گزارش تهدیدات سایبری ترلیکس در نوامبر ۲۰۲۶؛ تحلیل تخصصی

ارزیابی تهدیدات سایبری زمانی برای سازمان ارزش عملیاتی دارد که روشن کند مهاجمان چگونه به دارایی‌های حیاتی دسترسی پیدا می‌کنند، کدام ضعف‌ها فرصت نفوذ را فراهم می‌سازند و تیم امنیت برای کشف و مهار حمله چه میزان زمان در اختیار دارد. گزارش تهدیدات سایبری ترلیکس در نوامبر ۲۰۲۶ از این منظر، تصویری از تلاقی سه روند مهم ارائه می‌دهد: تداوم عملیات جاسوسی سایبری، گسترش و پراکندگی اکوسیستم باج‌افزار و افزایش نقش عامل‌های هوش مصنوعی در اجرای حملات.

این گزارش که عمدتاً داده‌ها و مشاهدات اول آوریل تا پایان سپتامبر ۲۰۲۶ را بررسی می‌کند، بر یک چالش اساسی تأکید دارد: درحالی‌که خودکارسازی، سرعت و مقیاس عملیات مهاجمان را افزایش می‌دهد، آسیب‌پذیری‌های شناخته‌شده و ضعف در حفاظت از اعتبارنامه‌ها همچنان فرصت‌های مهمی برای نفوذ فراهم می‌کنند. هم‌زمان، ورود عامل‌های هوش مصنوعی به محیط‌های سازمانی، مرزهای دسترسی به اطلاعات حساس و مسئولیت کنترل آن‌ها را پیچیده‌تر کرده است.

سرعت و استقلال عملیاتی؛ دو ویژگی مهم تهدیدات سایبری

به ارزیابی ترلیکس، تغییر مهم این دوره به سرعت اجرای عملیات و کاهش نیاز مهاجمان به هدایت انسانی مستمر مربوط می‌شود. بسیاری از مؤلفه‌های حمله، از سوءاستفاده از ابزارهای مورداعتماد تا بهره‌برداری از ضعف‌های شناخته‌شده، همچنان پابرجا هستند؛ اما شیوه ترکیب و اجرای آن‌ها با خودکارسازی بیشتری همراه شده است.

گزارش هشدار می‌دهد که بررسی رخدادهای نفوذ به‌صورت جداگانه، تصویر کافی از ریسک سازمان ارائه نمی‌کند. پیوند میان دسترسی اولیه، استفاده از اعتبارنامه‌ها، اجرای ابزارها و خروج اطلاعات اهمیت بیشتری پیدا کرده است؛ زیرا همین مراحل می‌توانند در قالب یک زنجیره عملیاتی و با فاصله زمانی کوتاه اجرا شوند.

در چنین شرایطی، ترلیکس حفظ تداوم کسب‌وکار را به تبدیل اطلاعات تهدید به اقدام دفاعی وابسته می‌داند: مهار سریع‌تر، تقویت مستمر معماری امنیت و مدیریت منظم نقاط مواجهه با تهدید.

تهدیدات APT؛ تمرکز بر زیرساخت‌های عملیاتی و ارتباطی

در بخش تهدیدات پیشرفته پایدار یا APT، داده‌های گزارش از تمرکز فعالیت بر اهداف مشخص حکایت دارند. آمریکا و ترکیه در مجموع بیش از سه‌چهارم شناسایی‌های این مجموعه داده را تشکیل می‌دهند. حمل‌ونقل، کشتیرانی و مخابرات نیز روی‌هم بیش از نیمی از حجم کمپین‌های شناسایی‌شده را جذب کرده‌اند.

ده گروه نخست، ۵۶ درصد شناسایی‌ها را به خود اختصاص داده‌اند. این ارقام باید در محدوده داده‌های مشاهده‌شده ترلیکس تفسیر شوند؛ آن‌ها نماینده سهم قطعی کشورها یا صنایع از تمامی حملات جهان نیستند.

باج‌افزار؛ افزایش بازیگران و پراکندگی قدرت

گزارش، اکوسیستم باج‌افزار را بازاری متراکم با قدرت توزیع‌شده میان بازیگران بیشتر توصیف می‌کند. ورود گروه‌های تازه و تغییر جایگاه نام‌های شناخته‌شده، از ویژگی‌های مهم دوره مورد بررسی است.

