ.

ويشرح الخبراء الأمنيون أنه يمكن للمهاجم أن يبدأ بتكوين ملف عن الهدف باستخدام بيانات الإعلان، ثم يشتري فرصة عرض إعلان لذلك الجهاز بعينه، ويدس حمولة تستغل ثغرة في المتصفح أو مكوناً داخل التطبيق. وفي حالات متقدمة، قد تكون النتيجة تثبيت برنامج تجسس «من دون نقر»، فلا يحتاج الضحية إلى فتح رابط أو الموافقة على تنزيل.

حظرت «كاسبرسكي» في دول الخليج أكثر من 1.6 مليون محاولة لإعادة توجيه المستخدمين إلى محتوى خبيث خلال النصف الأول من 2026 (الشركة)

يختلف هذا النموذج عن المسار التقليدي للهجمات، الذي يبدأ برسالة تصيد، ثم تفاعل من المستخدم، ثم تثبيت برمجية خبيثة. أما المسار الجديد فيبدأ بتحديد الهدف عبر بيانات الإعلان، ثم شراء ظهور الإعلان له بصورة دقيقة، قبل محاولة استغلال الجهاز من خلال المحتوى المعروض. ولا يعني ذلك أن الإعلانات الرقمية أصبحت جميعها وسيلة هجوم، بل إن البنية ذاتها يمكن إساءة استخدامها عندما تصل إليها جهات قادرة على شراء البيانات أو التظاهر بأنها من المعلنين أو استغلال وسطاء يعملون داخل السوق.

ويطلق الباحثون على هذا الاستخدام مصطلح «الاستخبارات الإعلانية»، حيث تدخل جهة مراقبة أو تجسس إلى النظام بواجهة تجارية، وتتصرف باعتبارها معلناً يريد الوصول إلى شريحة معينة، في حين تكون غايتها الحقيقية تحديد أفراد بعينهم وتعقبهم أو جمع معلومات عن أجهزتهم.

ويعدّ يموت أن دقة المنصات الإعلانية توسع سطح الهجوم إلى ما يتجاوز رسائل التصيد والتنزيلات الخبيثة التقليدية؛ فالرسالة لم تعد بالضرورة تصل عبر بريد إلكتروني يثير الشك، بل قد تأتي من خلال خدمة يستخدمها الشخص يومياً ولا يتوقع أن تكون جزءاً من عملية استهداف.

لا تقتصر المخاطر على حملات التجسس المتقدمة؛ إذ يمكن للبرمجيات الإعلانية نفسها أن تعيد توجيه المستخدمين نحو مواقع تنشر برمجيات خبيثة. وأفادت «كاسبرسكي» بأنها حظرت في دول مجلس التعاون الخليجي خلال النصف الأول من عام 2026، أكثر من 1.6 مليون محاولة لإعادة توجيه المستخدمين إلى محتوى خبيث.

وتشير البيانات المقدمة في العرض إلى ارتفاع أوسع في نشاط البرمجيات الإعلانية التي حُظرت عبر شبكة «كاسبرسكي» الأمنية، من 732 مليوناً و406 آلاف و716 حالة في النصف الأول من 2025، إلى 898 مليوناً و726 ألفاً و497 حالة في الفترة نفسها من 2026، بزيادة بلغت نحو 22 في المائة.

نوصي بقراءة: القادسية يضم قحطاني الهلال رسمياً حتى «2030»

كما أظهر توزيع التهديدات في النصف الأول من 2026، أن البرمجيات الإعلانية شكّلت 30.59 في المائة من التصنيفات المرصودة، مقابل 25.46 في المائة لأحصنة طروادة، و21.99 في المائة لأدوات المخاطر، و12.96 في المائة لأدوات التنزيل، و11.68 في المائة لأدوات الاختراق.

ولا تعني هذه النسب أن كل برنامج إعلاني ينفّذ تجسساً متقدماً، لكنها توضح حجم فئة قد تُعامل أحياناً باعتبارها مجرد مصدر إزعاج، رغم احتمال استخدامها لجمع البيانات أو إعادة التوجيه أو إخفاء وظائف أكثر خطورة.

