مكتب التحقيقات الفيدرالي يقطع الكهرباء عن مصنع قرصنة صيني نفّذ مليوني مهمة يوميًا

أعلنت وزارة العدل ومكتب التحقيقات الفيدرالي، يوم الأربعاء 26 أغسطس 2026، مصادرة نطاقات إنترنت بموجب إذن قضائي، تقف وراء منصتين متكاملتين للقرصنة وُصفتا باسمَي «QScan» و«QTRouter»، واستخدمهما قراصنة ترعاهم الدولة الصينية لاستهداف البنية التحتية الحيوية الأمريكية⁠2. وقال مكتب التحقيقات الفيدرالي إنه عطّل شبكة روبوتية وصادر منصتين استُخدمتا لاختراق وكالة ناسا ومجلس الشيوخ الأمريكي ووزارة الطاقة والاحتياطي الفيدرالي ووكالات أخرى وشبكات حيوية⁠4.

استهدفت العملية مجموعة مدعومة من الدولة تُدعى QTFY، وتُعرف أيضًا بأسماء QT وQTCWIBER وQuantum Typhoon، ونُسبت إلى شركة Nanjing Xinjiuwei Network Technology Co. التي تتخذ من الصين مقرًا لها⁠6⁠8. وقد باعت QTFY خدمات قرصنة إلى وزارة أمن الدولة وجيش التحرير الشعبي في جمهورية الصين الشعبية⁠8. وتفيد CyberScoop بأن مجموعة أدوات القرصنة الكاملة أتاحت لمهاجمين ممولين من الحكومة الصينية التسلل إلى شبكات شديدة الحساسية من دون اكتشافهم لأكثر من ثمانية أعوام⁠5.

تكتسب هذه الصفة الصناعية أهمية لأن المنصتين المصادرتين كانتا تؤديان وظيفتين مختلفتين. إذ وُصفت QScan بأنها طبقة للمسح والاستغلال، صُممت للعثور على الأنظمة الضعيفة على نطاق الإنترنت، ثم محاولة اختراقها⁠8. أما QTRouter فهي طبقة التمويه، التي توجّه حركة الهجوم عبر أجهزة مخترقة لإخفاء مصادرها⁠2⁠9. وتؤكد SecurityAffairs أن المنصتين استُخدمتا لإخفاء عمليات التسلل واستهداف البنية التحتية الحيوية الأمريكية⁠9.

وقد عالجتا معًا أصعب مشكلتين في حملة تجسس طويلة الأمد: كيف يعثر المهاجمون على الثغرة التالية من دون أن يُروا وهم يبحثون عنها، وكيف يعبرونها من دون أن يبدو أن مصدرهم الصين. يكشف المسح موطن الضعف، ويخفي الموجّه مسار الاقتراب. وبحلول وقت تسجيل الضحية لعملية التسلل، يكون عنوان المصدر مشيرًا إلى مكان عادي، وتبدو الطريقة كأنها ضجيج عابر في خلفية الإنترنت.

قائمة الضحايا التي كُشف عنها حتى الآن محدودة، لكنها حساسة على نحو استثنائي. وتفيد رويترز بأن قراصنة صينيين اخترقوا وزارة العدل ووكالة ناسا والاحتياطي الفيدرالي ومجلس الشيوخ⁠3. وتضيف The Register وزارة الطاقة⁠4. وهذه ليست شبكات هامشية، بل تشمل إنفاذ القانون والسياسة النقدية والفضاء والبحث العلمي والاتصالات التشريعية ومصالح الطاقة والأمن النووي.

قدّمت وزارة العدل إجراء 26 أغسطس على أنه مصادرة تقنية، لا إعلانًا عن اعتقال أو توجيه اتهام. وقالت وزارة العدل ومكتب التحقيقات الفيدرالي إن المصادرة استهدفت «حرمان الجهات الخبيثة الفاعلة في الفضاء السيبراني من الوصول» إلى المنصات⁠2. وعمليًا، استلزم ذلك استخدام صلاحيات قضائية للسيطرة على النطاقات التي اعتمدت عليها المنصات، وقطع الطريق أمام المشغّلين للعودة إلى بنيتهم التحتية.

