تعرّضت شركتنا لهجوم ببرمجيات الفدية: الاستجابة الأولى والالتزامات القانونية
آخر تحديث: 02.11.2026 · الكاتب: المحامي جوشكون غينتش، محامي الجرائم المعلوماتية في إسطنبول
الجواب المختصر: الخطوة الأولى في هجوم برمجيات الفدية هي فصل الأنظمة المتأثرة عن الشبكة دون إيقاف تشغيلها أو مسحها، وحفظ سجلات النظام (log) والنسخ الجنائية للأقراص (forensic image) دون أي تعديل. وإذا تأثرت بيانات شخصية، يُقدَّم الإخطار وفقًا للمادة 12/5 من قانون حماية البيانات الشخصية (القانون رقم 6698، KVKK) وقرار المجلس رقم 2019/10 إلى مجلس حماية البيانات الشخصية خلال 72 ساعة على الأكثر من لحظة العلم بالانتهاك، وإلى الأشخاص المعنيين في أقرب وقت معقول. وتوجب المادة 7/1-b من قانون الأمن السيبراني رقم 7545 إخطار رئاسة الأمن السيبراني (Siber Güvenlik Başkanlığı) بالحادث السيبراني دون تأخير. ويكون الهجوم محلًّا لشكوى جزائية في إطار المادتين 243 و244 من قانون العقوبات التركي؛ ولا يُسقط دفعُ الفدية هذه الالتزامات.
هجوم برمجيات الفدية حادث سيبراني يشفّر ملفات الشركة ويجعلها غير قابلة للوصول، وكثيرًا ما ينسخ البيانات أيضًا ويهدد بنشرها. يتناول هذا المقال إدارة الحادث، وحفظ السجلات، والإخطارات، والتواصل مع مزوّدي الخدمة، ومخاطر قرار دفع الفدية؛ أما إجراءات الامتثال العامة لقانون حماية البيانات الشخصية فتخرج عن نطاقه.
ما الذي ينبغي فعله في الساعات الأولى من هجوم برمجيات الفدية؟
الهدف في الساعات الأولى هو حفظ الدليل مع وقف الانتشار. فإعادة بناء النظام فورًا تُسرّع العمل لكنها تمحو آثار الهجوم؛ ولذلك ينبغي اتخاذ القرارات التقنية والقانونية معًا.
- اعزلوا ولا توقفوا التشغيل: افصلوا الأجهزة المتأثرة عن الشبكة وعن الإنترنت. ولما كان قطع التيار قد يُتلف الآثار الموجودة في الذاكرة، فليتخذ الفريق التقني قرار إيقاف التشغيل.
- ابدؤوا سجل الحادث: ليُدوَّن مع الساعة وقتُ اكتشاف الهجوم لأول مرة، ومن اكتشفه، وكل إجراء يُتخذ. فمهلة الـ 72 ساعة للإخطار وفق قانون حماية البيانات الشخصية تبدأ من لحظة العلم بالانتهاك.
- جمّدوا الأدلة: لتُؤخذ سجلات النظام، ومذكرة الفدية، والمراسلات مع المهاجم، والنسخة الجنائية للأقراص المتأثرة؛ ولتُسجَّل قيمة التجزئة (hash) للنسخ.
- حدّدوا النطاق: ما الأنظمة التي شُفّرت؟ هل جرى تسريب البيانات إلى الخارج؟ هل تأثرت بيانات شخصية أو بيانات شخصية ذات طبيعة خاصة؟
- ضعوا جدول الإخطارات: ليُحدَّد شخص مسؤول وموعد لكل من الإخطار إلى مجلس حماية البيانات الشخصية والأشخاص المعنيين ورئاسة الأمن السيبراني، وللشكوى الجزائية.
- نبّهوا مزوّدي الخدمة: ليُطلب كتابةً من مزوّدي الحوسبة السحابية والاستضافة والدعم التقني والبرمجيات حفظ سجلاتهم الخاصة.
- لا تتعجلوا في الدفع: لا ينبغي اتخاذ قرار التواصل مع المهاجم أو الدفع دون إجراء تقييم قانوني ودون توثيقه بقرار من الإدارة.