ارتفعت حالات حظر البرمجيات الإعلانية عالمياً بنحو 22 % لتصل إلى نحو 899 مليون حالة في النصف الأول من 2026 (أدوبي)

يساعد ظهور البرمجية بوصفها أداة إعلانية مزعجة على تقليل مستوى الاهتمام الذي تحصل عليه داخل بعض المؤسسات. فعندما يركز فريق الأمن على برامج الفدية أو سرقة البيانات أو الهجمات التي توقف العمليات، قد تُصنّف النوافذ المنبثقة وإعادة التوجيه بوصفها مشكلة محدودة، ويُكتفى بإزالة البرمجية من الجهاز من دون تحقيق أوسع في كيفية وصولها أو الجهات التي تواصلت معها.

لكن هذا القناع يمكن أن يُخفي قدرات أخرى، تشمل جمع معلومات عن النظام، أو تنزيل برمجيات إضافية، أو سرقة بيانات اعتماد، أو فتح قناة اتصال عن بعد. وقد تستفيد الجهات المتقدمة من هذا التصنيف المنخفض للبقاء مدة أطول أو لتشويش عملية الإسناد، لأن النشاط يبدو في بدايته أقرب إلى برنامج تجاري غير مرغوب فيه منه إلى حملة تجسس موجهة.

يتقاطع استغلال الإعلانات مع تحول أوسع في سلوك مجموعات التهديدات المتقدمة. ويفيد يموت -خلال حديثه مع «الشرق الأوسط»- بأن المهاجمين باتوا يستخدمون خدمات موثوقة، مثل «غوغل» و«يوتيوب» و«مايكروسوفت أزور» و«غيت هب» ومنصات التواصل، في قنوات التحكم والاتصال، بدلاً من الاعتماد حصراً على نطاقات وعناوين إنترنت يسهل تصنيفها بوصفها مشبوهة.

ويوضح أن المهاجمين يدرسون التطبيقات التي تعتمد عليها المؤسسة، ثم يحاولون تمرير اتصالاتهم عبرها؛ فإذا كانت الشركة تستخدم «مايكروسوفت تيمز» مثلاً، قد يبدو تبادل البيانات مع الخدمة طبيعياً عند فحص حركة الشبكة، رغم احتمال وجود أوامر موجهة إلى برمجية خبيثة ضمن ذلك الاتصال.

ويقول: «عندما يفحص فريق الأمن حركة الشبكة، قد يرى اتصالاً عادياً مع خدمة موثوقة، لا رابطاً مشبوهاً أو نطاقاً غير معروف». ويمنح هذا الأسلوب المهاجم فرصة للاندماج في النشاط اليومي للشبكة، مثلما تتيح البنية الإعلانية الوصول إلى الضحية عبر تطبيق شرعي.

تستطيع جهات التهديد إيصال برمجيات تجسس «من دون نقر» عبر إعلانات تظهر داخل تطبيقات ومواقع شرعية يثق بها المستخدم (أدوبي)

ترتبط أهمية هذه التقنيات في السعودية والخليج باتساع الخدمات الرقمية وترابط القطاعات الحكومية والتجارية. ويرى يموت أن زيادة الرقمنة تجعل الأنظمة أكثر جاذبية لمجموعات التجسس، لأنها تحتوي على معلومات شخصية قابلة للتعريف، مثل الأسماء وبيانات جوازات السفر، ويمكن استخدامها لجمع المعلومات أو الانتقال من نظام إلى آخر.

ويلفت إلى أن الجهات الحكومية تظل من الأهداف التقليدية، لكن الاهتمام يمتد بصورة متزايدة إلى الاتصالات والدفاع والطيران. ولا يشمل ذلك الوزارات والمؤسسات الكبرى وحدها، بل المقاولين والموردين والشركات التي توفر مكونات أو خدمات مساندة.

وتكتسب صناعة الطيران قيمة خاصة لدى الجهات التي تبحث عن معلومات استخباراتية، بسبب ما يمكن أن تحتويه أنظمتها من بيانات عن حركة المسافرين ودخول الأشخاص إلى الدولة وخروجهم، إلى جانب الأسماء وبيانات جوازات السفر.

ولا يشترط الوصول إلى المؤسسة الرئيسية مباشرة؛ إذ يمكن استهداف مورد أصغر يمتلك صلاحيات أو اتصالاً موثوقاً، ثم استخدامه مدخلاً إلى بيئة أكبر. ويشير يموت إلى أن الشركة الصغيرة قد تفتقر إلى ميزانية أمنية كافية، لكنها تحتفظ بوصول موثوق إلى أنظمة الجهة الكبرى، ما يجعلها حلقة أضعف في سلسلة التوريد.

