الجرائم الإلكترونية ضد الشركات في سلطنة عُمان | 7 خطوات لحماية شركتك إلكترونيًا

تاريخ آخر مراجعة قانونية: 19 يوليو 2026.

الجرائم الإلكترونية ضد الشركات في سلطنة عُمان قد تبدأ برسالة بريد مزيفة، أو اختراق حساب موظف، أو تسريب قاعدة بيانات، ثم تتحول خلال دقائق إلى تحويلات مالية غير مشروعة أو توقف كامل للخدمات أو ابتزاز يهدد بنشر بيانات العملاء. لذلك تحتاج الشركة إلى استجابة قانونية وتقنية متزامنة تحفظ الأدلة وتمنع توسع الضرر وتحدد جهات الإبلاغ والمسؤوليات.

ما المقصود بالجرائم الإلكترونية ضد الشركات؟

هي أفعال غير مشروعة تُرتكب باستخدام موقع إلكتروني أو نظام معلوماتي أو وسيلة من وسائل تقنية المعلومات، وتستهدف أموال الشركة أو بياناتها أو أنظمتها أو عملاءها أو ملكيتها الفكرية أو قدرتها على الاستمرار في العمل.

ولا يشترط أن يأتي الهجوم من مخترق مجهول خارج الشركة؛ فقد يكون الفاعل:

• موظفًا حاليًا تجاوز الصلاحيات الممنوحة له.
• موظفًا سابقًا احتفظ بكلمة مرور أو نسخة من البيانات.
• موردًا تقنيًا أو معالج بيانات أساء استعمال وصوله.
• شريكًا أو مديرًا استخدم النظام خارج غرض العمل.
• محتالًا انتحل صفة المدير أو المحاسب أو المورد.
• مجموعة منظمة تستخدم برمجيات الفدية.
• منافسًا حصل على أسرار أو ملفات بوسيلة غير مشروعة.
• مهاجمًا يوجد خارج سلطنة عُمان، بينما تحققت آثار الجريمة داخلها.

ويشمل تعريف النظام المعلوماتي في قانون مكافحة جرائم تقنية المعلومات الجديد البرامج والتطبيقات ومنصات التواصل الاجتماعي وأنظمة الذكاء الاصطناعي المستخدمة في إنشاء البيانات ومعالجتها وإدارتها. كما يعرف الأدلة الرقمية بأنها البيانات أو المعلومات الإلكترونية ذات القيمة الثبوتية المخزنة أو المنقولة أو المستخرجة من النظام أو وسيلة التقنية.

القانون النافذ للجرائم الإلكترونية في سلطنة عُمان عام 2026

صدر قانون مكافحة جرائم تقنية المعلومات بالمرسوم السلطاني رقم 61/2026، وألغى قانون مكافحة جرائم تقنية المعلومات السابق رقم 12/2011. نُشر المرسوم في الجريدة الرسمية بتاريخ 7 يونيو 2026، وبدأ العمل به في 8 يونيو 2026.

يعني ذلك أن الجرائم الواقعة بعد هذا التاريخ يجب تحليلها وفق القانون الجديد ومواده وعقوباته الحالية، لا وفق المواد المتداولة في محتوى قديم على الإنترنت.

ولا يقتصر تطبيق القانون على الأفعال المرتكبة داخل السلطنة؛ إذ تسري أحكامه على الجريمة التي تقع كليًا أو جزئيًا خارج سلطنة عُمان إذا أضرت بمصالحها أو بأشخاصها، أو تحققت نتيجتها فيها، أو كان يراد للنتيجة أن تتحقق داخلها ولو لم تتحقق.

لماذا تحتاج الشركة إلى فريق قانوني وتقني معًا؟

قد يتمكن فريق التقنية من إيقاف حساب مخترق، لكنه لا يحدد وحده ما إذا كانت الشركة ملزمة بإخطار أصحاب البيانات، أو ما إذا كان حذف ملف سيؤثر في الدليل، أو ما إذا كان عقد المورد يحمّله مسؤولية الخسارة.

وفي المقابل، لا يستطيع المستشار القانوني تحليل سبب الاختراق أو مدى تسرب البيانات دون معلومات فنية دقيقة. لذلك يجب أن تعمل الجهات التالية ضمن فريق واحد:

• الإدارة العليا.
• الشؤون القانونية أو المحامي الخارجي.
• أمن المعلومات وتقنية المعلومات.
• مسؤول حماية البيانات الشخصية.
• المالية والخزينة عند وجود تحويلات.
• الموارد البشرية عند الاشتباه بموظف.
• التواصل المؤسسي.
• مزود الاستضافة أو الخدمات السحابية.
• خبير الأدلة الرقمية عند الحاجة.

ويُفضّل تعيين مسؤول واحد لتوثيق وقت اكتشاف الحادث والقرارات والاتصالات والإجراءات التي اتخذتها الشركة، لأن هذه السجلات قد تكون ضرورية لإثبات سرعة الاستجابة والامتثال.

أكثر الجرائم الإلكترونية التي تستهدف الشركات

الدخول غير المشروع إلى أنظمة الشركة

تعاقب المادة 5 من قانون مكافحة جرائم تقنية المعلومات من يدخل عمدًا ودون وجه حق إلى موقع إلكتروني أو نظام معلوماتي أو وسيلة تقنية، أو يتجاوز الدخول المصرح به، أو يستمر فيه بعد علمه بعدم مشروعية وجوده.

العقوبة الأساسية هي السجن من شهر إلى ستة أشهر، وغرامة من 100 إلى 1000 ريال عُماني، أو إحدى العقوبتين.

إذا ترتب على الدخول إلغاء البيانات أو تغييرها أو نسخها أو تدميرها أو نشرها أو إفشاؤها أو حجبها أو تشفيرها أو إبطاء النظام أو الإضرار بالمستخدمين، ترتفع العقوبة إلى السجن من ستة أشهر إلى سنة، وغرامة من 1000 إلى 3000 ريال.