- الاستعادة بعد الدليل: لتبدأ الاستعادة من النسخ الاحتياطية بعد أخذ النسخ الجنائية وحفظ السجلات؛ وليُتحقَّق من سلامة النسخ الاحتياطية المحفوظة خارج الشبكة.
كيف تُحفظ سجلات النظام والأدلة الرقمية؟
تُحفظ السجلات على نحو يمكن معه إثبات أنها لم تُعدَّل: إذ تؤخذ أولًا نسخة جنائية مطابقة بتًّا ببت، وتُحسب قيمة التجزئة الخاصة بها، ويُجرى الفحص على النسخة. وتُظهر سجلات النظام كيفية وقوع الهجوم من جهة، والتدابير التي اتخذتها الشركة من جهة أخرى. وفقدان السجلات لا يُصعّب التحقيق الجزائي فحسب، بل قد يُرتّب كذلك نتائج في غير صالح الشركة عند فحصها وفق قانون حماية البيانات الشخصية.
وقد عدّ مجلس حماية البيانات الشخصية، في فحص يتعلق بهجوم ببرمجيات الفدية، عدمَ تقديم معلومات عن مصدر الهجوم وتعذّرَ الوصول إلى سجلات النظام المشفَّرة قصورًا في أمن البيانات:
"بالنظر إلى أن المسؤول عن البيانات لم يقدّم إلى هيئتنا معلومات/مستندات بشأن ماهية الثغرة الأمنية التي تسببت في انتهاك البيانات (رغم مطالبته بالمعلومات في هذا الشأن)، وأنه تعذّر كذلك الوصول إلى سجلات النظام التي قد تتضمن معلومات مهمة في هذا الصدد (إذ ذُكر أنها مشفّرة)، فقد تبيّن أن لدى المسؤول عن البيانات أوجه قصور في متابعة أمن البيانات الشخصية ومراقبته"
مجلس حماية البيانات الشخصية، رقم القرار 2024/2196، بتاريخ 26.12.2024 (ملخص القرار)
وفي القرار ذاته عُدّ أيضًا تفعيلُ المصادقة الثنائية بعد الانتهاك فقط وعدمُ كفاية فصل الشبكات من أوجه القصور، وفُرضت غرامة إدارية بموجب المادة 18/1-b من قانون حماية البيانات الشخصية. ولذلك فإن الاحتفاظ بسجلات النظام في بيئة منفصلة حاجة قانونية.
وفي المحاكمة الجزائية تُقيَّم موثوقية الدليل الرقمي بالمنطق ذاته. إذ تنظّم المادة 134 من قانون الإجراءات الجزائية التفتيشَ في الحواسيب التي يستخدمها المشتبه به ونسخَها وحجزَها: فبشرط وجود شبهة قوية مستندة إلى أدلة ملموسة وتعذّر الحصول على الدليل بطريقة أخرى، يصدر القرار عن القاضي، أو عن المدعي العام إذا كان في التأخير ضرر؛ ويُعرض قرار المدعي العام على القاضي للمصادقة خلال أربع وعشرين ساعة. وأثناء الحجز تُؤخذ نسخة احتياطية من جميع البيانات الموجودة في النظام، وتُسلَّم نسخة منها إلى المشتبه به. وقد بيّنت الهيئة العامة الجزائية لمحكمة النقض الغاية من هذا التنظيم على النحو الآتي:
"يتعيّن التسليم بأن غاية المشرّع فيما يتعلق بالتدبير المنظَّم في المادة 134 من قانون الإجراءات الجزائية هي حفظ الحالة القائمة للبيانات الرقمية التي قد تشكّل دليلًا في الدعوى الجزائية، وإزالة إمكانية التدخل في هذه البيانات قبل أخذ نسخها الجنائية، ومنع الإضرار بالمشتبه به."