در فاصله آوریل تا سپتامبر، ۱۲۴ گروه مجموعاً ۵٬۵۰۵ پست معرفی قربانی منتشر کرده‌اند. از این میان، ۵۵ گروه برای نخستین بار در داده‌ها ظاهر شده‌اند و ۲۲ درصد پست‌ها را به خود اختصاص داده‌اند. The Gentlemen نیز از نظر تعداد پست‌های معرفی قربانی از Qilin پیشی گرفته است. این شمارش مربوط به انتشار ادعاهای گروه‌هاست و نباید مستقیماً معادل تعداد قربانیان منحصربه‌فرد و تأییدشده تلقی شود.

ترلیکس در مقدمه گزارش تأکید می‌کند که سهم تازه‌واردان تا ماه اوت به حدود یک‌سوم پست‌ها رسیده است. از نگاه نویسندگان، این پراکندگی نشان‌دهنده تغییر ساختاری در اکوسیستم است؛ بازیگران بیشتری می‌توانند با زیرساخت کمتر و سرعت بالاتر فعالیت کنند.

پیام دفاعی گزارش در این بخش، توجه به تداوم روش‌های نفوذ در کنار تغییر نام گروه‌هاست. برندهای باج‌افزاری ممکن است جابه‌جا شوند، اما بسیاری از رفتارها و مراحل عملیاتی آن‌ها تغییر کمتری دارند.

هوش مصنوعی؛ از کمک به مهاجم تا اجرای عملیات

یکی از محورهای اصلی گزارش، حرکت از استفاده کمکی از هوش مصنوعی به واگذاری عملیات به عامل‌هاست. در این الگو، نقش مدل به تولید متن یا کمک در نوشتن کد محدود نمی‌ماند؛ ابزارهای عامل‌محور برای برنامه‌ریزی و اجرای مراحل نفوذ عرضه می‌شوند و نیاز کمتری به نظارت پیوسته انسان دارند.

ترلیکس همچنین به استفاده از هوش مصنوعی در فرایند اخاذی اشاره می‌کند. نمونه مطرح‌شده، TITAN AI است که تحلیل اسناد سرقت‌شده و آماده‌سازی بسته‌های فشار بر قربانی را در کانون فعالیت خود قرار می‌دهد. در اینجا، پردازش زبان طبیعی می‌تواند برای استخراج اطلاعات از اسناد و تسریع آماده‌سازی محتوای اخاذی به کار رود. بااین‌حال، گزارش درباره صحت تمام ادعاهای فنی این عرضه‌کننده قطعیت نمی‌دهد.

گزارش به نمونه‌ای از اجرای زنجیره حمله توسط یک عامل مبتنی بر مدل زبانی نیز اشاره دارد که در ادامه، باج‌افزاری با هدف تخریب مدل‌های هوش مصنوعی و داده‌های آموزشی مستقر کرده است.

ارزیابی ترلیکس این است که استفاده از هوش مصنوعی میان مهاجمان توانمند گسترش خواهد یافت. مسئله اصلی برای مدافعان، میزان ادغام این قابلیت‌ها در مراحل حمله و سرعت تطبیق کنترل‌های امنیتی با آن‌هاست.

عامل‌های سازمانی و سطح پنهان افشای اعتبارنامه‌ها

هوش مصنوعی در این گزارش، علاوه بر ابزار مهاجمان، به‌عنوان بخشی از سطح مواجهه سازمان بررسی شده است. عامل‌هایی که برای توسعه نرم‌افزار یا انجام عملیات به سامانه‌ها متصل می‌شوند، ممکن است با گذرواژه‌ها، توکن‌ها و سایر اطلاعات احراز هویت سروکار داشته باشند.

ترلیکس هشدار می‌دهد که این عامل‌ها می‌توانند در جریان انجام وظایف عادی، اطلاعات حساس را از مخازن رمزگذاری‌شده به خط فرمان، فایل‌های محلی یا زمینه ورودی مدل‌های خارجی منتقل کنند. بنابراین، افشای اطلاعات الزاماً نتیجه یک اقدام مخرب آگاهانه نیست و ممکن است از نحوه اجرای وظیفه ناشی شود.

