“خطر إشعاعي في كييف”: اختراق تطبيق الإنذار الجوي الأوكراني يرسل أربعة إنذارات كاذبة في دقيقتين، فكيف نحمي نظاماً وظيفته أن يُصدَّق فوراً؟

ماذا حدث؟

بحسب التسلسل الذي نشرته BBC، وصلت الرسائل على النحو التالي:

1. 22:47: بالأوكرانية: “خطر إشعاعي. أُعلن خطر إشعاعي في كييف”.
2. 22:48: بالروسية: “مرحباً! سيكون هناك إنذار نووي في كل أوكرانيا. لا تقلقوا، إنه أوريشنيك يطير”.
3. 22:49: بالأوكرانية: خطر هجوم كيميائي على كييف، مع نصيحة بعدم الخروج.
4. 22:49: “خطر معارك شوارع” في كييف.

ثم وصلت إلى الهواتف رسائل “انتهاء الخطر” لكل إنذار على حدة. ونشر سلاح الجو على تيليغرام: “تعرض تطبيق الإنذار الجوي على الأرجح لتدخل معادٍ. لا يوجد خطر إشعاعي!”. وحين سألته وكالة الصحافة الفرنسية هل اختُرق التطبيق، قال المتحدث باسم سلاح الجو يوري إهنات: “نعم”، كما نقلت Arab News. وحمّل مركز الاتصالات الاستراتيجية الأوكراني روسيا المسؤولية، فيما حذر مركز مكافحة التضليل من أن معلومات التطبيق عن مستويات الخطر “لا تطابق الواقع”.

والأخطر أن الأثر لم يبق على الشاشات. فقد نقلت BBC عن جهة أمنية أوكرانية رسمية أن إشارة “خطر إشعاعي” بُثت، بسبب التطبيق، عبر مكبرات صوت في منطقة لفيف غرب البلاد. وحذرت حاكمة منطقة فينيتسيا ناتاليا زابولوتنا من الضغط على الرابط الوارد في الرسالة، ما يرجح أن الإنذارات استُخدمت أيضاً لنشر رابط مشبوه.

في المقابل، قالت هيئة الطوارئ الحكومية إن منظومة الإنذار الوطنية تعمل طبيعياً، وإن إشارات الخطر تنتقل إلى الإدارات الإقليمية ومنها إلى صفارات الشوارع، بحسب وكالة UNN. وأكدت إدارة مدينة كييف أن تطبيقها المحلي “كييف الرقمية” وصفارات الشوارع لم تتأثر، ودعت السكان إلى الاعتماد عليهما، كما نقلت UNN.

الأرقام

• 4 إنذارات كاذبة في نحو دقيقتين: من 22:47 إلى 22:49 بتوقيت كييف.
• لغتان ونبرتان: ثلاث رسائل بالأوكرانية بصيغة الإنذار الرسمي، ورسالة رابعة بالروسية بنبرة ساخرة لا تشبه أي إنذار حقيقي.
• مارس 2022: أطلقت وزارة التحول الرقمي التطبيق بعد أيام من بدء الحرب، وطورته شركتا Ajax Systems وStfalcon على عجل، وقد نزّله ملايين المستخدمين، بحسب بعثة الاتحاد الأوروبي الاستشارية في أوكرانيا.
• 12 ديسمبر 2023: سابقة مختلفة، حين عطل هجوم سيبراني على مشغل الاتصالات “كييفستار” منظومة الإنذار في بلدات من منطقة كييف، بحسب Ukrinform.

شرح مبسط: كيف يصل الإنذار إلى هاتفك؟

تطبيق الإنذار لا “يسمع” الصواريخ. هناك جهة مخولة تقرر إعلان الخطر، ثم يُكتب الإنذار في نظام خلفي (Backend)، ومنه يُرسل عبر خدمة “الإشعارات الفورية” (Push Notifications) التي تديرها أنظمة الهواتف، فيصل إلى ملايين الأجهزة في ثوان. وفي بعض المواقع، كما يبدو في لفيف، ترتبط أجهزة أخرى، مثل مكبرات الصوت، بالمصدر نفسه.

لذلك فإن المهاجم لا يحتاج إلى اختراق ملايين الهواتف. يكفيه الوصول إلى نقطة واحدة في السلسلة: لوحة إدارة الإنذارات، أو مفاتيح حساب خدمة الإشعارات، أو حساب أحد العاملين. ولم تعلن السلطات حتى الآن أي نقطة استُخدمت، فلا يصح الجزم بها.

