الهجمات الإلكترونية التي تخشاها المؤسسات الصغيرة والمتوسطة ليست من حيث تظن

الشركة التي انهارت لم تكن الأضعف في السلسلة

في 18 مارس 2026، أعلن مجموعة القراصنة المرتبطين بإيران، هندالة، عن تنفيذ هجوم على شركة سترiker، المصنعة للأجهزة الجراحية والزرعات العظمية والتي لها وجود في أكثر من 100 دولة. كان التأثير فورياً: انقطع الموظفون عن كافة الشبكات، توقفت العمليات، وانخفضت قيمة الشركة في البورصة بنسبة 0.95% في غضون ساعات. بالنسبة لشركة ضمن قائمة فاينانشال 500، يعني ذلك ضياع عشرات الملايين من الدولارات من القيمة السوقية قبل انتهاء اليوم.

لكن سترiker تمتلك قوة مالية تمكنها من امتصاص هذا الضرب. لديها احتياطيات، فرق استجابة، محامون، وإمكانية للوصول إلى رأس المال. ما لا تملكه هو القدرة على حماية كل مزود من مئات المزودين المتوسطين الذين يعتمدون على طلباتها للحفاظ على تدفقهم النقدي الشهري.

هنا يكمن النقطة العمياء التي لا تقيسها أي تحليلات للأمن السيبراني التقليدي بصورة واضحة: الخطر المالي للهجوم الإلكتروني على شركة كبيرة لا يتوقف عند أبوابها. يتدفق إلى أسفل، نحو مزودي الخدمة من المستوى الثاني والثالث، نحو شركات اللوجستيات المتخصصة، نحو الموزعين الإقليميين. وهؤلاء الفاعلون، في غالبيتهم من المؤسسات الصغيرة والمتوسطة، لا يمتلكون حتى 10% من قدرة الاستجابة التي تتمتع بها سترiker.

السؤال التشغيلي لأي مدير مالي في شركة متوسطة تزود شركات متعددة الجنسيات ليس إن كان هذا سيمكن أن يحدث لعميلها الرئيسي. لقد حدث بالفعل. السؤال هو كم من الأيام من تعطيل المدفوعات من ذلك العميل يمكن أن تتحمله هيكلية تكاليفها قبل أن تتعرض للعجز مع دائنيها.

عندما لا يحتاج المهاجم للدخول من بابك

ما يجعل النمط الذي وصفه إسماعيل فالينزويلا، نائب رئيس استخبارات التهديدات في أركتيك وولف، مدمرا بشكل خاص، هو أن مجموعات مثل هندالة لا تعمل بدوافع مالية. ليس لديها مطلق خدمات للتفاوض. إنهم يبحثون عن أكبر قدر من التعطيل بتكلفة منخفضة، مقلدين التكتيكات الروسية على البنية التحتية الصناعية بكفاءة لا تزال الشركات الكبيرة تستخف بها في نماذج المخاطر الخاصة بها.

يعكس هذا تغييراً جذرياً في حسابات الأضرار. فالهجوم التقليدي من فيروس الفدية له منطق تجاري: المهاجم يريد المال، والشركة تقيم ما إذا كانت تدفع أو تستعيد، وهناك أفق زمني للحل. لكن نموذج هندالة ليس لديه هذا الأفق. الهدف هو ألا تعمل العمليات، نقطة. وعندما لا تعمل عمليات سترiker، يجب على المستشفيات التي تنتظر الإمدادات الجراحية البحث عن مزودين بديلين على وجه السرعة. ويمثل تغيير المزود، حتى وإن كان مؤقتاً، عقود مفقودة للموزعين الذين قد لا يستعيدونها.

وقد وثق تقرير كلاروتي أكثر من 200 هجوم على أنظمة سيبرانية مرتبطة بالبنية التحتية للمياه والطاقة من ذلك مرتبط بمجموعات تشكل ارتباطاً بإيران وروسيا. وليس ذلك سلوكاً عشوائياً من الهجمات. إنه حملة منهجية ضد النقاط التي تكون فيها سلاسل الإمداد أكثر هشاشة: حيث يكون تكلفة التوقف أعلى والقدرة على التعافي أقل. وتقع المؤسسات الصغيرة والمتوسطة في مجالات التصنيع واللوجستيات والتكنولوجيا الطبية في قلب هذه الخارطة.

التحذير من المحللة كاثرين رينز، الخبيرة السابقة في وكالة الأمن القومي ورئيسة استخبارات التهديدات في فلاش بوينت، يجب أن يأخذ بعين الاعتبار من قبل أي مدير مالي: المؤشر المهم ليس نسبة حجب الهجمات، بل زمن التعافي العملياتي. فالشركة التي تمنع 99% من محاولات الاقتحام لكن تستغرق 21 يوماً لاستعادة نظام تخطيط موارد المؤسسات (ERP) بعد أن تمر 1% منها، لديها مشكلة في الهيكل المالي، وليس فقط في التكنولوجيا.