وإذا كانت البيانات المتضررة بيانات شخصية، فقد تصل العقوبة إلى السجن من سنة إلى ثلاث سنوات، وغرامة من 2000 إلى 5000 ريال، أو إحدى العقوبتين.

هذه الحدود هي نطاقات تشريعية عامة، ولا تمثل توقعًا للحكم في واقعة بعينها. يجب إثبات الدخول غير المشروع والقصد ونسبة الفعل إلى المتهم والنتائج المترتبة عليه.

هل يكون الدخول جريمة إذا كان الفاعل موظفًا لديه كلمة مرور؟

وجود كلمة مرور أو حساب وظيفي لا يمنح الموظف تفويضًا مفتوحًا. فقد يكون دخوله مشروعًا في حدود عمله، ثم يصبح غير مشروع عندما:

• يدخل إلى قاعدة بيانات لا تشملها مهامه.
• ينسخ ملفات العملاء لاستخدامها في نشاط منافس.
• يستخدم الحساب بعد انتهاء خدمته.
• يسلم بيانات الدخول لشخص آخر.
• يحذف أو يشفر أو يغير المعلومات.
• يستعمل النظام لأغراض شخصية أو انتقامية.
• يستمر في الدخول بعد إبلاغه بسحب الصلاحية.

تقرر المادة 7 عقوبة مشددة إذا ارتُكبت جريمة الدخول غير المشروع أثناء العمل أو بمناسبته، ولا يمنع انتهاء الخدمة أو زوال الصفة تطبيق الحكم. والعقوبة المقررة هي السجن من سنة إلى ثلاث سنوات، وغرامة من 3000 إلى 7000 ريال عُماني، أو إحدى العقوبتين.

الحصول غير المشروع على كلمات المرور

تعاقب المادة 6 من يحصل عمدًا ودون وجه حق على رقم سري أو رمز أو كلمة مرور أو وسيلة أخرى للدخول إلى نظام معلوماتي أو موقع إلكتروني أو وسيلة تقنية.

قد تقع الجريمة قبل استعمال كلمة المرور؛ فالحصول غير المشروع عليها قد يكون فعلًا مستقلًا عن الدخول الفعلي.

وتشمل الأدلة المهمة:

• رسائل التصيد.
• صفحة تسجيل الدخول المزيفة.
• سجل تغيير كلمة المرور.
• إشعارات المصادقة متعددة العوامل.
• الجلسات والأجهزة المفتوحة.
• عناوين الاتصال وأوقات الدخول.
• التطبيقات التي مُنحت صلاحية الوصول.

اعتراض البيانات وإعادة توجيهها

تعاقب المادة 9 من يستخدم عمدًا ودون وجه حق النظام أو وسيلة التقنية لمشاهدة البيانات أو الحصول عليها بقصد التنصت أو التتبع أو التعطيل أو التخزين أو النسخ أو التسجيل أو تغيير المحتوى أو تعديل المسار أو إعادة التوجيه أو قطع البث أو الحد من الكفاءة.

قد تدخل ضمن ذلك صور مثل:

• إعادة توجيه البريد الوارد إلى حساب خارجي.
• تثبيت برنامج يسجل ضغطات لوحة المفاتيح.
• اعتراض مراسلات الشركة مع المورد.
• تغيير مسار عملية دفع.
• نسخ حركة الشبكة.
• إبطاء النظام أو تعطيل استقبال البيانات.

وتقرر المادة عقوبة السجن من ستة أشهر إلى ثلاث سنوات، وغرامة من 1000 إلى 3000 ريال، أو إحدى العقوبتين.

الاحتيال عبر البريد الإلكتروني والفواتير المزيفة

يعد احتيال البريد التجاري من أكثر الهجمات ضررًا للشركات؛ إذ يخترق المهاجم بريد المدير أو المورد، أو ينشئ نطاقًا مشابهًا، ثم يطلب تغيير الحساب البنكي أو إجراء تحويل عاجل.

قد تتضمن الواقعة عدة أفعال قانونية، منها:

• انتحال هوية شخص طبيعي أو اعتباري.
• الاحتيال المعلوماتي للحصول على نفع غير مشروع.
• تزوير بيانات أو معلومات إلكترونية.
• استعمال بيانات إلكترونية مزورة.
• الاستيلاء على بيانات وسائل الدفع.

تعاقب المادة 16 على انتحال الهوية باستخدام التقنية، بينما تعاقب المادة 17 على الحصول من الغير على نفع غير مشروع بطريق الاحتيال بالسجن من سنة إلى ثلاث سنوات، وغرامة من 1000 إلى 5000 ريال، أو إحدى العقوبتين.

وتعاقب المادة 18 على تزوير البيانات الإلكترونية أو استعمالها مع العلم بتزويرها، متى كان الهدف تحقيق منفعة أو إلحاق الضرر بالغير.

الإجراء الصحيح عند اكتشاف تحويل احتيالي

1. الاتصال الفوري بالبنك من خلال قناة رسمية.
2. طلب وقف التحويل أو استدعائه إن كان ذلك متاحًا.
3. تزويد البنك برقم العملية والحساب المستفيد.
4. عدم إرسال رسائل إضافية من الحساب المخترق.
5. حفظ رسالة البريد كاملة مع بيانات الرأس.
6. حفظ الفاتورة الأصلية والنسخة المعدلة.
7. تحديد الموظفين الذين وافقوا على التحويل.
8. الاتصال بالمورد عبر رقم معروف مسبقًا.
9. تقديم البلاغ دون انتظار اكتمال التحقيق الداخلي.

لقطة الشاشة وحدها لا تكفي دائمًا؛ إذ تساعد بيانات رأس البريد الإلكتروني في تحديد الخوادم والعناوين والمسار الفني للرسالة.

برمجيات الفدية والابتزاز الإلكتروني

تعمل برمجيات الفدية على تشفير الملفات أو تعطيل الأنظمة، ثم يطلب المهاجم مبلغًا مقابل فك التشفير أو عدم نشر البيانات.