الهيئة العامة الجزائية لمحكمة النقض، رقم الأساس 2016/544، رقم القرار 2020/127، بتاريخ 25.02.2020
وفي هذا القرار عدّت الهيئة العامة البياناتِ المستخرجة من أقراص حُجزت دون أخذ نسخة احتياطية منها دليلًا غير مشروع، ونقضت الحكم. وبالنسبة إلى أنظمة الشركة ذاتها، فإن ذلك يعني وجوب تسجيل كل تدخل يُجرى بعد الهجوم. كما جعلت الدائرة الجزائية الثانية عشرة لمحكمة النقض، في ملف يُدّعى ارتكابه عبر الإنترنت، فحصَ سجلات النظام بعد أخذ النسخ الجنائية سببًا للنقض لقصور الفحص:
"…وذلك بأخذ النسخ الجنائية للمواد الرقمية استنادًا إلى قرار تفتيش يُتّخذ وفق الأصول، […] وبفحص سجلات النظام، وبعد إعداد تقرير مدعوم بالبيانات التقنية حول ما إذا كان الحساب محل الجريمة قد فُتح بواسطة المتهم […]، تُقيَّم جميع الأدلة المجموعة معًا…"
محكمة النقض، الدائرة الجزائية الثانية عشرة، رقم الأساس 2023/734، رقم القرار 2023/3978، بتاريخ 16.10.2023
السجلات والمستندات الواجب حفظها
- ✓سجلات جدار الحماية والشبكة الافتراضية الخاصة (VPN) والوصول عن بُعد وخادم البريد الإلكتروني والمصادقة (تسجيل الدخول)
- ✓النسخ الجنائية لأقراص الخوادم والحواسيب المتأثرة، وقيم التجزئة الخاصة بها، ومحضر أخذ النسخ
- ✓مذكرة الفدية، وقناة تواصل المهاجم، والمراسلات، وعنوان المحفظة الوارد في طلب الدفع
- ✓التسلسل الزمني للحادث: أوقات الاكتشاف الأول والعزل والإخطار والاستعادة
- ✓جرد معالجة البيانات الشخصية وقائمة فئات البيانات المتأثرة
- ✓المستندات التي تُظهر التدابير المتخذة قبل الانتهاك: تقارير اختبارات الاختراق، وسياسة النسخ الاحتياطي، وقوائم صلاحيات الوصول
- ✓عقود مزوّدي الخدمة والمراسلات المتعلقة بالحادث معهم
متى وكيف يُقدَّم الإخطار بانتهاك البيانات وفق قانون حماية البيانات الشخصية؟
إذا حصل الغير على البيانات الشخصية بطرق غير قانونية، يُخطر المسؤول عن البيانات مجلسَ حماية البيانات الشخصية دون تأخير وخلال 72 ساعة على الأكثر من لحظة علمه بالانتهاك. والأساس القانوني لذلك هو المادة 12 من قانون حماية البيانات الشخصية وقرار المجلس المفسِّر لهذا الحكم.
قانون حماية البيانات الشخصية (القانون رقم 6698) – المادة 12/5
(5) في حال حصول الغير على البيانات الشخصية المعالَجة بطرق غير قانونية، يُخطر المسؤول عن البيانات صاحبَ الشأن والمجلسَ بذلك في أقرب وقت ممكن. وللمجلس، عند الاقتضاء، أن يعلن هذه الحالة على موقعه الإلكتروني أو بأي طريقة أخرى يراها مناسبة.
وقد فسّر قرار المجلس المؤرخ 24.01.2019 ورقمه 2019/10 عبارةَ "في أقرب وقت ممكن" بأنها 72 ساعة فيما يتعلق بالإخطار إلى المجلس. ووفقًا للقرار ذاته، يُخطَر الأشخاص المتأثرون بالانتهاك في أقرب وقت معقول بعد تحديدهم، مباشرةً إذا أمكن الوصول إلى عنوان الاتصال بهم، وإلا فبالطرق المناسبة كالنشر على الموقع الإلكتروني. وإذا تجاوزت المدة 72 ساعة لسبب مشروع، تُبيَّن أسباب التأخير مع الإخطار.
ويُقدَّم الإخطار بواسطة نموذج الإخطار بانتهاك البيانات الشخصية (Kişisel Veri İhlal Bildirim Formu) الصادر عن الهيئة. وإذا لم تكن جميع المعلومات الواردة في النموذج معلومة في وقت واحد، جاز استكمالها على مراحل دون تأخير. وفي حوادث برمجيات الفدية، كثيرًا ما لا يتضح في الساعات الأولى ما إذا كانت البيانات قد سُرّبت إلى الخارج أم لا؛ وهذا الغموض سبب لتقديم إخطار مرحلي، لا لتأجيل الإخطار.