أصدر مكتب التحقيقات الفيدرالي ووكالة الأمن القومي وقوة المهام السيبرانية الوطنية المشتركة تحذيرًا مشتركًا للأمن السيبراني، رقمه JCSA-20260826-01، في 26 أغسطس 2026⁠10. ويشير تنسيق التحذير إلى أن الحكومة تعاملت مع الأمر باعتباره أكثر من مجرد إجراء لإنفاذ القانون استمر يومًا واحدًا. كما كان تحذيرًا للمدافعين: هذه هي البنية التحتية، وهذه طريقة عملها، فابحثوا عنها في شبكاتكم.

السؤال المحوري الذي لم يُحسم هو مدى استدامة التعطيل. وقد أثارت التغطية الإعلامية للعملية المسألة نفسها التي تعقب تقريبًا كل عملية تفكيك لشبكة روبوتية: هل تؤدي إزالة النطاقات إلى حجب الشبكة نهائيًا، أم تترك آلاف الأجهزة المصابة حتى الآن جاهزة لإعادة بنائها⁠5؟ إن مصادرة البنية التي تتيح القيادة والتحكم لا تنظف تلقائيًا الموجّهات أو الكاميرات أو الخوادم أو غيرها من أجهزة الحافة المخترقة، ولدى المشغّلين الذين استثمروا على مدى ثمانية أعوام حوافز قوية لإعادة البناء.

ويزيد نموذج أعمال المجموعة من أهمية سؤال الاستدامة هذا. فلم توصف العملية بأنها مجموعة منفردة تستأجر خوادم. ونُسبت QTFY إلى شركة Nanjing Xinjiuwei Network Technology Co.، واتُّهمت ببيع خدمات قرصنة لعملاء من أجهزة الاستخبارات والجيش⁠6⁠8. ويمكن لمتعاقد يبيع إمكانية الوصول أن يتعامل مع التعطيل باعتباره تكلفة من تكاليف العمل، ما دامت أساليبه وموظفوه وعلاقاته بالعملاء باقية.

لذلك فإن الجدول الزمني الممتد لثمانية أعوام لا يقل أهمية عن يوم المهمتين البالغ عددهما مليونين⁠5⁠8. فثمانية أعوام تتيح للأدوات أن تتطور، ولقوائم الأهداف أن تتراكم، ولعمليات التسلل أن تُدبّر ببطء يكفي لتفادي الإنذارات. ويعني ذلك أيضًا أن كثيرًا من المؤسسات الضحية قد لا تعرف حتى الآن ما الذي سُرق، أو متى أُرسِي الوصول المستمر، أو ما إذا كانت عملية تسلل لاحقة قد استخدمت بيانات اعتماد سُرقت قبل ذلك بوقت طويل.

ما غاب عن السجل العلني لا يقل دلالة عما أُعلن. فالتغطية المتاحة لا تحدد الأسماء الدقيقة للنطاقات المصادرة، ولا تنقل اقتباسات رسمية حرفية لمسؤولين مسمّين، ولا توضح النطاق الكامل للأضرار واستمرار الوصول داخل شبكات الضحايا. كما أنها لا تؤكد بصورة مستقلة أرقامًا وروابط أوسع نوقشت في سياق القضية، من بينها ادعاءات بشأن التوجيه على مستوى العالم، وسنة تأسيس شركة، وصلات مزعومة بشبكات مستقلة.

ينبغي لهذا التحفظ أن يوجّه قراءة إعلان 26 أغسطس. فالوقائع الأساسية المؤكدة مهمة بحد ذاتها: منصتان، إحداهما للعثور على الضحايا على نطاق واسع والأخرى لإخفاء مسار الهجوم، عملتا لسنوات لصالح عملاء من الدولة واستهدفتا بعضًا من أكثر الشبكات الأمريكية حساسية⁠2⁠8⁠9. وتعطّل المصادرة هذا الترتيب من دون أن تثبت أنه انتهى⁠2⁠5.

أما بالنسبة إلى المدافعين عن الشبكات، فتأتي الرسالة العملية من عملية إصدار التحذير المشترك نفسها. فالتحذير رقم JCSA-20260826-01، الذي أصدرته ثلاث وكالات أمريكية في يوم المصادرة نفسه، يمنح المؤسسات نقطة انطلاق لتمشيط شبكاتها، حتى مع بقاء الأسئلة الأوسع بشأن فقدان البيانات وإعادة التشكيل مفتوحة⁠10. ولن يكون البيان الصحفي المقياس التالي للنجاح، بل ما إذا كان مصنع المسح سيبقى صامتًا.