قد تجمع الواقعة بين الدخول غير المشروع والتشفير والإتلاف والابتزاز. وتعاقب المادة 40 من يستخدم التقنية لتهديد شخص أو ابتزازه لحمله على فعل أو الامتناع عنه، ولو كان المطلوب في ذاته مشروعًا.

العقوبة الأساسية هي السجن من سنة إلى ثلاث سنوات، وغرامة من 1000 إلى 3000 ريال. وترتفع إذا كان التهديد بارتكاب جناية أو بأمور مخلة بالشرف أو الكرامة.

هل تدفع الشركة الفدية؟

لا ينبغي أن يتخذ موظف أو مدير القرار منفردًا. فالدفع لا يضمن فك الملفات، ولا يمنع المهاجم من نشرها أو بيعها، وقد يؤدي إلى طلب دفعات إضافية.

قبل أي قرار يجب:

• إبلاغ الجهات المختصة.
• فحص النسخ الاحتياطية المعزولة.
• تحديد مدى انتشار التشفير.
• مراجعة وثيقة التأمين السيبراني.
• حفظ بيانات المحفظة ووسائل التواصل.
• مراجعة المخاطر القانونية والتنظيمية.
• تجنب تشغيل أدوات يقدمها المهاجم دون فحص.

يوصي المركز الوطني للسلامة المعلوماتية بعدم المبادرة إلى دفع مبالغ الفدية، مع ضرورة الإبلاغ عن الحادث واتباع خطة استجابة مهنية.

سرقة بيانات وسائل الدفع

تعالج المواد 52–54 الاعتداء على بيانات وسائل الدفع الإلكترونية، بما يشمل الحصول عليها أو الاستيلاء عليها لتقديمها إلى الغير أو الاستفادة غير المشروعة من الخدمات التي تتيحها، وتزوير وسيلة الدفع.

تتراوح العقوبات بحسب الفعل بين السجن من سنة إلى ثلاث سنوات، وغرامات قد تصل إلى 10,000 ريال عُماني.

عند تسريب بيانات الدفع، يجب:

• إبلاغ البنك أو مزود الدفع فورًا.
• إيقاف البطاقات أو الرموز المتأثرة.
• تحديد العمليات غير المصرح بها.
• حفظ سجلات البوابة الإلكترونية.
• مراجعة التزامات إخطار العملاء.
• تحديد ما إذا تسربت بيانات شخصية أخرى.

سرقة الملكية الفكرية والملفات التجارية

قد يستهدف المهاجم الشفرة البرمجية أو التصميمات أو ملفات العطاءات أو خطط الأسعار أو قاعدة العملاء أو المستندات الفنية.

تعاقب المادة 51 من قانون مكافحة جرائم تقنية المعلومات على استخدام التقنية للتعدي على حق محمي قانونًا لمؤلف أو صاحب حق مجاور أو حق من حقوق الملكية الصناعية، بالسجن من ستة أشهر إلى ثلاث سنوات، وغرامة من 3000 إلى 15,000 ريال، أو إحدى العقوبتين.

لكن الشركة تحتاج أيضًا إلى إثبات أنها تعاملت مع المعلومات بوصفها سرية أو محمية، من خلال:

• اتفاقات السرية.
• تصنيف الملفات.
• تقييد صلاحيات الوصول.
• سجلات التحميل والنسخ.
• سياسة استخدام أجهزة التخزين.
• إلغاء الصلاحيات عند انتهاء الخدمة.
• إثبات القيمة التجارية للمعلومات.

مسؤولية الشركة كشخص اعتباري

قد تكون الشركة مجنيًا عليها، وقد تصبح في حالة أخرى محل مسؤولية إذا ارتُكبت الجريمة باسمها أو لحسابها بواسطة رئيسها أو عضو مجلس إدارتها أو مديرها أو مسؤول آخر، أو بموافقته أو تستره أو إهماله الجسيم.

تنص المادة 57 على معاقبة الشخص الاعتباري بغرامة تعادل ضعف الحد الأعلى للغرامة المقررة للجريمة، دون الإخلال بالمسؤولية الجزائية للأشخاص الطبيعيين.

لذلك يجب على الإدارة عدم توجيه الموظفين إلى حذف الأدلة أو إخفاء الحادث، بل تنظيم تحقيق مستقل يحدد:

• هل الفعل ارتُكب لمصلحة الشركة أم ضدها؟
• هل وافق عليه مدير أو تستر عليه؟
• هل توجد سياسات وضوابط وصول؟
• هل وقع إهمال جسيم في الإشراف؟
• متى علمت الإدارة بالواقعة؟
• ما الإجراءات التي اتخذتها بعد العلم؟

المصادرة وغلق النظام أو الموقع

يجوز للمحكمة، مع عدم الإخلال بحقوق الغير حسن النية، الحكم بمصادرة الأجهزة والأدوات والبرامج والأموال المتحصلة من الجريمة، كما يجوز غلق النظام المعلوماتي أو الموقع الإلكتروني أو المحل الذي ارتُكبت فيه الجريمة أو الشروع فيها، بصورة مؤقتة أو دائمة بحسب ظروف الواقعة.

وتظهر أهمية هذه الأحكام عندما تُستخدم بنية تقنية أو موقع أو منصة مملوكة لشركة في ارتكاب الجريمة، وليس عندما تكون الشركة مجرد ضحية لهجوم خارجي.

اختراق بيانات العملاء والموظفين

إذا مس الحادث بيانات أشخاص طبيعيين، فقد تنشأ التزامات مستقلة بموجب قانون حماية البيانات الشخصية الصادر بالمرسوم السلطاني رقم 6/2022 ولائحته التنفيذية الصادرة بالقرار الوزاري رقم 34/2024.

تلزم اللائحة المتحكم باتخاذ أنظمة وإجراءات تمنع الوصول غير المشروع أو التسريب أو العبث، ووضع أنظمة لاستعادة البيانات عند وقوع حادث مادي أو تقني، وإجراء اختبارات دورية لفاعلية الإجراءات الأمنية.

