الكونغرس يطالب بإدراج شركات قرصنة هندية على القائمة السوداء الأميركية بعد اختراقها ألف محامٍ

بعثت مجموعة من أعضاء الكونغرس الأميركي من الحزبين برسالة إلى وزير التجارة هوارد لوتنيك في 9 سبتمبر 2026، تحضه على إضافة ثلاث شركات هندية للقرصنة المأجورة إلى قائمة الكيانات الفيدرالية، وهي القائمة السوداء الحكومية التي تحرم الشركات المدرجة فيها من تراخيص البرمجيات والبنية التحتية السحابية وأدوات الأمن السيبراني الأميركية. وترتبط الشركات الثلاث، وهي BellTroX InfoTech Services وCyberRoot Risk Advisory وSunkissed Organic Farms، التي كانت تُعرف سابقاً باسم Appin Technology، بحملات تجسس استمرت أكثر من 15 عاماً واستهدفت مكاتب محاماة وصناديق استثمار خاصة وشركات أدوية ومنظمات غير ربحية أميركية. ولم تكن وزارة التجارة قد أعلنت قراراً بهذا الشأن حتى وقت نشر التقرير.

ووقع الرسالة السيناتوران الديمقراطيان رون وايدن من ولاية أوريغون وشيلدون وايتهاوس من رود آيلاند، إلى جانب النائب الجمهوري بات هاريغان من ولاية نورث كارولاينا، في خطوة تمثل مطالبة نادرة من الحزبين في كونغرس شديد الاستقطاب. ووصف المشرعون، في الرسالة التي نشرها موقع TechCrunch، الشركات بأنها قوضت قطاعات قانونية أميركية بصورة منهجية، واتهموها باستهداف صناديق استثمار خاصة وشركات أدوية وأكثر من ألف محامٍ في كبرى مكاتب المحاماة الأميركية، بهدف التأثير في دعاوى قضائية جارية.

ليست هذه جهات حكومية غامضة، بل صناعة تجارية

تنتمي الشركات الثلاث إلى فئة تسميها أوساط الأمن السيبراني الأميركية "خدمات القرصنة المأجورة" أو خدمات المرتزقة السيبرانيين التجارية؛ وهي شركات تنفذ عمليات اختراق موجهة نيابة عن عملاء يدفعون مقابل خدماتها، بدلاً من بيع أدوات الاختراق ليستخدمها العملاء بأنفسهم. وشملت قائمة عملائها عادة محققين خاصين ومكاتب محاماة تسعى إلى تحقيق أفضلية في التقاضي، فضلاً عن حكومة أجنبية واحدة على الأقل، وفقاً للرسالة.

وعلى خلاف شركات برامج التجسس، مثل NSO Group وCandiru وCytrox، التي فرضت الولايات المتحدة عقوبات عليها سابقاً عبر صلاحيات الإدراج في قائمة الكيانات، لم تطور الشركات الهندية الواردة في الرسالة برمجيات مملوكة لاستغلال الأجهزة. وتمثلت تقنيتها الأساسية في التصيد الإلكتروني لبيانات الاعتماد، عبر إرسال رسائل بريد إلكتروني مصممة لخداع المستهدفين ودفعهم إلى تسليم بيانات الدخول، بما يتيح للقراصنة قراءة رسائلهم وملفاتهم. وخلص مختبر Citizen Lab في جامعة تورنتو، الذي أمضى أكثر من عامين في تتبع عمليات BellTroX، إلى أن المجموعة استخدمت أداة مفتوحة المصدر لاختصار الروابط، تُعرف باسم Phurl، لإخفاء 27591 رابط تصيد مرتبطاً بمستهدفين، كان كل منها يتضمن عنوان البريد الإلكتروني للمستهدف المقصود.

