سكربتات الطرف الثالث بعد اختراق DebugBear: فحصنا 260 موقعًا مصريًا تحت .eg وقائمة حماية من 8 خطوات
الإجابة المختصرة: في 29 أكتوبر 2026 تحوّل سكربت مراقبة أداء من شركة DebugBear إلى أداة سرقة على منصة Polymarket بعد اختراق سجلات DNS الخاصة بالشركة عبر مسجّل نطاقها. فحصنا 260 موقعًا مصريًا تحت .eg في 1 نوفمبر 2026: 57.7% منها تحمّل سكربتات من نطاقات خارجية، و13.5% فقط تستخدم سياسة CSP تقيّد السكربتات، و7.7% فقط من وسوم السكربتات الخارجية محمية ببصمة SRI. الحل: جرد السكربتات، وتقييدها، وتأمين حساب المسجّل.
سكربتات الطرف الثالث هي أكواد JavaScript يحمّلها موقعك من خوادم شركات أخرى، مثل Google Tag Manager وبكسل الإعلانات وأدوات قياس السرعة والدردشة ومكتبات CDN. هذه السكربتات تعمل داخل صفحتك بنفس صلاحيات كودك، فإذا تغيّر محتواها عند مصدرها تغيّر ما يراه زوارك وما يحدث في جلساتهم دون أن تلمس أنت سطرًا واحدًا. هذا بالضبط ما كشفته حوادث آخر أسبوع من أكتوبر 2026، وهذا ما دفعنا إلى قياس الوضع على المواقع المصرية.
ماذا حدث في أكتوبر 2026؟ من سكربت مراقبة إلى أداة سرقة
بحسب تقرير CircleID بتاريخ 31 أكتوبر 2026، استغل مهاجمون في 29 أكتوبر سكربت مراقبة تابعًا لشركة DebugBear (خدمة لقياس سرعة المواقع وتجربة المستخدم) لسرقة نحو 2.7 مليون دولار من 726 محفظة على منصة Polymarket. وأعلنت DebugBear لاحقًا أن سجلات DNS الخاصة بها اختُرقت عبر مسجّل النطاق، وأنها لم تجد دليلًا على اختراق أنظمتها الداخلية.
وذكرت CNBC أن Polymarket أعلنت إعادة 3.9 مليون دولار للمتداولين: 2.7 مليون دولار المسروقة و1.2 مليون دولار لتعويض خسائر فترة إيقاف التداول.
وفي 30 و31 أكتوبر 2026 رُصدت موجة ثانية منفصلة: اختطاف DNS لما لا يقل عن 12 موقعًا للعملات الرقمية وتوجيه زوارها إلى صفحات تسرق المحافظ، مع توجيه الأنظار إلى Vercel Domains وName.com دون تأكيد سبب جذري مشترك حتى الآن. ولم تُثبت أي علاقة بين الحادثتين.
الدرس العملي واضح: أمان موقعك لا يتوقف عند خادمك وكودك؛ بل يمتد إلى كل نطاق يحمّل منه موقعك كودًا، وإلى حساب المسجّل الذي يتحكم في DNS نطاقك ونطاقات مورديك.
لماذا تهم سكربتات الطرف الثالث المواقع المصرية تحديدًا؟
قد يبدو الحادث بعيدًا لأنه وقع على منصة تداول أجنبية، لكن النمط نفسه ينطبق على أي موقع مصري يحمّل كودًا خارجيًا في صفحات حساسة:
- العيادات والمراكز الطبية: صفحات الحجز وبوابات المرضى تجمع بيانات صحية، وهي من البيانات الحساسة وفق قانون حماية البيانات الشخصية رقم 151 لسنة 2020.
- المتاجر الإلكترونية: صفحات الدفع وتسجيل الدخول هي الهدف الأول لأي سكربت معدّل.
- الجهات الحكومية والجامعات: بوابات الخدمات ونتائج الطلاب يزورها عدد ضخم من المواطنين، وأي سكربت معدّل فيها يصل إلى جمهور واسع.
- لوحات الإدارة: سكربت خارجي يعمل داخل جلسة مدير مسجّل الدخول يملك عمليًا صلاحيات هذا المدير.
فحصنا 260 موقعًا مصريًا: كيف تبدو سكربتات الطرف الثالث على نطاقات .eg؟
في 1 نوفمبر 2026 (09:34 بتوقيت القاهرة) فحص فريق سمارت ون جروب الصفحات الرئيسية لكل نطاقات .eg الواردة في قائمة Tranco لأشهر المواقع (الإصدار 262N9)، وعددها 332 نطاقًا. استجاب منها 260 موقعًا (78.3%). قرأنا كود HTML الأولي لكل صفحة رئيسية، واستخرجنا وسوم السكربت الخارجية، وفحصنا وجود سمة integrity (بصمة SRI) ورأس Content-Security-Policy.