كما تلزم المتحكم أو المعالج بإنشاء سجل لأنشطة المعالجة يتضمن فئات البيانات، والمصرح لهم بالوصول، والجهات التي تُنقل إليها البيانات، والإجراءات التقنية والتنظيمية، وحالات الاختراق والنتائج والإجراءات التصحيحية.

متى يجب إبلاغ الوزارة خلال 72 ساعة؟

يجب على المتحكم إبلاغ الإدارة المختصة بوزارة النقل والاتصالات وتقنية المعلومات خلال مدة لا تتجاوز 72 ساعة من وقت علمه بالاختراق إذا كان من شأنه أن يؤدي إلى خطر يهدد حقوق أصحاب البيانات الشخصية.

ويجب أن يتضمن البلاغ، على الأقل:

• وصف طبيعة البيانات المخترقة.
• النتائج المترتبة على الاختراق.
• بيانات نقطة الاتصال في الشركة.
• الآثار المحتملة للواقعة.
• الإجراءات المقترحة لمعالجة الاختراق.
• التدابير التي اتخذتها الشركة فور علمها به.

كما يجب إخطار صاحب البيانات خلال 72 ساعة إذا كان الاختراق قد يسبب له ضررًا جسيمًا أو مخاطر عالية، على أن يوضح الإخطار نوع الاختراق والبيانات المتأثرة والتوصيات التي تخفف آثاره.

تتيح وزارة النقل والاتصالات وتقنية المعلومات صفحة رسمية لتقديم بلاغات اختراق البيانات الشخصية، وتوضح إرسال النماذج المعتمدة إلى الإدارة المختصة.

هل تخطر الشركة الوزارة في كل حادث تقني؟

لا يرتبط إخطار 72 ساعة بكل تعطل أو رسالة تصيد لم تنجح. يجب تقييم ما إذا وقع اختراق لبيانات شخصية، وما إذا كان قد يؤدي إلى خطر يهدد حقوق أصحاب البيانات.

ومع ذلك، يجب على الشركة توثيق الواقعة وقرارها سواء قررت الإبلاغ أو عدم الإبلاغ، موضحة:

• وقت العلم بالحادث.
• نوع البيانات المحتمل تأثرها.
• عدد الأشخاص المتأثرين.
• إمكان إساءة استخدام البيانات.
• الضوابط التي تقلل الخطر.
• أسباب القرار القانوني.

ماذا لو لم تكتمل المعلومات خلال 72 ساعة؟

لا ينبغي انتظار تقرير فني نهائي قد يحتاج إلى أسابيع إذا تحققت شروط الإبلاغ. يمكن تقديم المعلومات المتاحة خلال المدة، وبيان الجوانب التي لا تزال قيد التحقيق، ثم استكمال المعلومات عند ظهورها.

الأهم هو إثبات أن الشركة بدأت التقييم فور العلم ولم تستخدم عدم اكتمال التحقيق ذريعة لتأخير الإخطار.

تعيين مسؤول حماية البيانات الشخصية

تلزم اللائحة المتحكم بتحديد مسؤول لحماية البيانات الشخصية يكون مؤهلًا وملمًا بالقانون والممارسات والسياسات المطبقة لدى الشركة.

تشمل مهامه:

• تقديم الاستشارات بشأن التزامات حماية البيانات.
• متابعة تنفيذ السياسات.
• مراقبة الامتثال للقانون واللائحة.
• التنسيق مع الإدارة المختصة في الوزارة.
• المشاركة في تقييم حوادث الاختراق.

ويجب نشر اسم مسؤول حماية البيانات وبيانات التواصل معه بوسيلة مناسبة، ليتمكن أصحاب البيانات من الاتصال به في المسائل المتعلقة بمعالجة بياناتهم.

نقل البيانات إلى خدمات سحابية خارج سلطنة عُمان

قد تخزن الشركة بياناتها لدى مزود سحابي أو مورد يعمل من خارج السلطنة. وتحتاج هذه الحالة إلى مراجعة أحكام نقل البيانات الشخصية خارج الحدود.

تتطلب اللائحة، بحسب الحالة، الحصول على الموافقة الصريحة لصاحب البيانات، وضمان أن جهة المعالجة الخارجية توفر مستوى حماية لا يقل عن المستوى المقرر في سلطنة عُمان، وإجراء تقييم لطبيعة البيانات وحساسيتها والغرض من النقل ومدته والجهات التي ستشارك معها.

لذلك يجب ألا تكتفي الشركة بعبارة عامة في عقد المورد، بل تحدد:

• الدولة التي تُخزن فيها البيانات.
• المتعهدين من الباطن.
• مستوى التشفير والحماية.
• آلية الإبلاغ عن الاختراق.
• حق الشركة في التدقيق.
• إعادة البيانات أو محوها عند انتهاء العقد.

ثلاثة مسارات للإبلاغ لا يجوز الخلط بينها

قد تحتاج الواقعة الواحدة إلى المسارات الثلاثة في الوقت نفسه، ولا يغني بلاغ تقني للمركز الوطني تلقائيًا عن الشكوى الجزائية أو إخطار حماية البيانات.

كيف تقدم الشركة شكوى جزائية؟

يمكن تقديم الشكوى من خلال مركز شرطة عُمان السلطانية، أو عبر خدمة تسجيل شكوى جزائية لدى الادعاء العام.

توضح الخدمة أن المجني عليه أو وكيله القانوني يستطيع تقديم الشكوى، وتشمل المستندات البطاقة الشخصية وصحيفة الشكوى والأدلة والوكالة وبطاقة المحامي عند التقديم بالوكالة. ويجب التحقق من الرسوم والمتطلبات المحدثة عند تقديم الطلب.

مستندات الشركة المبلغة

• السجل التجاري.
• ما يثبت صفة ممثل الشركة.
• الوكالة القانونية.
• وصف زمني للواقعة.
• قائمة الأنظمة والحسابات المتضررة.
• قيمة الخسارة المالية الأولية.
• الرسائل والمحادثات.
• سجلات الدخول والاتصال.
• التقرير الفني الأولي.
• كشوف التحويلات البنكية.
• بيانات الموظفين والموردين ذوي الصلة.
• ما يثبت الإجراءات التي اتخذتها الشركة.