ويكتسب هذا الفرق التقني أهمية في تفسير طلب الإدراج على قائمة الكيانات. فالتصيد بهذا الحجم يعتمد على بنية تحتية متاحة تجارياً، تشمل استضافة سحابية ومنصات لإرسال البريد الإلكتروني وخدمات اختصار الروابط، ومعظمها أميركي. وسيؤدي الإدراج إلى قطع الشركات عن منظومة التكنولوجيا الأميركية التي تحتاج إليها حملاتها تحديداً. وقد لا يوقف ذلك قراصنة طوروا أدوات مملوكة بالفعل، لكن بالنسبة إلى شركات تعتمد عملياتها بالكامل على بنية تحتية أميركية مستأجرة، فإن الأثر قد يتجاوز الملاحقة الجنائية.

من هي BellTroX وCyberRoot وSunkissed Organic Farms؟

Appin / Sunkissed Organic Farms هي الأقدم والأكثر توثيقاً بين الشركات الثلاث. فقد وصفت تحقيق أجرته وكالة رويترز في نوفمبر 2023، واستند إلى مقابلات مع مئات الأشخاص وآلاف الوثائق الداخلية، تحول Appin إلى عملية تجسس. وأكدت شركة الأمن SentinelOne نتائج رويترز من خلال تحليل جنائي لعمليات اختراق Appin، أكد سرقة بيانات مسؤولين حكوميين باكستانيين وصينيين، وتنفيذ هجمات تشويه لمواقع مرتبطة بأفراد من طائفة السيخ الدينية في الهند، فضلاً عن طلبات اختراق فردية. ووصف توم هيغل، كبير الباحثين في التهديدات لدى SentinelLabs، Appin بأنها "الكيان الذي انبثقت منه عدة شركات قرصنة مأجورة قائمة حالياً". وتعمل Appin حالياً تحت كيان قانوني باسم Sunkissed Organic Farms، وهو اسم لم يكن يكشف عن أصولها إلى أن ربط باحثو رويترز وCitizen Lab بين الجهتين.

BellTroX InfoTech Services كانت محور تحقيق بارز أجراه Citizen Lab في يونيو 2020. وربط باحثو المختبر، الذين أطلقوا على الحملة اسم "Dark Basin"، BellTroX بدرجة عالية من الثقة بعملية قرصنة مأجورة استهدفت آلاف الأفراد والمنظمات في ست قارات، بما في ذلك جماعات مناصرة شاركت في حملة #ExxonKnew بشأن المناخ، ومجموعات تدافع عن حياد الإنترنت، وسياسيين بارزين، ومدعين حكوميين، ورؤساء تنفيذيين في شركات من بينها KKR العملاقة للاستثمار الخاص وشركة Muddy Waters للبيع على المكشوف. ووصف جون سكوت-رايلتون، الباحث البارز في Citizen Lab، العملية بأنها "واحدة من أكبر عمليات التجسس المأجور التي كُشف عنها على الإطلاق". وكان مدير BellTroX، سوميت غوبتا، قد وُجهت إليه في كاليفورنيا عام 2015 تهم تتعلق بدوره في مخطط سابق للقرصنة المأجورة، إلا أنه، بحسب علم Citizen Lab، لم يُعتقل على خلفية تلك التهم. وأزالت شركة Meta أكثر من 400 حساب مرتبط بـBellTroX من فيسبوك في ديسمبر 2021، بعدما خلصت إلى ضلوعها في الهندسة الاجتماعية، من خلال حسابات زائفة تنتحل شخصيات سياسيين وصحفيين وناشطين بيئيين لجمع بيانات الاتصال الخاصة بالمستهدفين.

CyberRoot Risk Advisory وثقتها بشكل منفصل صحيفة The New Yorker وCitizen Lab على صلة بأنشطة تجسس. وزعمت دعوى اتحادية رُفعت في ولاية نورث كارولاينا أن CyberRoot تعاقدت مع BellTroX لاستهداف أزيما، وتحديداً لاختراق رسائل رجل الأعمال الإيراني-الأميركي فرهاد أزيما ونشرها، بطلب من شركة استخبارات خاصة أميركية تعمل لحساب صندوق استثماري سيادي مقره الإمارات، ما يوضح كيفية عمل الشركتين كخدمة تجارية متعددة الطبقات.