اهمیت این مسئله در عبور اطلاعات از مرزهای حفاظتی است. داده‌ای که ابتدا در یک مخزن امن نگهداری می‌شود، پس از انتقال به خروجی فرمان یا ورودی مدل، در معرض شرایط متفاوتی از دسترسی و پردازش قرار می‌گیرد.

پاسخ پیشنهادی گزارش، برخورد با نقاط پایانی میزبان عامل‌های هوش مصنوعی به‌عنوان زیرساخت‌های باارزشِ پردازش اعتبارنامه است. استفاده از توکن‌های کوتاه‌عمر و پیگیری زنجیره فعالیت عامل، از اولویت‌های اعلام‌شده برای کاهش این مواجهه هستند.

آسیب‌پذیری‌های شناخته‌شده همچنان مسئله‌ای فوری‌اند

با وجود توجه گسترده به قابلیت‌های نوظهور، گزارش تأکید می‌کند که بخش مهمی از فعالیت بهره‌برداری همچنان حول ضعف‌های افشاشده، ثبت‌شده و قابل‌وصله شکل می‌گیرد. در نتیجه، تازگی یک آسیب‌پذیری به‌تنهایی معیار کافی برای تعیین اولویت اصلاح نیست.

هم‌زمان، گسترش قابلیت‌های کشف خودکار آسیب‌پذیری می‌تواند فشار بیشتری بر تیم‌های امنیت وارد کند. ترلیکس احتمال می‌دهد سرعت کشف ضعف‌ها از ظرفیت سازمان‌ها برای اعتبارسنجی، اولویت‌بندی و اصلاح آن‌ها پیشی بگیرد؛ وضعیتی که اهمیت انتخاب درست اقدامات اصلاحی را افزایش می‌دهد.

توصیه محوری گزارش، تکیه بر شواهد بهره‌برداری به‌جای حجم افشای آسیب‌پذیری‌هاست. هدف این است که منابع دفاعی به نقاطی اختصاص یابند که شواهد موجود، فوریت بیشتری برای رسیدگی به آن‌ها نشان می‌دهد.

دامنه مدیریت آسیب‌پذیری نیز باید ابزارهای هماهنگ‌سازی هوش مصنوعی، سازندگان کم‌کد و سرورهای پروتکل زمینه مدل یا MCP را در بر بگیرد. این اجزا بخشی از زیرساخت عملیاتی سازمان‌اند و باید در برنامه مدیریت مواجهه دیده شوند.

چهار اولویت دفاعی مطرح‌شده در گزارش

ترلیکس برای تبدیل یافته‌ها به اقدام سازمانی، چهار محور اصلی را مطرح می‌کند:

• اصلاح مبتنی بر شواهد بهره‌برداری: اولویت اقدامات اصلاحی با توجه به فعالیت مشاهده‌شده مهاجمان تعیین شود.

• حفاظت از اعتبارنامه‌های عامل‌ها: نقاط پایانی میزبان عامل، زیرساخت حساس تلقی شوند و از توکن‌های کوتاه‌عمر استفاده کنند.

• پوشش زیرساخت هوش مصنوعی: ابزارهای هماهنگ‌سازی، محیط‌های کم‌کد و سرورهای MCP وارد دامنه مدیریت آسیب‌پذیری شوند.

• تسریع کشف و مهار: قابلیت‌های تشخیص و پاسخ خودکار با سرعت اجرای حملات هماهنگ شوند.

در نگاه گزارش، واحد مناسب بررسی، زنجیره کامل رفتارهای منتسب به فرایند آغازگر است. این رویکرد برای تشخیص فعالیت عامل‌ها، دنبال‌کردن استفاده از اعتبارنامه‌ها و فهم ارتباط میان رویدادها اهمیت دارد.

ترلیکس تشخیص مبتنی بر هوش مصنوعی و پاسخ خودکار را بخشی از الزامات دفاع در برابر این سرعت عملیاتی می‌داند. جهت‌گیری پیشنهادی آن، افزایش آمادگی سازمان از طریق پیوند اطلاعات تهدید، کنترل دسترسی، مدیریت آسیب‌پذیری و مهار سریع رخدادها است.

منبع: Trellix Advanced Research Center | The CyberThreat Report | November 2026