قنوات الإبلاغ العاجل

توضح شرطة عُمان السلطانية أن مراكز الشرطة تعمل على مدار الساعة، وأن رقم الطوارئ هو 9999، ورقم الإبلاغ عن الابتزاز الإلكتروني هو 80077444.

تستخدم قناة الطوارئ عند وجود خطر عاجل، بينما يمكن تقديم الوقائع الأخرى من خلال مركز الشرطة أو الخدمة الإلكترونية بحسب طبيعتها.

الإبلاغ للمركز الوطني للسلامة المعلوماتية

يوفر المركز الوطني للسلامة المعلوماتية ثلاث قنوات للإبلاغ عن الحوادث الأمنية:

• الإبلاغ عبر الموقع الإلكتروني.
• البريد الإلكتروني: Ocert999@mtcit.gov.om.
• الهاتف: +968 24166828.

ويبين المركز أن المعلومات المتعلقة بالجهة المبلغة تُحفظ بسرية ما لم تأذن الجهة بنشرها.

7 خطوات لحماية شركتك إلكترونيًا بعد الحادث

الخطوة الأولى: احتواء الاختراق دون إتلاف الدليل

افصل الجهاز عن الشبكة إذا كان استمرار الاتصال يسمح بانتشار الهجوم، لكن لا تقم بتهيئته أو إعادة ضبطه.

قد تشمل إجراءات الاحتواء:

• إيقاف الحساب المخترق.
• إبطال الجلسات النشطة.
• فصل جهاز محدد عن الشبكة.
• حظر نطاق أو عنوان ضار.
• وقف التحويلات غير المكتملة.
• تفعيل خطة استمرارية الأعمال.

يجب ألا يتحول الاحتواء إلى حذف عشوائي؛ لأن الذاكرة المؤقتة وسجلات النظام قد تحتوي على أدلة لا يمكن استعادتها لاحقًا.

الخطوة الثانية: تشكيل فريق استجابة وتحديد المسؤوليات

حدد قائدًا للحادث، ومسؤولًا تقنيًا، ومسؤولًا قانونيًا، ومسؤولًا للتواصل، ونقطة اتصال مع البنك والجهات الرسمية.

يجب أن يسجل الفريق:

• وقت اكتشاف الواقعة.
• اسم الشخص الذي اكتشفها.
• كل إجراء ووقت تنفيذه.
• الشخص الذي وافق عليه.
• الجهات التي تم التواصل معها.
• الملفات والأجهزة التي جرى حفظها.

الخطوة الثالثة: حفظ الأدلة الرقمية وسلسلة الحيازة

يجب إثبات مصدر الدليل وطريقة جمعه ومن تعامل معه، لا مجرد حفظه في مجلد مشترك.

يتضمن سجل الحيازة:

• وصف الجهاز أو الملف.
• الرقم التسلسلي.
• تاريخ ووقت الجمع.
• اسم جامع الدليل.
• طريقة النسخ أو التصوير الجنائي.
• مكان الحفظ.
• كل انتقال للدليل وسببه.

تعاقب المادة 15 من قانون مكافحة جرائم تقنية المعلومات المسؤول عن الأدلة الرقمية إذا أخفاها أو امتنع عن تقديمها لمأموري الضبط القضائي أو عبث بها، بالسجن من ستة أشهر إلى ثلاث سنوات، وغرامة من 1000 إلى 3000 ريال، أو إحدى العقوبتين.

الخطوة الرابعة: تقييم الأنظمة والبيانات والخطر

يجب تحديد:

• نقطة الدخول الأولى.
• الأنظمة التي وصل إليها المهاجم.
• مدة بقائه داخل الشبكة.
• الحسابات التي استخدمها.
• البيانات التي شاهدها أو نسخها.
• الأموال أو الخدمات المتأثرة.
• وجود بيانات شخصية أو صحية أو مالية.
• احتمال استمرار الوصول الخفي.

ولا يكفي إثبات وجود ثغرة؛ إذ يجب معرفة ما إذا استُغلت فعلًا، وما إذا خرجت البيانات من النظام، وما الضرر المحتمل على الأشخاص والشركة.

الخطوة الخامسة: تقديم البلاغات والإخطارات

قيّم فورًا وجوب التواصل مع:

• شرطة عُمان السلطانية.
• الادعاء العام.
• المركز الوطني للسلامة المعلوماتية.
• وزارة النقل والاتصالات وتقنية المعلومات.
• البنك أو مزود الدفع.
• شركة التأمين.
• العملاء أو الموظفين المتضررين.
• الجهات المتعاقدة أو التنظيمية.

قد يفرض العقد على المورد إبلاغ الشركة خلال ساعات من اكتشاف الحادث، حتى لو كانت مدة الإخطار التنظيمية الخارجية مختلفة.

الخطوة السادسة: استعادة الأنظمة بصورة آمنة

لا تُعد الأنظمة إلى العمل قبل تحديد الثغرة وإغلاقها، وإلا فقد يعود المهاجم عبر نقطة الدخول نفسها.

تشمل الاستعادة:

• تغيير كلمات المرور ومفاتيح الوصول.
• تفعيل المصادقة متعددة العوامل.
• إصلاح الثغرات وتحديث البرامج.
• فحص النسخ الاحتياطية قبل استعمالها.
• إعادة بناء الأجهزة من مصادر موثوقة.
• مراجعة صلاحيات المستخدمين.
• مراقبة السجلات بعد التشغيل.
• اختبار سلامة الخدمات.

الخطوة السابعة: المطالبة بالحقوق ومنع التكرار

بعد الاحتواء، تحدد الشركة الخسائر ومسؤولية الموظف أو المورد أو المهاجم، وتراجع المطالبة بالتعويض أو تطبيق الضمانات العقدية.

ويجب إعداد تقرير ما بعد الحادث يتضمن:

• السبب الجذري.
• الثغرة المستغلة.
• التسلسل الزمني.
• البيانات والأموال المتأثرة.
• فاعلية الاستجابة.
• الإجراءات التصحيحية.
• المسؤول عن تنفيذها.
• موعد اختبارها.