ويحدد قرار المجلس المؤرخ 18.09.2019 ورقمه 2019/271 مضمونَ الإخطار الموجَّه إلى الأشخاص المعنيين. فينبغي أن يُصاغ الإخطار بلغة واضحة وبسيطة، وأن يتضمن كحد أدنى: وقت وقوع الانتهاك، والبيانات المتأثرة مع التمييز بين البيانات الشخصية والبيانات الشخصية ذات الطبيعة الخاصة، والنتائج المحتملة، والتدابير المتخذة أو المقترحة، ومعلومات الاتصال.
والامتثال لالتزام الإخطار لا يحول، من جهة أخرى، دون فحص تدابير أمن البيانات. فقد قبل المجلس أن شركة تعرّضت لهجوم ببرمجيات الفدية قدّمت إخطارها خلال 72 ساعة، ولم يتخذ إجراءً في هذا الجانب؛ غير أنه، مراعيًا حذف ملفات النسخ الاحتياطي أيضًا وعدم كفاية متابعة سجلات النظام، فرض غرامة إدارية في إطار المادة 12/1 (المجلس، رقم القرار 2020/463، بتاريخ 16.06.2020). وفي ذلك القرار أحال المجلس إلى ما ورد في دليل أمن البيانات الشخصية (Kişisel Veri Güvenliği Rehberi) من وجوب حفظ النسخ الاحتياطية خارج الشبكة.
هل يوجد التزام بالإخطار وفق قانون الأمن السيبراني؟
نعم. فقانون الأمن السيبراني رقم 7545، المنشور في الجريدة الرسمية بتاريخ 19.03.2025، يوجب على من يقدّمون الخدمات أو يجمعون البيانات أو يعالجونها باستخدام أنظمة المعلومات إخطارَ رئاسة الأمن السيبراني (Siber Güvenlik Başkanlığı) بالحوادث السيبرانية التي يكتشفونها دون تأخير. ويعرّف القانون الحادث السيبراني بأنه انتهاك سرية أنظمة المعلومات أو البيانات أو سلامتها أو إتاحتها (المادة 3/1-g)؛ وبرمجيات الفدية التي تشفّر الملفات تدخل في هذا التعريف.
قانون الأمن السيبراني رقم 7545 – المادة 7/1-b
b) اتخاذ التدابير التي ينص عليها التشريع في مجال الأمن السيبراني لأغراض الأمن القومي أو النظام العام أو حسن سير الخدمة العامة، وإخطار الرئاسة دون تأخير بالثغرات أو الحوادث السيبرانية التي يكتشفونها في المجال الذي يقدّمون فيه خدماتهم.
ونطاق القانون واسع: إذ تشمل المادة 2 المؤسسات العامة والأشخاص الطبيعيين والاعتباريين الذين يوجدون في الفضاء السيبراني أو يمارسون فيه نشاطًا أو يقدّمون فيه خدمات. ويُعاقَب من لا يمتثل للالتزامات الواردة في البنود (a) و(b) و(c) من الفقرة 1 من المادة 7 من القانون رقم 7545 بغرامة إدارية من مليون ليرة تركية إلى عشرة ملايين ليرة تركية وفقًا للمادة 16/10. ولا يحدد القانون، خلافًا لقانون حماية البيانات الشخصية، مدة بالساعات؛ بل يستخدم عبارة "دون تأخير". وينبغي كذلك متابعة التنظيمات التي تصدرها الرئاسة بشأن إجراءات الإخطار.
ويجوز للرئاسة أن تقدّم دعم الاستجابة في الموقع أو عن بُعد لمن تعرّضوا لحادث سيبراني، وهي تتتبّع آثار الهجوم من خلال سجلات النظام وتشارك النتائج التي تشكّل جريمة مع السلطات القضائية (المادة 6/1-c). وتنص المادة 16/1 على عقوبة الحبس لمن لا يقدّم المعلومات والمستندات والبيانات التي تطلبها الرئاسة في إطار مهامها؛ وهذا يجعل حفظ السجلات إلزاميًا من جهة إضافية. وينبغي كذلك التحقق مما إذا كانت هناك قواعد إخطار قطاعية بحسب مجال النشاط.