ما الذي يتهم المشرعون الشركات بارتكابه تحديداً؟

وصف المشرعون الثلاثة، في رسالتهم إلى لوتنيك، سلوك الشركات بأنه هجوم منسق استمر 15 عاماً على النظامين القانوني والمالي الأميركيين. وتشمل الاتهامات المحددة ما يلي:

استهداف أكثر من ألف محامٍ في كبرى مكاتب المحاماة الأميركية لسرقة استراتيجيات قانونية سرية ومراسلات بين المحامين وموكليهم، بهدف منح عملاء الشركات أفضلية في التقاضي. وتنفيذ عمليات لحساب الحكومة القطرية، يُزعم أنها شملت هجمات إلكترونية على مسؤولين في الاتحاد الدولي لكرة القدم "فيفا"، وهي حملة سبق أن ربطت رويترز بينها وبين جهود قطر الأمنية خلال كأس العالم. كما استهدفت الشركات أفراداً بارزين من عائلات شخصيات سياسية أميركية، بينهم كريستي روجرز، زوجة الرئيس السابق للجنة الاستخبارات في مجلس النواب مايك روجرز.

ويتتبع فريق تحليل التهديدات لدى غوغل مجموعات القرصنة المأجورة الهندية منذ عام 2012، وأفاد في يونيو 2022 بأنه رصد شركات مرتزقة هندية تستهدف بصورة منتظمة مكاتب المحاماة والصحفيين والمدافعين عن حقوق الإنسان ومنافسين تجاريين. كما أشار المركز الوطني للأمن السيبراني في المملكة المتحدة، بشكل منفصل، في تقرير صدر في يونيو 2023، إلى تزايد رصده قراصنة مأجورين منخرطين في نزاعات تجارية وإجراءات قانونية.

ما هي قائمة الكيانات ولماذا يكتسب الطلب أهمية؟

تدير قائمة الكيانات التابعة لوزارة التجارة الأميركية، مكتب الصناعة والأمن (BIS)، وتفرض قيوداً على تصدير وإعادة تصدير ونقل السلع الخاضعة للوائح إدارة الصادرات إلى الجهات المدرجة. وعملياً، يعني ذلك أن الشركات الأميركية لا تستطيع تزويد الشركات المدرجة بالتكنولوجيا، بما في ذلك تراخيص البرمجيات والخدمات السحابية والأجهزة وأدوات الأمن السيبراني، من دون الحصول على ترخيص حكومي، وغالباً ما يقترن هذا الترخيص بافتراض رفض الطلب.

واستُخدمت هذه الآلية من قبل ضد شركات المرتزقة السيبرانيين. ففي نوفمبر 2021، أدرجت إدارة بايدن شركتي NSO Group وCandiru على القائمة السوداء، مشيرة إلى أدلة على استخدام حكومات أجنبية برمجيات التجسس التابعة لهما لاستهداف مسؤولين حكوميين وصحفيين وناشطين وموظفي سفارات. وفي يوليو 2023، أُضيفت شركتا Cytrox وIntellexa إلى القائمة أيضاً بسبب الاتجار في أدوات الاستغلال السيبراني. وفي سبتمبر 2025، اعتمدت إدارة ترامب "قاعدة الشركات التابعة"، التي وسعت تلقائياً قيود قائمة الكيانات لتشمل الشركات التابعة المملوكة بنسبة 50% أو أكثر لكيانات مدرجة. غير أن تعليق هذه القاعدة امتد لاحقاً حتى نوفمبر 2026 في إطار اتفاق تجاري بين الولايات المتحدة والصين، فيما لا تزال قابلية تطبيقها على الكيانات التي خلفت الشركات الثلاث المذكورة خاضعة لتطورات السياسة.