رغم تطور أساليب الاستهداف، يقول يموت إن التصيد الموجه لا يزال من أكثر طرق الوصول الأولي فاعلية، يليه استغلال خوادم الويب غير المحدثة، ثم الثغرات التي لم تُعالج أو ثغرات «اليوم صفر»، في حين تمثل هجمات سلسلة التوريد مساراً أكثر تعقيداً.

وقد زاد الذكاء الاصطناعي من قدرة المهاجمين على إعداد رسائل تصيد بلغة طبيعية خالية من الأخطاء الواضحة، كما ساعد في تسريع تطوير البرمجيات الخبيثة وتعديلها بعد اكتشافها. ويستطيع المهاجم إعادة توليد أجزاء من الشفرة أو تغييرها مراراً لمحاولة تجاوز وسائل الكشف.

لكن الهدف يختلف باختلاف دوافع الجهة. ويوضح يموت أن المهاجمين الماليين يبحثون داخل الأنظمة عن المحافظ الرقمية والمفاتيح وبيانات الدفع، في حين تعطي مجموعات التجسس الأولوية للتخفي والبقاء داخل الشبكة أطول مدة ممكنة لجمع أكبر قدر من المعلومات.

تستغل مجموعات متقدمة منصات موثوقة وشركاء مخترقين لإخفاء اتصالاتها ما يستدعي مراقبة الشبكات وتقييد الصلاحيات (غيتي)

تغطي قوانين الخصوصية في أسواق متعددة جوانب الموافقة وجمع البيانات، لكنها لا تعالج دائماً جميع التدفقات المرتبطة بالمزايدة الفورية ووسطاء البيانات. ويصف العرض هذا الجانب بأنه «منطقة رمادية»؛ إذ قد يمنح المستخدم موافقته لتطبيق واحد، فيما تنتقل بياناته عبر عدد كبير من الأطراف التي لا يعرفها مباشرة.

ولا يتوقف التحدي عند الشركات الملتزمة بالقوانين، لأن جهات التهديد ووسطاء البيانات غير المنظمين يمكنهم العمل خارج الأطر المعتادة. كما أن الموافقة على جمع البيانات لغرض الإعلان لا تعني الموافقة على استخدامها في المراقبة أو بناء ملفات استخباراتية أو استهداف الأجهزة.

وتزداد صعوبة الرقابة عندما تتم المزايدات في أجزاء من الثانية، وتنتقل الطلبات إلى عدة أطراف. وحتى عندما لا يفوز أحد المشاركين بالمزاد، قد يكون حصل بالفعل على معلومات عن المستخدم وردت في طلب العرض.

تبدأ الحماية بمراجعة أذونات التطبيقات وتحديث الأجهزة والبرامج وتقليل التعرض غير الضروري للبنية الإعلانية، إلى جانب استخدام أدوات حظر الإعلانات على أجهزة المؤسسات حيث تسمح بيئة العمل بذلك.

وعلى مستوى المؤسسات، تشمل الإجراءات المطلوبة مراقبة الأجهزة الطرفية، وتحليل حركة الشبكة، والاستفادة من معلومات التهديدات، ومراجعة وصول الموردين والشركاء، ومنحهم الحد الأدنى من الصلاحيات اللازمة.

ويشدّد يموت على ضرورة عدم الثقة العمياء بالموردين أو الخدمات المألوفة، لأن الجهة المهاجمة قد تستخدم حساباً شرعياً أو منصة موثوقة أو شريكاً مخترقاً لإخفاء نشاطها. كما يدعو إلى التعامل مع الاختراق بوصفه احتمالاً قائماً، والتركيز على سرعة اكتشافه وحصره قبل أن يتحول إلى وجود طويل الأمد داخل الشبكة.

وفي هذه البيئة، تصبح بيانات الإعلان وسيلة لاختيار الهدف، فيما تتحول التطبيقات الشرعية والمنصات السحابية والموردون الموثوقون إلى مسارات محتملة للوصول. ولا يعود السؤال مقتصراً على ما إذا كان الإعلان نفسه ضاراً، بل يمتد إلى الجهات التي ترى بيانات المستخدم خلال دورة عرضه، وكيف يمكن ربط تلك البيانات، ومن يستطيع تحويلها من أداة تجارية إلى خريطة لعملية استهداف سيبراني.

Your Premium trial has endedYour Premium trial has endedYour Premium trial has endedYour Premium trial has ended