أي إخطار يُقدَّم، وإلى من، ومتى؟
يلخّص الجدول أدناه أهم الإخطارات التي تُثار في حادث برمجيات الفدية ومُددها.
| الإخطار | المدة | الأساس القانوني |
|---|---|---|
| مجلس حماية البيانات الشخصية | 72 ساعة على الأكثر من لحظة العلم | المادة 12/5 من KVKK؛ قرار المجلس رقم 2019/10 |
| الأشخاص المعنيون المتأثرون | أقرب وقت معقول بعد تحديد الأشخاص | المادة 12/5 من KVKK؛ قرارا المجلس رقم 2019/10 و2019/271 |
| من معالج البيانات إلى المسؤول عن البيانات | دون أي تأخير | قرار المجلس رقم 2019/10 |
| رئاسة الأمن السيبراني | دون تأخير | القانون رقم 7545، المادة 7/1-b |
| النيابة العامة الرئيسية (الشكوى الجزائية) | لا مدة خاصة في القانون؛ مبكرًا تحسبًا لخطر فقدان الأدلة والتقادم | المادتان 243 و244 من قانون العقوبات التركي |
كيف ينبغي إدارة التواصل مع مزوّدي الخدمة؟
ينبغي أن يكون التواصل مع مزوّدي الخدمة مكتوبًا ومؤرخًا وموجّهًا إلى حفظ السجلات. فوفقًا للمادة 12/2 من قانون حماية البيانات الشخصية، إذا كانت البيانات الشخصية تُعالَج من قِبل شخص آخر نيابةً عن الشركة، كان المسؤول عن البيانات مسؤولًا بالتضامن مع هذا الشخص عن تدابير أمن البيانات. وكثيرًا ما تكون شركات الحوسبة السحابية والاستضافة والرواتب والمحاسبة والدعم التقني في هذا الموضع.
ووفقًا لقرار المجلس رقم 2019/10، إذا حصل الغير على البيانات الموجودة لدى معالج البيانات، أخطر معالجُ البيانات المسؤولَ عن البيانات دون أي تأخير. وينبغي أن تنص العقود صراحةً على مدة هذا الإخطار، وحفظ السجلات، والالتزام بالتعاون أثناء الحادث. وإذا بدأ الهجوم من نظام المزوّد، وجب أن يُطلب منه كتابةً عدم حذف سجلات الوصول وأخذ النسخ الجنائية.
ولا ينبغي أن يُغفَل أن العلاقة مع المزوّد قد تكون هي ذاتها مصدرًا للخطر. ففي الواقعة محل قرار المجلس رقم 2020/463، أفاد المسؤول عن البيانات بأن الهجوم نُفّذ عبر عنوان IP تابع للشركة التي كان يتلقى منها دعم الأمن السيبراني ومن قِبل أحد موظفي تلك الشركة، وأن هذا الشخص كان في الوقت ذاته موظفًا سابقًا لديه. ولذلك ينبغي أثناء الحادث تقليص الصلاحيات الممنوحة للمزوّدين، وتغيير كلمات مرور الحسابات المشتركة، وتسجيل عمليات الوصول واحدةً واحدة.
وقد يستخدم المهاجمون حسابات البريد الإلكتروني المؤسسية التي استولوا عليها لإرسال تعليمات دفع مزيّفة إلى العملاء أيضًا. وبشأن هذا الخطر يمكن الرجوع إلى مقال احتيال تغيير رقم IBAN عبر البريد الإلكتروني للشركة؛ وينبغي النظر طوال فترة الحادث في توجيه إعلان إلى العملاء والموردين يؤكد عدم تغيّر بيانات الدفع.
ما الجرائم التي يكون المهاجمون قد ارتكبوها، وكيف تُقدَّم الشكوى الجزائية؟
قد يشكّل هجوم برمجيات الفدية، بحسب الواقعة المحددة، أكثر من جريمة معلوماتية في آنٍ واحد. وتُقدَّم الشكوى الجزائية كتابةً إلى النيابة العامة الرئيسية، وتُرفق بالعريضة قائمةُ الأدلة المحفوظة والتسلسلُ الزمني للحادث ومذكرةُ الفدية.
