ويُعد ڨيدز “Guedz” المطور الرئيسي والمسؤول الإداري عن منصة سنايبر دي زاد “SniperDz”، وهي منصة تقدم خدمات التصيد الإلكتروني كخدمة وتنشط منذ عام 2015 على أقل تقدير، حيث غيرت المنصة هويتها على مر السنين لتُعرف تارة باسم “Joker Dz” وتارة أخرى باسم “Storm Dz” و”Spam Dz”، دون أن يتوقف نشاطها الاحتيالي مطلقاً.
حقيقة منصة سنايبر دي زاد
لم تكن “سنايبر دي زاد ” مجرد عملية قرصنة هاوية أو بدائية، بل كانت منصة متكاملة تمد مجرمي الإنترنت بحزم أدوات جاهزة للتصيد الإلكتروني، فضلاً عن توفير بنية تحتية للاستضافة ودعم تشغيلي متواصل. وما جعلها شديدة الخطورة بشكل خاص هو كونها مجانية بالكامل لمستخدميها، مما قلل شروط الدخول والالتحاق بها أمام أي قرصان طموح يفتقر إلى المهارات التقنية المتقدمة.
واعتمد نموذج تحقيق الأرباح في المنصة على السرقة المباشرة لبيانات الهوية والولوج، أو في حال تعذر ذلك، تحويل الضحايا نحو عمليات احتيال موازية مثل الاشتراكات في الرسائل النصية القصيرة ذات الرسوم المرتفعة، أو استغلال إشعارات المتصفح، أو الاحتيال عبر فواتير شركات الاتصال.
وتبدو الأرقام المسجلة في هذا الصدد بليغة ومؤشرة على حجم النشاط، حيث تم تحديد أكثر من 20.000 نطاق إلكتروني فريد مرتبطة بالمنصة على مر السنين، واستهدفت حزم التصيد أكثر من 30 منظمة ومؤسسة عالمية كبرى، من بينها بايبال وفيس بوك وإنستغرام وياهو ونتفليكس وستيم، وذلك عبر 80 نموذجاً احتيالياً جرى نشرها بخمس لغات هي العربية والإنجليزية والفرنسية والإسبانية والعبرية.
ووفقاً للإحصاءات التي نشرتها المنصة نفسها في عام 2016، فإن الحملات التي شُنت عبر “سنايبر دي زاد ” كانت قد جمعت بالفعل أكثر من 45.000 سجل لبيانات الضحايا.
وعلاوة على سرقة البيانات التقليدية، أنشأ فاعلون خبيثون حسابات مزيفة على منصات التواصل الاجتماعي انتحلوا فيها صفة شخصيات سياسية بارزة ومعروفة في منطقة الشرق الأوسط وشمال إفريقيا، بهدف نشر روابط تصيد إلكتروني متنكرة في شكل عروض ترويجية أو فرص للحصول على إنترنت مجاني.
كيف أمكن تحديد الهوية؟
أكدت شركة الأمن السيبراني السنغافورية “Group-IB” في بيان نشرته عبر موقعها الإلكتروني أنها قدمت المعلومات الاستخباراتية الحاسمة للإنتربول، فبعد رصدها لمنصة “سنايبر دي زاد ” أثناء مراقبة حملات تصيد واسعة النطاق، قاد محققوها تحقيقاً استمر عدة أشهر تقاطعت فيه تحليلات البنية التحتية، والمعلومات المستقاة من المصادر المفتوحة، والربط بين البصمات الرقمية.
وكانت الثغرة التي سقط فيها القرصان “ڨيدز” على قدر من البساطة يكاد يكون محيراً، إذ كشفت مقاطع الفيديو التعليمية التي كان ينشرها لتوظيف وتدريب شركائه المنتسبين، عن غير قصد، معلومات إدارية وبيانات خاصة بحساباته. كما أزاح الباحثون الستار عن سنوات من الأنشطة على شبكات التواصل الاجتماعي وثقت تطور المنصة وجهود توظيف المنتسبين ونشر نماذج التصيد الجديدة.
ووفرت قناة على تطبيق تليغرام تضم أكثر من 7.300 مشترك، وحساب على موقع فيس بوك يتابعه أكثر من 19.000 مستخدم، أدلة إضافية ربطت المشتبه فيه بأنشطة المنصة بين عامي 2015 و2025.
حصيلة “عملية رمز”
وفي إطار العملية الأمنية ذاتها، تم حجب الموقع الإلكتروني الذي كان يُستخدم لتقديم خدمات التصيد كخدمة لمجرمي الإنترنت الآخرين، كما جرى حجز معدات تحتوي على برمجيات ونصوص برمجية مخصصة للتصيد. وإلى جانب توقيف “”ڨيدز””، أتاحت “عملية رمز” تحديد هوية 382 مشتبهاً فيه إضافياً، وإحصاء 3,867 ضحية، فضلاً عن ضبط وحجز 53 خادماً رقمياً.
وصرح نيل جيتون، مدير مكافحة الجرائم السيبرانية في منظمة الإنتربول، بأن هذه النتيجة هي ثمرة مباشرة لشراكات قوية تقود إلى الاستجابة الأكثر فعالية ضد الجريمة الإلكترونية، مشيداً بدور شركة “Group-IB” في تقديم معلومات استخباراتية قابلة للاستغلال الميداني.
من جانبه، شدد ديمتري فولكوف، الرئيس التنفيذي لشركة “Group-IB”، على أن شل الجريمة السيبرانية يتطلب ما هو أكثر بكثير من مجرد تفكيك صفحات التصيد، إذ يستلزم الأمر فهم الأشخاص والبنية التحتية والأنظمة البيئية الإجرامية التي تقف وراءها وتدعمها.
ما الذي يتغير… وما الذي لا يتغير؟
يضع هذا التوقيف حداً لعملية إجرامية استمرت قرابة عقد من الزمن، غير أن نموذج التصيد كخدمة القائم على المنصات الجاهزة والبنية التحتية المشتركة وتوظيف المنتسبين عبر تليغرام لا يختفي مع زوال “سنايبر دي زاد”، فهناك منصات أخرى قائمة، وستظهر منصات أخرى مستقبلاً.
ما يلفت الانتباه حقاً في هذه القضية ليس العملية الأمنية في حد ذاتها، بل طريقة تحديد الهوية ونسب الجرم، حيث تسبب المشغل في كشف نفسه على مدار سنوات عبر دروس تعليمية علنية وحضور اجتماعي نشط؛ وهو ما يمثل درساً للمحققين، وسخرية القدر، درساً لخليفته المحتمل أيضاً.