أبرز النتائج
- 150 موقعًا من 260 (57.7%) تحمّل سكربتًا واحدًا على الأقل من نطاق خارجي مباشرة في كود الصفحة.
- 128 موقعًا (49.2%) تحتوي على كود Google Tag Manager، و34 موقعًا (13.1%) على بكسل Meta، و141 موقعًا (54.2%) على وسم تسويقي أو تحليلي واحد على الأقل.
- 79 موقعًا (30.4%) فقط ترسل سياسة CSP، و35 موقعًا (13.5%) فقط تقيّد مصادر السكربتات فعليًا عبر script-src أو default-src.
- من بين 150 موقعًا تحمّل سكربتات خارجية، 126 موقعًا (84.0%) لا تملك سياسة CSP تقيّد السكربتات.
- من أصل 519 وسم سكربت خارجي، 40 وسمًا فقط (7.7%) تحمل بصمة SRI، وموقعان فقط من 150 يحميان كل سكربتاتهما الخارجية بها.
- حتى مكتبات CDN الثابتة مثل cdnjs وjsDelivr وjQuery، التي يسهل حمايتها بالبصمة: 24 وسمًا فقط من 113 (21.2%) تحمل SRI.
- لم نجد سكربت DebugBear في كود أي موقع من المواقع المفحوصة.
النتائج حسب نوع النطاق
| الفئة | مواقع مستجيبة | تحمّل سكربتًا خارجيًا | CSP تقيّد السكربتات | سكربتات خارجية ببصمة SRI |
|---|---|---|---|---|
| تجارية (.com.eg و.eg المباشر) | 105 | 62 (59.0%) | 18 (17.1%) | 12 من 292 (4.1%) |
| حكومية (.gov.eg) | 68 | 39 (57.4%) | 11 (16.2%) | 3 من 91 (3.3%) |
| تعليمية (.edu.eg) | 80 | 46 (57.5%) | 6 (7.5%) | 25 من 128 (19.5%) |
| الإجمالي | 260 | 150 (57.7%) | 35 (13.5%) | 40 من 519 (7.7%) |
ملاحظة منهجية: فحصنا كود HTML الأولي فقط دون تشغيل JavaScript، لذا فالسكربتات التي يحقنها Tag Manager لاحقًا غير محسوبة، والأرقام الحقيقية للسكربتات الخارجية أعلى على الأرجح. ولا تعني هذه النتائج أن أي موقع مخترق؛ بل تقيس مدى اعتماده على كود خارجي ومدى تقييده له.
ما الفرق بين SRI وCSP وقفل النطاق؟
بصمة SRI (Subresource Integrity) هي سمة integrity تضعها على وسم السكربت وتحتوي على بصمة تشفيرية لمحتوى الملف؛ إذا تغيّر الملف عند المصدر يرفض المتصفح تشغيله. يشرح توثيق MDN طريقة استخدامها. وهي مناسبة للملفات الثابتة ذات الإصدار المحدد، لكنها لا تصلح لسكربتات تتغير باستمرار مثل Tag Manager وبكسلات الإعلانات.
سياسة CSP (Content Security Policy) هي رأس HTTP يحدد للمتصفح النطاقات المسموح أن يحمّل منها الموقع سكربتات ويتصل بها. لا تمنع CSP تعديل سكربت من مصدر مسموح، لكنها تمنع تحميل كود من نطاقات غير معروفة وتحدّ من الجهات التي يمكن إرسال البيانات إليها.
قفل النطاق لدى المسجّل يمنع نقل النطاق أو تعديل خوادم الأسماء دون خطوات إضافية. ويشير تقرير CircleID إلى أن DNSSEC وحده لا يمنع بالضرورة هجومًا يتم عبر تغييرات "مصرّح بها" من داخل حساب المسجّل، لذا فحماية حساب المسجّل نفسه هي خط الدفاع الأول.
قائمة حماية سكربتات الطرف الثالث من 8 خطوات
- اجرد كل سكربت خارجي: سجّل لكل سكربت النطاق، والغرض منه، والمسؤول عنه، والصفحات التي يعمل فيها، وتاريخ آخر مراجعة. لا تنسَ ما يُضاف عبر Tag Manager والإضافات (Plugins).
- احذف ما لا تحتاجه: أدوات التجربة القديمة وأكواد الحملات المنتهية وأدوات القياس المكررة تزيد الخطر دون فائدة.
- استضف المكتبات الثابتة محليًا أو أضف لها SRI: jQuery وBootstrap ومكتبات الرسوم يمكن نسخها إلى خادمك أو ربطها بإصدار محدد مع سمة integrity وcrossorigin.
- طبّق CSP على مرحلتين: ابدأ بوضع Report-Only لمعرفة ما يحمّله موقعك فعليًا، ثم فعّل سياسة تقيّد script-src وconnect-src بالنطاقات الضرورية فقط.