حجية البريد الإلكتروني والرسائل الرقمية

ينظم قانون المعاملات الإلكترونية الصادر بالمرسوم السلطاني رقم 39/2025 الوثائق والتوقيعات والمعاملات الإلكترونية.

تعد الوثيقة الإلكترونية وثيقة مكتوبة وتنتج آثارها القانونية إذا استوفت الشروط القانونية. كما يتحقق حفظها عندما تبقى بالشكل الذي أُنشئت أو أُرسلت أو تسلمت به، أو في شكل يضمن عدم تغييرها، ويمكن الوصول إليها وتحديد منشئها والمرسل إليه ووقت إنشائها أو إرسالها أو تسلمها.

ما الذي يعزز قيمة الرسالة كدليل؟

• حفظ الملف الأصلي.
• استخراج رأس البريد الإلكتروني.
• إثبات رقم الهاتف أو الحساب.
• ربط الرسالة بسجلات الدخول.
• حفظ الجهاز الذي استقبلها.
• إثبات وقت الإرسال والاستلام.
• عدم قص المحادثة أو تعديلها.
• استخدام خبير عند إنكار نسبتها.

التحقيق الداخلي عند الاشتباه بموظف

يجب التفريق بين الموظف الذي أخطأ بسبب نقص التدريب، والموظف الذي تعمد نسخ البيانات أو حذفها أو تسليم كلمة المرور.

قبل اتخاذ قرار تأديبي أو توجيه اتهام، افحص:

• الصلاحيات الممنوحة للموظف.
• سجل الدخول والأجهزة المستخدمة.
• التعليمات والسياسات المبلغة إليه.
• الدافع أو المنفعة المحتملة.
• محاولات إخفاء الفعل.
• استعمال البيانات بعد انتهاء الخدمة.
• احتمال اختراق حسابه دون علمه.

ولا ينبغي تفتيش جهاز شخصي أو نشر اسم الموظف أو فصله فورًا دون مراعاة الإجراءات القانونية وحقه في الرد وحفظ الأدلة بصورة مشروعة.

مسؤولية مزود الاستضافة أو الخدمات السحابية

قد يكون الاختراق ناتجًا عن ثغرة أو تقصير لدى مزود خارجي، مثل:

• إعداد خاطئ للخادم.
• تسريب من موظف لدى المعالج.
• عدم تثبيت تحديث أمني متفق عليه.
• فشل النسخ الاحتياطية.
• تأخر المورد في إبلاغ الشركة.
• تخزين البيانات في موقع غير متفق عليه.

تحدد المسؤولية بعد مراجعة:

• عقد الخدمة.
• اتفاق معالجة البيانات.
• مستوى الخدمة.
• معايير الأمن المتفق عليها.
• حدود المسؤولية.
• شرط التعويض.
• واجب الإخطار.
• تقارير التدقيق والاختبار.

بنود مهمة في عقود التقنية

• تعريف الحادث الأمني واختراق البيانات.
• مدة إخطار الشركة بالحادث.
• التعاون في التحقيق وحفظ الأدلة.
• مكان تخزين البيانات.
• المتعهدون من الباطن.
• معايير التشفير والتحكم في الوصول.
• اختبارات الاختراق والتحديثات.
• النسخ الاحتياطي واستعادة الخدمة.
• إعادة البيانات ومحوها عند انتهاء العقد.
• التعويض وحدود المسؤولية.
• التأمين السيبراني.
• القانون والاختصاص وتسوية النزاع.

هل يمكن المطالبة بالتعويض؟

قد تحتاج الشركة إلى مطالبة مدنية أو تجارية مستقلة أو تابعة للمسار الجزائي، بحسب الوقائع والإجراءات.

يمكن أن تشمل الخسائر القابلة للدراسة:

• المبالغ المحولة إلى المحتال.
• تكلفة استعادة الأنظمة.
• أتعاب خبير الأدلة الرقمية.
• خسارة الإنتاج أو المبيعات خلال التوقف.
• تكلفة إخطار العملاء.
• تكلفة إعادة إصدار وسائل الدفع.
• الجزاءات أو المطالبات العقدية الناتجة عن الحادث.
• خسارة عقد يمكن إثبات علاقتها المباشرة بالاختراق.

لا يكفي تقديم تقدير عام؛ بل يجب إثبات قيمة الخسارة وعلاقتها بالفعل والإجراءات التي اتخذتها الشركة للحد من الضرر.

هل يمكن استرداد المبلغ المحول إلى محتال؟

تزداد فرصة إيقاف أو استرداد التحويل كلما كان الاتصال بالبنك والجهات المختصة أسرع، لكنها تظل غير مضمونة.

تؤثر عوامل مثل:

• حالة التحويل وقت الإبلاغ.
• وجود الحساب داخل السلطنة أو خارجها.
• انتقال المال إلى حسابات أخرى.
• سحب المبلغ نقدًا.
• استخدام محافظ أو عملات رقمية.
• سرعة تقديم البلاغ.
• اكتمال بيانات العملية.

لا ينبغي انتظار تحديد طريقة الاختراق بالكامل قبل مخاطبة البنك وطلب وقف العملية.

التأمين السيبراني

قد تغطي بعض وثائق التأمين تكاليف الاستجابة للحوادث أو توقف الأعمال أو خبراء الأدلة أو الإخطارات أو المطالبات، لكن التغطية تختلف بصورة كبيرة.

يجب مراجعة:

• تعريف الحادث المؤمن عليه.
• مهلة إخطار شركة التأمين.
• الموافقات المطلوبة قبل الاستعانة بخبير.
• استثناءات الإهمال أو الأنظمة القديمة.
• تغطية الاحتيال في التحويلات.
• تغطية برمجيات الفدية.
• حدود التغطية والتحمل.
• قائمة الموردين المعتمدين.