- الدخول إلى نظام المعلومات (المادة 243 من قانون العقوبات التركي): يُعاقَب من يدخل إلى النظام بصورة غير مشروعة أو يستمر في البقاء فيه بالحبس مدة لا تتجاوز سنة أو بالغرامة القضائية. وإذا أدى هذا الفعل إلى زوال البيانات أو تغيّرها، كانت العقوبة الحبس من ستة أشهر إلى سنتين.
- إعاقة النظام أو تعطيله أو جعل البيانات غير قابلة للوصول (المادة 244 من قانون العقوبات التركي): يُعاقَب من يعيق سير النظام أو يعطّله بالحبس من سنة إلى خمس سنوات، ومن يُفسد البيانات أو يتلفها أو يغيّرها أو يجعلها غير قابلة للوصول بالحبس من ستة أشهر إلى ثلاث سنوات. وتُزاد العقوبة بمقدار النصف إذا تعلّق الأمر بأنظمة مصرف أو مؤسسة ائتمان أو مؤسسة عامة. وتحقيق منفعة غير مشروعة بهذه الأفعال، ما لم يشكّل جريمة أخرى، يستوجب الحبس من سنتين إلى ست سنوات والغرامة القضائية حتى خمسة آلاف يوم.
- الابتزاز (المادة 107 من قانون العقوبات التركي): يُعاقَب من يُكره شخصًا على القيام بأمر مخالف للقانون أو غير ملزم به، أو على تحقيق منفعة غير مشروعة، بالحبس من سنة إلى ثلاث سنوات والغرامة القضائية حتى خمسة آلاف يوم. وقد يُقيَّم طلب الدفع تحت التهديد بنشر البيانات في هذا الإطار أيضًا بحسب الواقعة المحددة.
- نشر البيانات المسرَّبة: تنص المادة 16/4 من القانون رقم 7545 على الحبس من ثلاث إلى خمس سنوات لمن يتيح الوصول دون إذن إلى البيانات الشخصية الموجودة في الفضاء السيبراني بسبب تسرّب البيانات، أو يشاركها، أو يعرضها للبيع. كما يمكن تقييم الاستيلاء على البيانات الشخصية من زاوية المادتين 135–136 من قانون العقوبات التركي.
وقد قيّمت محكمة النقض منعَ الوصول إلى بيانات الشركة في إطار المادة 244/2 من قانون العقوبات التركي. ففي ملف ادُّعي فيه أن موظفًا سابقًا منع وصول الشركة إلى بياناتها بتغيير قرص الحاسوب الذي سلّمه، قررت الدائرة ما يلي:
"…وفي الواقعة التي يُدّعى فيها أنه منع بذلك وصول الشركة إلى جميع المعلومات والمستندات الموجودة في النظام بما فيها البرمجيات المصرفية، وفي الفحص الذي أُجري مع مراعاة أن فعل المتهم يدخل في نطاق جريمة ''إفساد البيانات الموجودة في نظام المعلومات أو إتلافها أو تغييرها أو جعلها غير قابلة للوصول'' المنظَّمة في المادة 244/2 من القانون رقم 5237…"
محكمة النقض، الدائرة الجزائية الحادية عشرة، رقم الأساس 2021/28211، رقم القرار 2025/13592، بتاريخ 22.10.2025
وفي القرار ذاته أُسقطت الدعوى العامة لانقضاء مدة التقادم العادي للدعوى. وتُبيّن هذه النتيجة أهمية عدم التأخر في تقديم الشكوى الجزائية وتقديم الأدلة. وحتى لو كان مصدر الهجوم خارج البلاد، فإن الشكوى الجزائية تتيح تسجيل الأدلة رسميًا وتمهّد الطريق لطلبات المساعدة القضائية الدولية المحتملة.
هل ينطوي دفع الفدية على مخاطر قانونية؟
لا يوجد حكم قانوني عام يعدّ دفع الفدية جريمة في جميع الأحوال أو يبيحه في جميع الأحوال؛ إذ تتفاوت المخاطر بحسب الجهة التي يُدفع إليها المبلغ والعلم الذي يتم به الدفع. ولذلك ينبغي تقييم القرار في ضوء ظروف الواقعة ذاتها وتوثيقه مع أسبابه.