وسيمثل الطلب الوارد في رسالة المشرعين بتاريخ 9 سبتمبر أول تطبيق لهذه الآلية على شركات قرصنة مأجورة تعتمد على التصيد الإلكتروني، بدلاً من شركات برامج التجسس، وهو توسع مهم في نطاق الإطار المعمول به، لأنه يرسخ مبدأ أن التجسس الإلكتروني التجاري واسع النطاق، بصرف النظر عن الوسيلة التقنية المستخدمة، قد يستوجب اتخاذ إجراءات أميركية بموجب ضوابط التصدير.

خلفية وايدن في سياسة التكنولوجيا تجعل الملف ضمن أولوياته

تأتي صياغة السيناتور وايدن للرسالة منسجمة مع مسار واضح في عمله. فقد شارك في صياغة المادة 230 من قانون آداب الاتصالات، وكتب أول مشروع قانون أميركي بشأن حياد الإنترنت، وطرح قانون المساءلة الخوارزمية الذي كان سيلزم الشركات بتدقيق أنظمة الذكاء الاصطناعي لديها للكشف عن التحيز. كما سبق أن طالب مكتب التجارة للصناعة والأمن بتشديد ضوابط التصدير التي تستهدف الدول الأجنبية القمعية، وهو توجه تمده الرسالة الحالية مباشرة. وكان وايدن قد عرقل ترشيح المدير المقبل لوكالة الأمن السيبراني وأمن البنية التحتية إلى أن تنشر الوكالة تقريراً عن أمن الاتصالات لعام 2022، كما أعد تشريعاً لتعزيز أمن الاتصالات بعد هجوم Salt Typhoon. وبالنسبة إلى وايدن، فإن استخدام ضوابط التصدير ضد شركات القرصنة المأجورة الأجنبية يمثل امتداداً طبيعياً لسجل طويل من توظيف سياسة التكنولوجيا للتصدي للمراقبة والتهديدات السيبرانية التي تستهدف الأميركيين.

أما مشاركة هاريغان، بصفته جمهورياً وجندياً سابقاً في القوات الخاصة، فتشير إلى أن طلب الإدراج صيغ باعتباره قضية أمن قومي، لا قضية حزبية مرتبطة بالحقوق الرقمية. ويحمل وايتهاوس إلى الملف خبرته في اللجنة القضائية واهتمامه السابق بحملات التأثير الممولة بأموال مجهولة المصدر، في سياق بحث كيفية تلاعب جهات أجنبية بالعمليات القانونية والسياسية الأميركية.

لماذا قد تكون حملة إسكات الشركات للصحافة أكبر نقاط ضعفها؟

خصص المشرعون مساحة كبيرة في رسالتهم لما وصفوه بأنه "حملة قمع عدوانية" قادها مسؤولو الشركات ضد صحفيين أميركيين غطوا أنشطتها. وقد حظيت هذه الحملة باهتمام واسع بالفعل.

ففي ديسمبر 2023، حصلت مجموعة تطلق على نفسها اسم "رابطة مراكز تدريب Appin" على أمر من محكمة محلية في نيودلهي يلزم رويترز بإزالة تحقيقها من الإنترنت. ونشرت رويترز مذكرة أكدت فيها "تمسكها بتغطيتها" وطعنت في القرار. وبعد ردود فعل غاضبة من المدافعين عن حرية الصحافة، ألغت محكمة هندية الأمر في أواخر 2024، وأعادت التحقيق إلى الإنترنت. وفي تصعيد منفصل، ألغت الحكومة الهندية بطاقة "المواطن الهندي في الخارج" الخاصة برفائيل ساتر، الصحفي في رويترز الذي قاد تحقيق Appin، في اليوم نفسه الذي أصدرت فيه المحكمة أمر الإزالة.

كما دافعت مؤسسة الحدود الإلكترونية، بشكل منفصل، عن Techdirt ومؤسسة MuckRock في مواجهة تهديدات قانونية وصفتها بأنها جزء من جهود Appin الأوسع نطاقاً لقمع التغطية الصحفية الأميركية، مستندة إلى التعديل الأول للدستور الأميركي وقانون SPEECH، وهو قانون أميركي يجعل أحكام التشهير الأجنبية غير قابلة للإنفاذ عندما لا تستوفي معايير التعديل الأول.