وقد يؤدي تعيين خبير أو دفع تكلفة كبيرة قبل إخطار شركة التأمين إلى نزاع حول التغطية، لذلك يجب مراجعة الوثيقة فور اكتشاف الحادث.

إدارة التواصل مع العملاء والإعلام

قد يضر البيان غير المنظم بالتحقيق أو يكشف معلومات إضافية أو يخلق توقعات غير دقيقة.

يجب تجنب:

• إنكار الاختراق قبل اكتمال الفحص.
• تأكيد أرقام غير متحققة.
• اتهام موظف أو مورد دون دليل.
• كشف بيانات شخصية جديدة.
• تقديم ضمان بأن البيانات لم تُستخدم.
• نشر تفاصيل فنية تساعد مهاجمين آخرين.

ويُفضل إعداد رسائل مختلفة للموظفين والعملاء والموردين والجهات الرسمية، لأن المعلومات التي يحتاج إليها كل طرف تختلف.

خطة زمنية للاستجابة

15 إجراءً وقائيًا للشركات

1. تفعيل المصادقة متعددة العوامل.
2. عدم اعتماد التحويلات المالية عبر البريد وحده.
3. التحقق الهاتفي من تغيير حساب المورد.
4. اشتراط موافقة شخصين على المدفوعات الكبيرة.
5. تحديث الأنظمة والبرامج بانتظام.
6. الاحتفاظ بنسخ احتياطية معزولة.
7. اختبار استعادة النسخ الاحتياطية.
8. مراقبة سجلات الدخول والتنزيل.
9. إيقاف حسابات الموظفين فور انتهاء خدمتهم.
10. تطبيق الحد الأدنى من الصلاحيات.
11. تدريب الموظفين على التصيد والانتحال.
12. تعيين مسؤول حماية البيانات.
13. اختبار خطة الاستجابة دوريًا.
14. مراجعة عقود موردي التقنية ومعالجي البيانات.
15. توثيق مكان تخزين البيانات ونقلها عبر الحدود.

أخطاء شائعة بعد الاختراق

• تهيئة الجهاز: بما يؤدي إلى ضياع الأدلة.
• تأخير الاتصال بالبنك: حتى ينتقل المبلغ.
• تغيير كلمة المرور من جهاز مصاب: فيحصل المهاجم عليها مجددًا.
• تأخير البلاغ: انتظارًا لانتهاء تحقيق داخلي طويل.
• عدم توثيق وقت العلم: رغم علاقته بمهلة الإخطار.
• اتهام موظف علنًا: قبل اكتمال الفحص.
• إعادة الأنظمة قبل إغلاق الثغرة: فيعود المهاجم.
• إهمال الموردين: رغم احتمال أن يكون الاختراق لديهم.
• حذف رسائل الابتزاز: قبل حفظها.
• اعتبار النسخ الاحتياطية سليمة: دون اختبارها.

صحيح أم خاطئ؟

حالة افتراضية: تغيير حساب مورد

الحالة التالية افتراضية للتوعية، ولا تمثل حكمًا قضائيًا أو ملفًا حقيقيًا لأحد موكلي المكتب.

تتعامل شركة عُمانية مع مورد خارجي بصورة منتظمة. تلقى موظف الحسابات رسالة تبدو صادرة من المورد، وتطلب تغيير الحساب البنكي بسبب تحديث الإجراءات المالية.

تضمنت الرسالة فاتورة سابقة واسم مدير المبيعات وتوقيعه المعتاد. حوّلت الشركة مبلغ 48,000 ريال عُماني، ثم اكتشفت بعد يومين أن بريد المورد تعرض للاختراق.

تحتاج الواقعة إلى فحص:

• هل اختُرق بريد المورد أم بريد الشركة؟
• هل اسم النطاق مطابق أم مشابه؟
• من عدّل رقم الحساب في الفاتورة؟
• هل كانت هناك سياسة للتحقق من تغيير الحسابات؟
• هل أجرى الموظف اتصالًا مستقلًا بالمورد؟
• هل احتاج التحويل إلى موافقة ثانية؟
• متى أُبلغ البنك؟
• هل تضمنت الرسائل بيانات شخصية؟
• هل يغطي التأمين الواقعة؟
• ما مسؤولية كل طرف وفق العقد؟

قد تتضمن الواقعة انتحال هوية واحتيالًا معلوماتيًا وتزويرًا إلكترونيًا. ويجب حفظ رأس البريد والفاتورة الأصلية والمعدلة وسجل الموافقات وكشف التحويل.

ولا يكفي القول إن الموظف أخطأ أو إن الاختراق وقع لدى المورد؛ فالمسؤولية المدنية والتجارية تحتاج إلى فحص العقد وضوابط الطرفين والسبب المباشر للخسارة.

متى تحتاج الشركة إلى تدخل قانوني عاجل؟

• عند تحويل مبلغ إلى حساب محتال.
• عند تشفير الخوادم أو توقف النشاط.
• عند التهديد بنشر بيانات الشركة.
• عند تسريب بيانات العملاء أو الموظفين.
• عند الاشتباه بموظف أو مدير.
• عند وجود مهلة إخطار 72 ساعة.
• عند احتمال مسؤولية الشركة نفسها.
• عند طلب تسليم أجهزة أو رموز إلى جهة التحقيق.
• عند نشوء نزاع مع البنك أو المورد التقني.
• عند وجود وثيقة تأمين تشترط إخطارًا عاجلًا.

كيف يساعد المحامي عيسى النظيري الشركات المتضررة؟

يمكن أن يشمل العمل، وفق الاتفاق والوكالة:

• تصنيف الواقعة قانونيًا.
• تحديد القانون والمواد المحتملة.
• تنسيق حفظ الأدلة مع الخبير التقني.
• مراجعة سلسلة حيازة الأجهزة والملفات.
• إعداد الشكوى الجزائية.
• تمثيل الشركة أمام الجهات المختصة.
• مراجعة إخطار اختراق البيانات.
• تقييم مسؤولية الموظف أو المورد.
• مراجعة عقد الاستضافة أو معالجة البيانات.
• حساب الخسائر والمطالبة بالتعويض.
• مراجعة التغطية التأمينية.
• تحديث السياسات والعقود بعد الحادث.

