حذرت المديرية العامة لأمن نظم المعلومات (DGSSI) بالمغرب من حملة هجمات سيبرانية واسعة النطاق تستهدف لوحات الإدارة السحابية لمنصة ConnectWise ScreenConnect، المستخدمة من طرف عدد من المؤسسات ومزودي الخدمات المعلوماتية المدارة (MSP)، مصنفة مستوى خطورة وتأثير هذه الهجمات ضمن خانة «الحرج»، بالنظر إلى قدرتها على اختراق الأنظمة وتنفيذ أوامر خبيثة عن بعد.
وأوضحت المديرية، في نشرتها الأمنية الصادرة يوم الخميس 12 نونبر 2026، تحت الرقم المرجعي 71001211/26، أن هذا النشاط السيبراني يستدعي يقظة المؤسسات التي تعتمد المنصة المذكورة، خصوصا في ظل رصد عمليات اختراق استهدفت لوحات التحكم السحابية واستغلت صلاحيات الإدارة لتنفيذ هجمات جماعية في وقت قياسي.
ويأتي التحذير المغربي بالتزامن مع معطيات كشفت عنها شركة الأمن السيبراني الأمريكية Huntress، التي رصدت الهجوم لأول مرة يوم 11 نونبر الجاري، مؤكدة أن المهاجمين تمكنوا من السيطرة على لوحات تحكم سحابية تابعة للمنصة، واستغلال خاصية «Run Command» لبث تعليمات خبيثة إلى الأجهزة المرتبطة بها.
ووفق التحقيقات التي أجرتها الشركة، أسفرت هذه العمليات عن تثبيت نسخ مخترقة من برنامج ScreenConnect، إلى جانب أداة خبيثة جديدة أطلق عليها اسم SCKit Worm، استهدفت ما لا يقل عن 288 حاسوبا موزعة على 48 مؤسسة، خلال مدة لم تتجاوز 90 دقيقة، فيما تعرض ثلث الأجهزة المستهدفة للاختراق خلال الدقائق العشر الأولى فقط.
من جانبها، أعلنت شركة ConnectWise المطورة للمنصة، في إشعار أمني نشرته مساء 11 نونبر، أنها حددت خمس إضافات خارجية يحتمل ارتباطها بهذا النشاط، وقررت تعطيلها احترازيا عبر نحو 400 بيئة شريكة. ويتعلق الأمر بإضافات Labtech Plus وRMM Plus وRMM+ وRMM Plus Password Link وRMM+ Password Link.
وكشفت النتائج الأولية للتحقيق أن مصدر الخلل لا يكمن في النظام الأساسي لمنصة ScreenConnect، وإنما في إضافة RMM+، التي تتيح تجاوز حسابات المستخدمين وآليات المصادقة الثنائية باستعمال مفتاح وصول مشترك. وكانت بعض نسخ الإضافة تقبل مفتاحا فارغا، وهو ما فتح المجال أمام المهاجمين لتنفيذ أوامر عن بعد والسيطرة على الأجهزة المستهدفة.
ودعت الشركة جميع الشركاء الذين يعتمدون النسخ المحلية من المنصة (On-Premise) إلى تعطيل الإضافات المعنية يدويا، وتغيير كلمات المرور، مع التشديد على أن إيقاف هذه الإضافات لا يعني بالضرورة إنهاء الاختراق، إذ قد يحتفظ المهاجمون بإمكانية الوصول إلى الأجهزة التي سبق اختراقها.
وفي ظل هذه التطورات، توصي المديرية العامة لأمن نظم المعلومات والمؤسسات المتخصصة في الأمن السيبراني المؤسسات المغربية التي تستخدم ScreenConnect بإجراء فحص فوري لسجلات الأنظمة، والتأكد من تحديث المنصة وتعطيل الإضافات المشبوهة، فضلا عن مراقبة أي نشاط غير مألوف مرتبط بالبرنامج.
ويعيد هذا التحذير تسليط الضوء على المخاطر الأمنية المتزايدة المرتبطة بأدوات الإدارة عن بعد، التي تحولت، رغم دورها في تسهيل تدبير الشبكات وصيانة الأجهزة، إلى أهداف مغرية للهجمات السيبرانية، خصوصا عندما تتحول ثغرة في إضافة خارجية إلى مدخل يسمح بالوصول إلى أنظمة مؤسسات متعددة وتنفيذ عمليات اختراق جماعية في دقائق معدودة.