- اعزل الصفحات الحساسة: لا تضع بكسلات إعلانية أو أدوات تسجيل الجلسات في صفحات الدفع وتسجيل الدخول وبوابات المرضى ولوحات الإدارة.
- احكم Tag Manager: عدد محدود من المستخدمين، ومصادقة ثنائية إلزامية، ومراجعة لكل نسخة قبل النشر، وإزالة حسابات الموظفين والوكالات السابقة.
- أمّن حساب المسجّل وDNS: مصادقة ثنائية، وقفل النقل والتعديل، وبريد استرداد على نطاق مختلف، وتنبيه فوري عند تغيير خوادم الأسماء أو السجلات. واسأل مورديك الأساسيين عن الإجراءات نفسها.
- جهّز خطة طوارئ: طريقة لإيقاف أي سكربت خلال دقائق، وإبطال الجلسات وإعادة تعيين كلمات المرور، ومراجعة السجلات والتعديلات خلال فترة التعرض، كما فعل عملاء DebugBear عندما طُلب منهم إزالة الكود.
كيف تبدأ هذا الأسبوع؟
افتح الصفحة الرئيسية وصفحة الدفع أو الحجز في متصفحك، ثم أدوات المطور وتبويب Network، وصفِّ النتائج على JS؛ كل نطاق ليس نطاقك هو طرف ثالث يحتاج إلى مالك ومبرر. بعدها راجع رؤوس الاستجابة لترى إن كان هناك Content-Security-Policy. هذه ساعة عمل واحدة تعطيك صورة أوضح من أي تقرير عام.
إذا كان موقعك مبنيًا لدينا أو تريد مراجعة موقع قائم، يقدم فريق تطوير المواقع مراجعة للسكربتات وسياسة CSP، ويضبط فريق التسويق الرقمي أكواد التتبع بحيث تبقى القياسات دقيقة دون فتح ثغرات، كما تشمل عقود الدعم الفني متابعة دورية للتغييرات. ولمزيد من الحماية على مستوى النطاق راجع مقالنا عن اختطاف سجلات النطاقات وسجلات CAA، ولجانب البيانات الشخصية راجع قائمة امتثال المواقع لقانون حماية البيانات.
الأسئلة الشائعة
ما هي سكربتات الطرف الثالث؟
سكربتات الطرف الثالث هي أكواد JavaScript يحمّلها موقعك من نطاقات شركات أخرى، مثل أدوات التحليلات والإعلانات والدردشة ومكتبات CDN. تعمل داخل صفحتك بنفس صلاحيات كودك، لذلك فأي تغيير عند مصدرها يؤثر مباشرة في زوارك.
هل يعني فحصكم أن المواقع المصرية مخترقة؟
لا. الفحص يقيس الاعتماد على الكود الخارجي ووجود ضوابط مثل CSP وSRI، ولا يبحث عن برمجيات خبيثة. لم نجد سكربت DebugBear في أي موقع مفحوص، لكن النتائج تبين أن أغلب المواقع لا تملك حماية إذا تعرّض أحد مورديها لاختراق.
هل تكفي بصمة SRI لحماية Google Tag Manager؟
لا. بصمة SRI تناسب الملفات الثابتة ذات الإصدار المحدد فقط، أما Tag Manager والبكسلات فتتغير باستمرار. الحماية هنا تكون بسياسة CSP، وتقييد صلاحيات حساب Tag Manager، ومراجعة كل نسخة قبل نشرها.
هل يحمي DNSSEC من اختطاف النطاق عبر المسجّل؟
ليس بالضرورة. DNSSEC يحمي من تزوير ردود DNS، لكن إذا دخل المهاجم إلى حساب المسجّل وغيّر خوادم الأسماء فالتغيير يبدو مصرّحًا به. الدفاع الأساسي هو المصادقة الثنائية وقفل النطاق والتنبيه عند أي تغيير.
هل وضع بكسل الإعلانات في صفحة حجز العيادة مشكلة؟
نعم، يحتاج إلى مراجعة دقيقة. البيانات الصحية من البيانات الحساسة وفق قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020، والأفضل إبعاد البكسلات وأدوات تسجيل الجلسات عن صفحات الحجز والنماذج الطبية وقياس التحويلات بطرق لا تنقل بيانات المريض.
كم يستغرق تطبيق سياسة CSP على موقع قائم؟
يعتمد على عدد السكربتات وتعقيد الموقع. الطريقة الآمنة هي البدء بوضع Report-Only لعدة أيام لجمع ما يحمّله الموقع فعليًا، ثم تفعيل السياسة تدريجيًا حتى لا تتعطل نماذج أو أدوات قياس مهمة.
هل تريد جردًا لسكربتات موقعك ومراجعة لإعدادات النطاق؟ تواصل مع فريق سمارت ون جروب وسنرشدك إلى أولويات واضحة دون تعطيل حملاتك.