الأسئلة الشائعة حول الجرائم الإلكترونية ضد الشركات في سلطنة عُمان

1. ما القانون الذي ينظم الجرائم الإلكترونية حاليًا؟

ينظمها قانون مكافحة جرائم تقنية المعلومات الصادر بالمرسوم السلطاني رقم 61/2026، الذي ألغى القانون السابق رقم 12/2011، وبدأ العمل به في 8 يونيو 2026.

2. أين تقدم الشركة بلاغًا عن الاختراق؟

يمكن تقديم البلاغ في مركز شرطة عُمان السلطانية أو من خلال خدمة تسجيل الشكوى الجزائية لدى الادعاء العام، مع إمكان إبلاغ المركز الوطني للسلامة المعلوماتية.

3. هل يجب الإبلاغ عن كل اختراق خلال 72 ساعة؟

لا. يتعلق الالتزام التنظيمي باختراق البيانات الشخصية الذي قد يهدد حقوق أصحاب البيانات، مع إخطار الأشخاص إذا كان الضرر جسيمًا أو الخطر عاليًا.

4. هل يجوز حذف الملفات أو تهيئة الجهاز؟

لا ينصح بذلك، لأن الحذف قد يدمر أدلة مهمة. يجب عزل الجهاز وحفظه والاستعانة بمتخصص في الأدلة الرقمية قبل إجراء تغييرات واسعة.

5. هل البريد الإلكتروني دليل مقبول؟

قد تكون له حجية إذا أمكن التحقق من مصدره وسلامته وطريقة إنشائه وحفظه. ويُفضل الاحتفاظ بالرسالة الأصلية ورأس البريد والسجلات الفنية.

6. هل يُسأل الموظف إذا استخدم حسابه الوظيفي؟

قد تنشأ المسؤولية إذا تجاوز حدود التصريح أو استعمل الحساب بعد انتهاء الصلاحية أو حذف أو نسخ أو أفشى البيانات دون حق.

7. ماذا تفعل الشركة بعد تحويل مبلغ لمحتال؟

تتواصل فورًا مع البنك لوقف أو استدعاء التحويل، وتحفظ الرسائل والفواتير وسجل الموافقات، وتقدم البلاغ دون تأخير.

8. هل يجب دفع الفدية لاستعادة الملفات؟

لا يضمن الدفع استعادة الملفات أو عدم نشرها. يجب مراجعة الجهات المختصة والنسخ الاحتياطية والتأمين والمخاطر القانونية قبل اتخاذ أي قرار.

9. هل الشركة مسؤولة عن تسريب بيانات العملاء؟

قد تتحمل التزامات إذا كانت متحكمًا أو معالجًا ولم تلتزم بالحماية أو الإخطارات المطلوبة، بحسب سبب الاختراق واستجابتها والإجراءات التي كانت مطبقة.

10. هل يمكن مقاضاة مزود الاستضافة؟

يمكن دراسة مسؤوليته إذا نشأ الحادث عن إخلال بالعقد أو الحماية أو واجب الإبلاغ، مع إثبات العلاقة بين الإخلال والخسارة.

11. هل يسري القانون على مهاجم خارج سلطنة عُمان؟

قد يسري إذا أضرت الجريمة بمصالح السلطنة أو بأشخاصها، أو تحققت نتيجتها داخلها، أو كان يراد لها أن تتحقق فيها.

12. هل يمكن طلب تعويض عن توقف العمل؟

يمكن دراسة المطالبة إذا أثبتت الشركة مدة التوقف وقيمة الخسارة وعلاقتها المباشرة بالواقعة وإجراءاتها للحد من الضرر.

13. ما أدلة الابتزاز الإلكتروني؟

تشمل الرسائل الأصلية والحسابات والعناوين وأرقام الهواتف والمحافظ وطلبات الدفع والتوقيتات والملفات وسجلات النظام، دون تعديلها أو حذفها.

14. هل إبلاغ المركز الوطني يغني عن إبلاغ الشرطة؟

لا. يؤدي المركز دورًا فنيًا في الاستجابة للحوادث، بينما يتعلق البلاغ لدى الشرطة أو الادعاء العام بالمسار الجزائي.

15. من يمثل الشركة عند تقديم الشكوى؟

يقدم الشكوى الممثل القانوني الثابت في مستندات الشركة، أو المحامي بموجب وكالة صحيحة، مع إرفاق السجل التجاري ومستندات الصفة والأدلة.

روابط هامة

• قانون مكافحة جرائم تقنية المعلومات الصادر بالمرسوم السلطاني رقم 61/2026.
• قانون حماية البيانات الشخصية الصادر بالمرسوم السلطاني رقم 6/2022.
• اللائحة التنفيذية لقانون حماية البيانات الشخصية رقم 34/2024.
• قانون المعاملات الإلكترونية الصادر بالمرسوم السلطاني رقم 39/2025.
• بلاغات اختراق البيانات الشخصية.
• الإبلاغ عن الحوادث الأمنية لدى المركز الوطني للسلامة المعلوماتية.
• قنوات التواصل مع شرطة عُمان السلطانية.
• خدمة تسجيل شكوى جزائية لدى الادعاء العام.

الخلاصة

تحتاج الجرائم الإلكترونية ضد الشركات في سلطنة عُمان إلى استجابة تجمع القانون والتقنية والإدارة. تبدأ الحماية باحتواء الهجوم دون إتلاف الأدلة، ثم تحديد الأنظمة والبيانات المتأثرة، وتقديم البلاغ الجنائي وبلاغ الحادث والإخطار التنظيمي عند تحقق شروط كل مسار. كما يجب مراجعة مسؤولية الموظفين والموردين والبنوك، وحساب الخسائر وتحديث العقود والصلاحيات والنسخ الاحتياطية. وكل تأخير في الساعات الأولى قد يقلل فرصة وقف التحويلات أو معرفة الفاعل أو إثبات الواقعة.