ما يكلفه يوم واحد من التوقف لشركة متوسطة

لنقم بحساب نماذج لا تقوم بها العديد من الشركات قبل وقوع الحادث.

شركة متوسطة في التصنيع مع إيرادات سنوية تبلغ 5 ملايين دولار تولد تقريباً 13.700 دولار في اليوم. إذا كانت تكاليفها الثابتة، بما في ذلك الرواتب والإيجارات وخدمة الدين، تمثل 60% من هذا الرقم، فإن هامشها اليومي الصافي يصل تقريباً إلى 5.500 دولار. إن هجوماً يوقف عملياتها لمدة 10 أيام عمل لن يكلفها 55.000 دولار من الهامش المفقود فقط، بل سيكلفها هذا بالإضافة إلى التكاليف الثابتة المستمرة: الرواتب المستمرة، الإيجارات التي لا تتوقف، والفوائد التي لا تنتظر. قد يصل الأثر الحقيقي إلى 137.000 دولار، وهو ما يعادل حوالي 3% من إيراداتها السنوية، بسبب حادث قد يستغرق ربما 72 ساعة في التنفيذ.

الآن أضف تكلفة الاستجابة: استعادة الأنظمة، المشورة القانونية إذا كان هناك بيانات للعميل تم التعرض لها، الإشعار المحتمل للجهات التنظيمية وزيادة لا مفر منها في قسط التأمين السيبراني. في الأسواق الناضجة، ارتفعت تلك الأقساط بين 25% و40% في العامين الماضيين للشركات المرتبطة بسلاسل التوريد في التصنيع الحرجة. شركة متوسطة لم تكن لديها تغطية سيبرانية وأخذتها بعد حادث، ستدفع بين 15.000 و40.000 دولار سنوياً اعتمادًا على حجمها وملف مخاطرها. هذه النفقات، التي كانت تبدو سابقًا على أنها ترف، أصبحت الآن تكلفة ثابتة جديدة تضغط أكثر على الهوامش.

إن التفكير المالي في تأجيل الاستثمار في الأمن السيبراني وفقاً لمنطق أنه من غير المحتمل التعرض للهجوم مباشرة ينكسر في اللحظة التي يحتاج فيها مصدر الخطر لعدم الاعتداء مباشرة. عندما يقع عميلك الرئيسي، تسقط معه، رغم عدم تعرض أي ملف لديك للتدخل.

الحماية ليست مصروفات تقنية، بل هي هيكلية رأسمالية

لقد لخص براين كاربوج، المؤسس المشارك والرئيس التنفيذي في أنديسيت، السابق مدير مركز الأنشطة الخاصة في وكالة المخابرات المركزية، الأمر بدقة شبه جراحية: الهجوم السيبراني هو أداة التعطيل الأقل تكلفة والأكثر تأثيرًا المتاحة للاعبين من الدول ومنظمات شبه الدولة. بالنسبة لمؤسسة صغيرة ومتوسطة، ذلك يعني أن الخطر غير مدرج وفقًا لحجم المؤسسة، بل وفقاً لمكانتها في سلسلة القيمة في صناعة يرغب شخص ما في تعطيلها.

الاستجابة المالية الصحيحة ليست شراء أغلى برنامج في السوق. بل هي تحويل المقاومة التشغيلية إلى متغير من هيكلية الإيرادات. هذا يعني ثلاثة أشياء محددة: أولاً، تنويع قاعدة العملاء حتى لا يمثل أي عميل أكثر من 30-35% من الإيرادات، لأن تركز الإيرادات في عميل واحد يضاعف تأثير تعطل عمله على التدفق النقدي الخاص. ثانياً، هيكلة العقود لتضمين بنود القوة القاهرة التي تذكر بوضوح الحوادث السيبرانية، بحيث لا يؤدي تعطل العميل إلى عدم الالتزام التلقائي بالالتزامات الخاصة. ثالثاً، الحفاظ على احتياطي سيولة يعادل على الأقل 45 يوماً من التكاليف الثابتة، ليس كعلامة من الحذر التحفظي، بل كوسادة الوحيدة التي تسمح بالبقاء خلال زمن التعافي دون اللجوء إلى ديون طارئة مرتفعة الكلفة.

الشركات التي تمول اليوم عملياتها فقط من إيرادات عملائها، دون الاعتماد على خطوط ائتمانية احتياطية أو رأس المال الخارجي لسد الثغرات التشغيلية، هي التي يمكنها امتصاص حادث من هذا النوع دون أن يصبح أزمة وجودية. ليس لأنها أكثر أمانًا من الناحية التكنولوجية، بل لأن هيكل تكاليفها يمنحها الوقت. وفي هجوم سيبراني، زمن التعافي هو المقياس الوحيد الذي يفصل الشركات التي تنجو عن تلك التي لا تنجو.