لكن شكل الرسائل يقول شيئاً مهماً. فوجود رسالة حرة النص بالروسية، بلغة ساخرة، يعني أن النظام سمح بإرسال نص لا يطابق أي قالب إنذار رسمي. وهذا بالضبط ما يجب ألا يسمح به نظام إنذار.

رأي: نظام الإنذار يُصمَّم ليُصدَّق، ولهذا يجب أن يكون أصعب نظام في التلاعب به

معظم الأنظمة تُصمم لتكون سريعة وسهلة. أما نظام الإنذار العام فله خاصية فريدة: قيمته كلها في أن الناس يتصرفون بناء عليه فوراً ودون تحقق. الأوكرانيون اعتادوا أن يكون أمامهم دقائق للنزول إلى الملاجئ عند الهجوم بالصواريخ الباليستية. رسالة “خطر إشعاعي” على هذه القناة ليست مزحة؛ إنها قد تدفع الناس إلى الشوارع أو تمنعهم من الخروج حين يجب عليهم الخروج.

والضرر الأكبر لا يقع ليلة الاختراق، بل بعدها. فكل إنذار كاذب يعلّم المستخدم أن يتردد عند الإنذار التالي. وفي حرب حقيقية، الثقة في الإنذار جزء من منظومة الدفاع الجوي نفسها.

والنقطة المضيئة أن تصميم أوكرانيا لم يعتمد على قناة واحدة. صفارات الشوارع وتطبيق كييف المحلي وقنوات تيليغرام الرسمية ظلت تعمل، وصدرت التكذيبات خلال دقائق. هذا هو المعنى العملي لـ”تعدد القنوات”: حين تسقط قناة، تصحح القنوات الأخرى الخطأ.

وهذا الدرس يخص المنطقة العربية مباشرة. فعدد من دولنا يعتمد على إنذارات الهواتف في حالات الطوارئ، والمنطقة تعيش توتراً عسكرياً متصاعداً حول مضيق هرمز. السؤال الذي يجب أن يطرحه كل مشغل: من يستطيع اليوم أن يرسل إنذاراً إلى كل هاتف في البلد، وكم شخصاً يجب أن يوافق قبل ذلك؟

دروس عملية للمهندس

1. القوالب لا النص الحر: الإنذار العام يجب أن يُختار من قائمة رسائل معتمدة مسبقاً. رسالة بنص حر، أو بلغة غير رسمية، يجب أن يرفضها النظام تلقائياً.
2. موافقة شخصين للإنذارات الثقيلة: إنذارات مثل الإشعاعي والكيميائي نادرة جداً، ولذلك يجب أن تحتاج موافقة ثانية مستقلة، حتى لو أضاف ذلك ثواني.
3. توقيع الرسائل رقمياً: التطبيق يجب أن يتحقق بنفسه من أن الإنذار موقّع بمفتاح الجهة الرسمية، فلا يكفي أنه وصل عبر خدمة الإشعارات.
4. كشف السلوك الشاذ: أربعة أنواع خطر مختلفة في دقيقتين نمط غير معتاد، ونظام مراقبة بسيط كان يمكن أن يوقف الإرسال بعد الرسالة الأولى.
5. لا روابط في الإنذارات: الإنذار الرسمي لا يحتاج رابطاً. أي رابط فيه علامة خطر للمستخدم والمشغل معاً.
6. خطة تكذيب جاهزة: نص التكذيب، والقنوات البديلة، ومن يملك صلاحية إيقاف النظام، كلها تُكتب وتُجرّب قبل الحادث.

المصادر

• BBC، “Ukraine air raid app apparently hacked as users receive false radiation threat, Air Force says” (1 نوفمبر 2026)
• Arab News (عن وكالة الصحافة الفرنسية)، “Ukraine air raid alert system suffers ‘hostile interference’: air force” (1 نوفمبر 2026)
• UNN، “The State Emergency Service confirmed that the alert systems were functioning properly…” (2 نوفمبر 2026 بتوقيت كييف)
• UNN، “Kyiv authorities refuted the radiation threat…” (1 نوفمبر 2026)
• EUAM Ukraine، “The Ministry of Digital Transformation launches an app to alert citizens of air raids” (2022)
• Ukrinform، “Air raid alert system disabled after cyberattack on Kyivstar telecom operator” (ديسمبر 2023)