كيف أُجريت هذه الدراسة

ما الذي فحصناه

قائمتان: ٢٢٠ من أشهر الجهات الخيرية في المملكة المتحدة، و ٢٣٦ من الأكبر دخلًا. وفُحصت جميع الجهات الـ ٢٢٠ وجميع الجهات الـ ٢٣٦.

وتضم قائمة الدخل أيضًا هيئات تعليم عالٍ هي جمعيات خيرية أو جمعيات خيرية معفاة — نحو ٣٥ جامعة ومدرسة مستقلة ومعهد بحثي، أي قرابة ١٥% من تلك المجموعة. ولذلك أهمية عند المقارنة بين الاثنتين: فباستبعاد التعليم كليًا، يبلغ تعرّض الموظفين ٤٠% مقابل ٣٠%، فيضيق الفارق لكنه يبقى.

ما لم نفعله

التقييم خارجي وغير تدخلي. ويستخدم معلومات يمكن رصدها أصلًا من الإنترنت العام والسجلات العامة. لم يُسجَّل الدخول إلى أي شيء، ولم تُجرَّب أي كلمة مرور، ولم يُستكشف أي نظام بما يتجاوز ما يستطيع زائر الويب العادي وفحص خارجي غير تدخلي رؤيته.

ما لا يُثبته التقييم

كيف تُقرأ الدرجات

في عملية ٢١ أغسطس ٢٠٢٦ لم تُعرض الصفحة الرئيسية لأداة الفحص لدينا لدى ٦٧ جهة في مجموعة الأشهر و٧٠ في مجموعة الدخل — أي نحو ثلاث من كل عشر في كل منهما. ويبدو ذلك في حالات كثيرة دفاعًا ضد الروبوتات يرفض طلبًا آليًا، وهو بحد ذاته ضابط أمني. لا تُسجَّل أي نتيجة للجانب الذي تعذّرت قراءته، لكن الجهة لا تحصل فيه على أي نقاط أيضًا.

حول أرقام بيانات الدخول

تنقسم بيانات الدخول إلى ثلاث مجموعات منفصلة: عناوين موظفي الجهة على نطاقها الخاص، وعناوين الجهة نفسها المسجّل بها الدخول إلى خدمات خارجية، وحسابات الداعمين أو مستخدمي الخدمات. ولا تتداخل الثلاث — إذ يساوي مجموعها بالضبط إجمالي المزوّد في كل واحدة من عمليات فحص الجمعيات الخيرية الـ ٤٤٠ التي جرى التحقق منها. حسابات الداعمين مستبعدة كليًا من الرقم الرئيسي، لأنها تصف إلى حد كبير إصابات ببرمجيات خبيثة على أجهزة أفراد من العامة لا أمن الجمعية الخيرية، ولا يستطيع أحد في الجمعية إعادة تعيينها.

كثيرًا ما تُسمّى المجموعة الثانية تعرّض «المورّدين». وهذا مضلِّل، ولم نعد نستخدم الكلمة: فهذه عناوين البريد الإلكتروني الخاصة بالجمعية الخيرية المسجّل بها الدخول إلى منصة جهة أخرى. وحيث يسمّي المزوّد الخدمات، فهي أدوات هوية وتعاون — تسجيل الدخول إلى Microsoft وSalesforce وZoom وDropbox وMimecast. الحسابات موجودة على أنظمة شركات أخرى؛ أما الهويات فهي للجمعية الخيرية.

لا تُستخدم الأعداد الخام لبيانات الدخول رقمًا رئيسيًا عن قصد: فمعظم بيانات دخول أصحاب الحسابات تتعلق بأفراد من العامة، والجهات الأكبر تخلق بطبيعتها فرصًا أكثر لتعرّض الموظفين.

حيث تورد الدراسة ثغرات برمجية معروفة، فهي مستنتجة من أرقام الإصدارات المنشورة لا مؤكدة بالاختبار. وقد يكون رقم الإصدار خاطئًا، وقد يُطبَّق تصحيح دون أن يتغيّر الرقم. إنها دعوة إلى التحقق، لا نتيجة تُثبت وجود ثغرة.

أين تختلف هذه الأرقام عن ملف PDF

أُعيد استخراج أرقام بيانات الدخول في صفحة الدراسة في ١ سبتمبر ٢٠٢٦ مباشرةً من أعداد المزوّد نفسه، لجميع عمليات فحص الجمعيات الخيرية الـ ٤٤٠. وتُعرض المجموعتان بشكل منفصل، كما في التقرير؛ ولا تُجمعان معًا أبدًا.

يورد ملف PDF نسبتي ٤٤% و٥٦% للصف الرئيسي. والفارق سببه قاعدة الحداثة: فقد استخدمت آلية المعالجة فيه تاريخ الموظفين لاستبعاد السجل كله بسبب قِدمه، بما في ذلك جزء الخدمات الخارجية الذي لا يحمل تاريخًا خاصًا به. أما قراءة المجموعات مباشرةً، دون استنتاج تاريخ لم يقدّمه المزوّد قط، فتُنتج الأرقام الأعلى أعلاه. وكل صف آخر يتفق مع التقرير في حدود جهة واحدة.

صف واحد في التقرير يستحق القراءة بعناية. «صفحات تسجيل الدخول الداخلية المسجّلة بالفعل» ليس مقياسًا مستقلًا — فهو الجهات نفسها تمامًا في صف تعرّض الموظفين، ٦٥ من أصل ٦٥ و٩٩ من أصل ٩٩. إذ يعيد المزوّد الصفحات الملتقطة تحديدًا حين يحتفظ ببيانات دخول موظفين، لذا يحمل الصفّان أعدادًا متطابقة. وهذا يجعل الاقتران شاملًا لا جزئيًا، وهو قول أقوى مما يوحي به عرض التقرير.

مقارنة ذلك بالمسح الحكومي

تضع الدراسة نتائجها إلى جانب Cyber Security Breaches Survey 2025/26. ويجيب كل منهما عن سؤال مختلف ولا ينبغي المساواة بينهما: فالأرقام الحكومية حوادث تُبلغ عنها الجهات ذاتيًا بعد أن رصدتها وتذكّرتها، أما هذه الأرقام فوضع مرصود من الخارج. ولا يغني أي منهما عن الآخر.

النطاق والوضع

لم يُتحقَّق بشكل مستقل من وضع تسجيل أي جمعية خيرية. ولم يُتواصل مع أي جهة وارد اسمها في الفحص الأساسي لمنحها حق الرد. وهذه الدراسة ليست استشارة قانونية، وليست حكمًا على أمن أي جهة — بل هي وصف لما كان ظاهرًا من الخارج في يوم واحد.