- تمويل الإرهاب: تعاقب المادة 4 من القانون رقم 6415 بالحبس من خمس إلى عشر سنوات كلَّ من يقدّم أموالًا إلى إرهابي أو منظمة إرهابية بقصد استخدامها في جرائم إرهابية أو مع علمه وإرادته بأنها ستُستخدم فيها؛ وإذا ارتُكبت الجريمة في إطار نشاط شخص اعتباري، يُحكم عليه بالتدابير الاحترازية الخاصة بالأشخاص الاعتباريين. وتتطلب الجريمة القصد؛ غير أنه لما كانت هوية المهاجم وصلاته مجهولة في الغالب، فينبغي البحث في هذا الاحتمال على حدة قبل الدفع.
- قوائم تجميد الأموال: وفقًا للمادة 5 من القانون رقم 6415، تُنشر في الجريدة الرسمية قرارات رئيس الجمهورية المتعلقة بتجميد أموال الأشخاص والكيانات المدرجين في القوائم بموجب قرارات مجلس الأمن التابع للأمم المتحدة. وينبغي التحقق من صلة المستفيد من الدفع بهذه القوائم. وإذا كانت للشركة صلات خارج البلاد، فينبغي كذلك فحص تنظيمات العقوبات الأجنبية على حدة.
- الالتزامات تظل قائمة: لا يُسقط الدفعُ الإخطارَ وفق المادة 12/5 من قانون حماية البيانات الشخصية، ولا الإخطارَ إلى الأشخاص المعنيين، ولا الإخطارَ وفق القانون رقم 7545. وقول المهاجم إنه حذف البيانات لا يغيّر واقعة حصول الغير على البيانات.
- النتيجة غير مؤكدة: لا يوفر الدفع أي ضمانة قانونية بأن أداة فك التشفير ستعمل أو بأن البيانات لن تُنشر؛ والتعهد المأخوذ من المهاجم لا جزاء له.
وإذا طُرح الدفع، فينبغي أن يتخذ القرارَ الجهازُ المختص؛ وأن تُحفظ البدائل التي جرى النظر فيها، وعمليات التحقق المتعلقة بالمستفيد، وسجلات الدفع.
ما الاستثناءات والأخطاء الشائعة؟
- افتراض أنه "لم تُسرق بيانات، فلا حاجة إلى الإخطار": الوصول إلى هذه النتيجة قبل أن يُثبت الفحص عدم حدوث تسريب إلى الخارج أمر محفوف بالمخاطر. ففي قراره رقم 2024/2196، قيّم المجلس في غير صالح الشركة التصريحاتِ المتناقضة لشركة ذكرت في إخطارها أن بيانات الموظفين والعملاء قد تأثرت، ثم ادّعت لاحقًا أنه لم تتأثر أي بيانات شخصية.
- تأجيل مهلة الـ 72 ساعة إلى حين اكتمال التقرير التقني: قرار المجلس يجيز الإخطار المرحلي؛ ونقص المعلومات لا يوقف سريان المدة.
- تهيئة النظام فورًا: إعادة التثبيت التي تُجرى قبل أخذ النسخ الجنائية والسجلات تُزيل إمكانية إثبات مصدر الهجوم والتدابير التي اتخذتها الشركة.
- الاحتفاظ بالنسخ الاحتياطية على الشبكة ذاتها: عُدّ حذف النسخ الاحتياطية أيضًا قصورًا في أمن البيانات في قرار المجلس رقم 2020/463.
- التواصل غير الموثَّق مع المهاجم: التفاوض من حسابات شخصية وعبر قنوات لا تُسجَّل يؤدي إلى فقدان الأدلة وإلى نزاع حول المسؤولية داخل الشركة في آنٍ واحد.
- التصريحات المخالفة للحقيقة: لا ينبغي الإدلاء بتصريحات غير متحقَّق منها للرأي العام أو للعملاء بشأن نطاق الحادث؛ إذ تنص المادة 16/5 من القانون رقم 7545 على تجريم مستقل للمحتوى المخالف للحقيقة الرامي إلى إثارة الذعر بشأن تسرّب بيانات يُعلم أنه لم يقع.
