جماعة لازاروس.. منظمة قرصنة سيبرانية تتجسس وتسرق وتخرّب

مجموعات قرصنة سيبرانية، تنشط منذ 2009، وتتهمها تقارير أمنية بالارتباط بكوريا الشمالية، ويُعتقد أنها تعمل برعايتها وتحت إشراف مكتب الاستطلاع العام، جهاز الاستخبارات الرئيسي في البلاد.

ارتبط اسم جماعة لازاروس (Lazarus) بسلسلة من الهجمات الإلكترونية التي استهدفت مؤسسات مالية وشركات ومؤسسات حكومية وبنى تحتية حيوية في دول مختلفة، وهي تُعرف بأسماء أخرى في تقارير الأمن السيبراني، من بينها هيدن كوبرا (Hidden Cobra) وزينك (ZINC)، كما ترتبط بها مجموعات قرصنة أخرى، مثل بلونوروف (BlueNoroff)، وأندارييل (Andariel)، وأي بي تي 38 (APT38)، وبيغل بويز (BeagleBoyz)، وتريدر تريتور (TraderTraitor).

برز اسم مجموعة لازاروس في سياق الهجمات السيبرانية المرتبطة بكوريا الشمالية، ويعود نشاطها إلى عام 2009 (وتشير بعض التحليلات الأمنية إلى أن بعض عملياتها أو جذورها ترجع لعام 2007). ويربطها خبراء الأمن السيبراني بمكتب الاستطلاع العام، الذي يُعد جهاز الاستخبارات الرئيسي في كوريا الشمالية.

ولا تشير تسمية لازاروس إلى فريق واحد يعمل بتشكيلة ثابتة، إذ تستخدمها تقارير أمنية بوصفها اسما شاملا يرتبط به عدد من الوحدات والجهات المنفذة للعمليات السيبرانية.

تُعرف مجموعة لازاروس بعدة أسماء أخرى في تقارير الأمن السيبراني، من بينها هايدن كوبرا (Hidden Cobra) وزينك (ZINC)، كما ترتبط بها مجموعات وجهات أخرى، مثل بلونوروف (BlueNoroff)، وأندارييل (Andariel)، وأي بي تي 38 (APT38)، وبيغل بويز (BeagleBoyz)، وتريدر تريتور (TraderTraitor).

ولا تُستخدم هذه التسميات جميعها للدلالة على كيان واحد؛ إذ تشير بعضها إلى مجموعات فرعية من لازاروس، فيما تُطلق أخرى على جهات سيبرانية كورية شمالية مستقلة أو متداخلة معها في العمليات والأدوات والبنية التحتية.

تجمع مجموعة لازاروس بين دوافع سياسية واستخبارية ومالية، وهو ما يميزها عن مجموعات القرصنة التي تركز بصورة أساسية على التجسس أو تحقيق المكاسب المالية.

فمن جهة، تنفذ عمليات تجسس إلكتروني تستهدف مؤسسات حكومية وعسكرية وشركات عاملة في قطاع الدفاع، بهدف جمع المعلومات الاستخبارية ومراقبة أنشطة الجهات المستهدفة. ومن جهة أخرى، تشن هجمات تخريبية تسعى إلى تعطيل الأنظمة وتدمير البيانات وإلحاق الضرر بالمؤسسات والجهات التي تستهدفها.

أما الجانب المالي، فقد أصبح من أبرز محركات أنشطتها. وتشير التقارير إلى أن كوريا الشمالية، في ظل العقوبات الدولية المفروضة عليها، اتجهت إلى الجرائم السيبرانية باعتبارها مصدرا للحصول على الأموال والعملات الأجنبية خارج القنوات المالية التقليدية.

وتستهدف المجموعة في هذا السياق المصارف والمؤسسات المالية وشبكات أجهزة الصراف الآلي ومنصات تداول العملات المشفرة، إلى جانب شركات التكنولوجيا المالية والكازينوهات الإلكترونية.

اخترقت المجموعة شركة سوني بيكتشرز، وسرقت بيانات داخلية وأفلاما لم تُعرض بعد ومراسلات إلكترونية، كما عطّلت أجهزة الشركة. ورُبط الهجوم بفيلم "المقابلة" الذي تناول سيناريو خياليا لاغتيال الزعيم الكوري الشمالي كيم جونغ أون.

استهدفت المجموعة البنك عبر نظام التحويلات المالية "سويفت"، ونجحت في سرقة 81 مليون دولار من أصل نحو مليار دولار حاولت قرصنتها قبل اكتشاف العملية.

ارتبطت لازاروس بهجوم برنامج الفدية "واناكراي" الذي أصاب أكثر من 230 ألف جهاز في أكثر من 150 دولة، وعطّل مؤسسات حيوية، من بينها هيئة الخدمات الصحية الوطنية البريطانية.

استُخدمت برمجية "فاست كاش" لاختراق أنظمة المدفوعات وأجهزة الصراف الآلي، وتنسيق عمليات سحب نقدي في دول أفريقية وآسيوية.

استخدمت المجموعة برمجيات خبيثة حملت اسم "أبل جوس" لاستهداف متداولي العملات المشفرة ومنصات التداول، عبر تطبيقات ومحافظ رقمية مزيفة.

كثفت المجموعة هجماتها على منصات تداول العملات المشفرة ومؤسسات التكنولوجيا المالية، مستخدمة التصيد الاحتيالي واختراق سلاسل التوريد للوصول إلى الأنظمة المستهدفة.

نسب مكتب التحقيقات الفدرالي الأمريكي إلى جهات كورية شمالية سرقة نحو 1.5 مليار دولار من العملات المشفرة من منصة "بايبت" في فبراير/شباط 2025، في واحدة من كبرى عمليات سرقة الأصول الرقمية. كما رُصدت حملات تصيد وتجسس استهدفت جهات في كوريا الجنوبية ومؤسسات دفاعية غربية.

في 29 أكتوبر/تشرين الأول 2026، أعلنت منصة تداول العملات المشفرة بينانس تعرضها لاختراق كبير، دفعها إلى تجميد أصول تتجاوز قيمتها 2.5 مليار دولار لمنع سرقتها.

وفي 31 أكتوبر/تشرين الأول، أعلن مكتب التحقيقات الفدرالي الأميركي (FBI) مسؤوليّة مجموعة تريدر تريتور (TraderTraitor) -المرتبطة بلازاروس- عن الهجوم، مشيرا إلى رصد محاولات لتحويل الأصول المسروقة إلى عملة إيثيريوم، مع توقع استمرار عمليات غسل الأموال باستخدام تقنيات مرتبطة بالعملات المشفرة.

وبحسب شركتي تحليل بيانات البلوك تشين "تي آر إم لابز" و"تشيناليسيس"، نُفذ الجزء الأكبر من السرقة في غضون نحو 20 دقيقة، فيما تشابهت أساليب الهجوم مع عمليات سابقة نُسبت إلى جماعة لازروس.

في المقابل، قال الرئيس الأمريكي دونالد ترمب إن واشنطن غير متأكدة من تورط بيونغ يانغ، رغم إعلان مكتب التحقيقات الفدرالي تحديد الجهة المسؤولة.

ولم ترد البعثة الكورية الشمالية في جنيف أو سفارتها في الصين على طلبات التعليق، فيما تنفي بيونغ يانغ باستمرار اتهامات تورطها في عمليات التجسس والسرقة المالية عبر وحدات إلكترونية تابعة للدولة.