وكتب المشرعون: "تتيح هذه الجهود المنسقة فعلياً لجهات أجنبية استخدام محاكم أجنبية لإبقاء الجمهور الأميركي في الظلام بشأن التهديدات السيبرانية التي تستهدف بلده، وتقوض الحقوق الدستورية الأساسية للمواطنين الأميركيين".

ما الذي سيحققه الإدراج، وما الذي لن يحققه؟

نظراً إلى أن الشركات الثلاث مقرها الهند وأن مسؤوليها مواطنون هنود، ثبتت صعوبة تطبيق الاختصاص الجنائي الأميركي عليها. فلم تُنقل قضية سوميت غوبتا، مدير BellTroX الذي وُجهت إليه اتهامات في كاليفورنيا عام 2015، إلى الولايات المتحدة لمحاكمته. ولم يُعلن عن أي ملاحقة جنائية أميركية لمسؤولي BellTroX أو CyberRoot أو Appin منذ تحقيقَي 2020 و2023، رغم تأكد مشاركة مكتب التحقيقات الفيدرالي.

ولا يمكن للإدراج في قائمة الكيانات إجبار الدول على تسليم المتهمين أو فرض عقوبات جنائية، لكنه يحقق أمراً أكثر مباشرة: حرمان هذه الشركات من الوصول إلى منظومة التكنولوجيا الأميركية. وبالنسبة إلى عمليات تعتمد على الاستضافة السحابية التجارية ومنصات إرسال البريد الإلكتروني الأميركية وخدمات اختصار الروابط المتاحة تجارياً، فإن فقدان الوصول إلى البنية التحتية الأميركية ليس مجرد إزعاج، بل تعطيل مباشر للمسار التقني الذي يدير حملاتها.

ويشير منتقدو الإدراج كأداة للردع إلى أن الجهات المصممة على مواصلة نشاطها تستطيع الالتفاف على القيود باستخدام شركات وهمية أو التأسيس في دول ثالثة. وقد أثبتت الشركات بالفعل أن تغيير الأسماء يمكن أن يكون وسيلة للتخفيف من أثر العقوبات؛ ويعد تحول Appin إلى Sunkissed Organic Farms مثالاً صارخاً على ذلك. وإذا أُدرجت الشركات الثلاث في الوقت نفسه، فسيتعين أن يشمل القرار هوياتها اللاحقة أيضاً.

ولم ترد BellTroX أو CyberRoot على طلبات التعليق. كما لم يرد أنوج خاري، الذي عُرف بصفته مديراً في Sunkissed Organic Farms، على استفسارات الصحافة. ولم تكن سفارة الهند في واشنطن قد ردت على طلبات التعليق حتى وقت نشر التقرير.

هل يحقق الطلب نتائج من دون رد رسمي؟

لا يمثل صمت وزارة التجارة أمراً غير معتاد في هذه المرحلة؛ إذ تبدأ إجراءات قائمة الكيانات بتوصية، تليها مراجعة بين الوكالات قبل نشر أي قرار نهائي في السجل الفيدرالي. وتاريخياً، تحركت إدارة بايدن بسرعة نسبية بشأن NSO Group، إذ أدرجتها خلال أشهر من انتشار التقارير عن إساءة استخدام برنامج Pegasus. ولا يزال من غير المعروف ما إذا كانت إدارة ترامب ستعتبر شركات القرصنة المأجورة التي تتخذ من الهند مقراً أولوية، أو ما إذا كانت الاعتبارات الدبلوماسية المرتبطة بالحكومة الهندية ستؤثر في المراجعة.