مهم: هذا المقال لأغراض المعلومات العامة ولا يغني عن الاستشارة القانونية. وقد توجد التزامات قطاعية إضافية بحسب مجال النشاط. ولا ينبغي اتخاذ قرار بشأن دفع الفدية دون تقييم ظروف الواقعة المحددة.
إدارة الحوادث السيبرانية مع محامي قانون المعلوماتية في إسطنبول
في حوادث برمجيات الفدية، كثيرًا ما تحدد مسارَ الملف ثلاثُ نقاط: هل حُفظت سجلات النظام والنسخ الجنائية في الساعات الأولى، وهل قُدّمت الإخطارات وفق قانون حماية البيانات الشخصية وقانون الأمن السيبراني في موعدها وبمضمون متّسق، وهل وُثّق قرار الدفع. ويقدّم مكتب المحامي جوشكون غينتش (Av. Coşkun Genç Hukuk Bürosu) في إسطنبول الدعم القانوني للشركات التي تتعرض لحادث سيبراني في مراحل إعداد نصوص الإخطارات، وإدارة المراسلات مع مزوّدي الخدمة، والشكوى الجزائية، والفحص اللاحق وفق قانون حماية البيانات الشخصية. وفي العمل الذي يُنجَز بصفة محامي قانون المعلوماتية في إسطنبول يُعَدّ التسلسل الزمني وقائمة الأدلة بالتعاون مع الفريق التقني.
ويمكن للشركات الراغبة في إجراء تقييم أولي بدعم من محامي الجرائم السيبرانية في إسطنبول أن تتقدم بمذكرة الفدية، والتسلسل الزمني للحادث، والنتائج التقنية الأولية، وجرد البيانات الشخصية، وعقود مزوّدي الخدمة. ويمكن الوصول إلى بيانات الاتصال بالمكتب عبر صفحة الاتصال. وتتوفر المعلومات المتعلقة بمجالات العمل في صفحة الجرائم المعلوماتية.
المصادر
- قانون حماية البيانات الشخصية (القانون رقم 6698)، المادتان 12 و18 – mevzuat.gov.tr
- قانون الأمن السيبراني رقم 7545 (الجريدة الرسمية 19.03.2025، العدد 32846)، المواد 2، 3، 6، 7 و16 – mevzuat.gov.tr
- قانون العقوبات التركي (القانون رقم 5237)، المواد 107، 243 و244 – mevzuat.gov.tr
- قانون الإجراءات الجزائية (القانون رقم 5271)، المادة 134 – mevzuat.gov.tr
- القانون رقم 6415 بشأن منع تمويل الإرهاب، المادتان 4 و5 – mevzuat.gov.tr
- قرار مجلس حماية البيانات الشخصية المؤرخ 24.01.2019 ورقمه 2019/10 (Kişisel Veri İhlali Bildirim Usul ve Esasları [إجراءات ومبادئ الإخطار بانتهاك البيانات الشخصية]) – kvkk.gov.tr
- قرار مجلس حماية البيانات الشخصية المؤرخ 18.09.2019 ورقمه 2019/271 (العناصر الدنيا للإخطار الموجَّه إلى صاحب الشأن) – kvkk.gov.tr
- ملخص قرار مجلس حماية البيانات الشخصية المؤرخ 16.06.2020 ورقمه 2020/463 – kvkk.gov.tr
- ملخص قرار مجلس حماية البيانات الشخصية المؤرخ 26.12.2024 ورقمه 2024/2196 – kvkk.gov.tr
- الهيئة العامة الجزائية لمحكمة النقض، رقم الأساس 2016/544، رقم القرار 2020/127، بتاريخ 25.02.2020
- محكمة النقض، الدائرة الجزائية الثانية عشرة، رقم الأساس 2023/734، رقم القرار 2023/3978، بتاريخ 16.10.2023
- محكمة النقض، الدائرة الجزائية الحادية عشرة، رقم الأساس 2021/28211، رقم القرار 2025/13592، بتاريخ 22.10.2025