وبصرف النظر عن قرار وزارة التجارة، تحقق رسالة المشرعين هدفاً يتمثل في إنشاء سجل رسمي مؤرخ ومتاح للعامة، يثبت أن أعضاء في الكونغرس من الحزبين حددوا ثلاث شركات هندية بالاسم باعتبارها تهديداً للمواطنين الأميركيين والصحفيين والنظام القانوني، وأن الحكومة الأميركية طُلب منها رسمياً التحرك. وقد يحمل هذا السجل قيمة إثباتية في دعاوى قضائية لاحقة ومناقشات دبلوماسية وإجراءات إنفاذ مستقبلية.

الأسئلة الشائعة

ما هي قائمة الكيانات وكيف تؤثر في الشركات الأجنبية؟

يدير مكتب الصناعة والأمن التابع لوزارة التجارة الأميركية قائمة الكيانات باعتبارها أداة لفرض قيود تجارية بموجب لوائح إدارة الصادرات. ولا تستطيع الشركة المدرجة الحصول على تراخيص برمجيات أو خدمات سحابية أو أجهزة أو أدوات أمن سيبراني من أصل أميركي، من دون ترخيص تصدير حكومي، وغالباً ما يقترن ذلك بافتراض رفض الطلب. وبالنسبة إلى شركات القرصنة المأجورة التي تعتمد على البنية التحتية السحابية التجارية الأميركية لتنفيذ حملات التصيد، يمثل ذلك تعطيلًا لعملياتها، لا مجرد عقوبة على سمعتها.

ما الذي فعلته BellTroX تحديداً وأدى إلى طلب إدراجها؟

أمضى Citizen Lab في جامعة تورنتو أكثر من عامين في تتبع حملة تصيد أُطلق عليها اسم "Dark Basin" وربطها بـBellTroX بدرجة عالية من الثقة. وشملت الحملة ما لا يقل عن 27591 رابط تصيد استهدف آلاف الأفراد والمنظمات في ست قارات، بينهم منظمات بيئية أميركية غير ربحية، ومدافعون عن حياد الإنترنت، ومدعون حكوميون، ورؤساء تنفيذيون وصحفيون. ويشكل حجم النشاط الموثق ومدته، إلى جانب توجيه اتهامات إلى مدير BellTroX في قضية اختراق سابقة بولاية كاليفورنيا عام 2015، الأساس الواقعي لطلب الإدراج على قائمة الكيانات.

هل تستطيع وزارة التجارة فعلاً إيقاف هذه الشركات بإدراجها في قائمة الكيانات؟

الإدراج ليس عقوبة جنائية ولا يفرض تسليم المتهمين. لكنه يقطع وصول الشركات المدرجة إلى سلسلة إمداد التكنولوجيا الأميركية التي تدعم عمليات التصيد الحديثة، بما في ذلك الاستضافة السحابية وخدمات البريد الإلكتروني والبرمجيات التجارية. كما يترتب عليه أثر دبلوماسي وسمعة كبيرة، كما حدث مع NSO Group بعد إدراجها عام 2021، حين انسحب داعمون ماليون ونأى عملاء رئيسيون بأنفسهم عنها. ولم تعلن وزارة التجارة، في عهد الوزير لوتنيك، ما إذا كانت ستستجيب للطلب أو الجدول الزمني لذلك.

لماذا ترتبط حملة الشركات ضد الصحفيين الأميركيين بتصنيفها تهديداً للأمن القومي؟

تصوغ رسالة المشرعين قمع التغطية الصحفية الأميركية لهذه الشركات باعتباره طبقة ثانية من الضرر؛ فالأميركيين لم يتعرضوا للاختراق فحسب، بل مُنع القراء الأميركيون من معرفة ما حدث عبر استخدام محاكم هندية وسويسرية لإزالة التغطيات. ويمثل ذلك تهديداً بنيوياً للصحافة المحمية بموجب التعديل الأول. ويجعل قانون SPEECH أوامر المحاكم الأجنبية غير قابلة للإنفاذ ضد الناشرين الأميركيين، لكن أثر الردع، وإزالة تحقيق رويترز قبل أن تتمكن من الطعن، كانا حقيقيين.