"إيكاد" ترصد صفحات فيسبوك تستهدف تجنيد العرب في 3 دول لصالح إسرائيل
"ماذا يمكنك أن تقدم لدولة إسرائيل؟".. ظهر هذا السؤال في نموذج قاد إليه إعلان ترويجي ممول ظهر لبعض مستخدمي وسائل التواصل الاجتماعي في الوطن العربي. الإعلان بثته صفحة تحمل اسم "أصدقاء إسرائيل"، تُصنّف نفسها على "فيسبوك" بأنها وكالة توظيف.
وصل الإعلان لأحد أعضاء فريق "إيكاد"، وهو ما أثار التساؤل حول طبيعة الصفحة التي تبث الإعلان، والجهة التي تقف خلفه. وبالبحث الأوّلي، وجدنا صفحتين تحملان اسمين متشابهين؛ وهما "أصدقاء إسرائيل في مصر"، و"أصدقاء إسرائيل في ليبيا"، وهو ما شكّل رابطًا مبدئيًا بين الصفحات الثلاث، دفعنا للشروع في تحقيق موسع حولها.
إعلان يقود إلى إسرائيل
بمراجعة أوّلية للصفحات وبيانات الشفافية على "فيسبوك"، تبيّن أنها جميعًا تُدار من إسرائيل. وأن الصفحتين الأوليين -"أصدقاء إسرائيل" و"أصدقاء إسرائيل في مصر"- مصنفتان كـ "وكالات توظيف"، وكلتاهما أُنشئتا في يومين متتاليين؛ الأولى في 4 مارس/ آذار، والأخرى في 5 مارس/ آذار 2026. بينما سبقتهما الثالثة بأكثر من عام، وبالتحديد في 14 يناير/ كانون الثاني 2025. وقد تشير هذه المؤشرات إلى احتمال أن الصفحات الثلاث -لا سيما الأولى والثانية- تدار من الجهة نفسها.
تتبع نشاط صفحة "أصدقاء إسرائيل"
بتتبع نشاط الصفحة الأولى (أصدقاء إسرائيل)، رصدنا نشرها إعلانات ممولة تستهدف المستخدمين العرب في تركيا. ومن بين الحملة الإعلانية صورة لشاب يرتدي كوفية فلسطينية، وفي خلفيته مدينة اسطنبول، مرفقة بعبارات تحفيزية عن "امتلاك روح القيادة" و"ترك بصمة حقيقية"، ومعها دعوة للمتابعين إلى التسجيل عبر رابط مرفق.
تتبع الفريق الرابط، وهو ما قادنا إلى نموذج على "Google Forms" مكتوب باللغة العربية. وعند تسجيل الدخول، ظهر شعار يمزج بين علم الاحتلال الإسرائيلي ورمز الأسد، مضافًا إليه عبارة عبرية "שאגת הארי"، وتعني بالعربية: "زئير الأسد". وحمل النموذج عنوانًا بالعربية: "يدًا بيد، أنت تساعدنا ونحن نساعدك"، مطالبًا المستخدم بتسجيل بياناته الصحيحة للتواصل معه في أقرب وقت.
كما يطلب النموذج من المستخدمين تعبئة حقول إلزامية تتضمن: الاسم الرباعي، ورقم الهاتف، ورقم الهوية، والعنوان الحالي، وتاريخ الميلاد، وصورة الهوية أو جواز السفر، إلى جانب معلومات عن وجود أقارب للمستخدم في غزة أو الضفة الغربية، وأقارب آخرين خارج الدولة التي يعيش فيها. وفي نهاية النموذج، طُرح سؤالان أكثر دلالة على التورط الأمني والاستخباراتي مع الاحتلال وهما: "بماذا يمكننا مساعدتك؟"، والأخطر: "ماذا يمكنك أن تقدم لدولة إسرائيل؟".
وحسب محللي فريق "إيكاد"، لا تعد البيانات التي يجمعها النموذج معلومات تسويقية عادية أو استبيان رأي طبيعي، بل إن لكلِّ من هذه الأسئلة الإلزامية هدف تستفيد منه الأجهزة الاستخباراتية في التعرف الدقيق على هوية المستجيب ومكان وإقامته وشبكة علاقاته العائلية وكيفية الوصول إليه. كما تكشف البيانات المطلوبة عن احتياجات الشخص المتواصِل المالية أو الشخصية أو القانونية، وهو ما يساعد في تحديد نقاط الضعف والقوة لدى العميل المحتمل. فيما يختبر السؤال الأخير مهاراته لمعرفة كيفية توظيفه، مع قياس درجة استعداده لتقديم خدمات إلى الاحتلال.
نموذج حساس وتحذيرات أمنية
بعد ذلك، فحص الفريق التقني لدى "إيكاد" الرابط المضمن في الإعلان عبر منصة "VirusTotal"، التي تختبر الروابط باستخدام 95 محرك حماية. وأظهر الفحص أن المحركين الأمنيين (Chong Lua Dao، وGridinsoft) صنفاه كرابط تصيد إلكتروني خبيث.
كذلك كشف تقرير الفحص عن علامات تحذيرية خطيرة داخل الرابط، مثل طلب كلمة مرور "password-input"، وهو أمر لا يوجد بالعادة في نماذج "Google Form" العادية. حيث يقود رابط الإعلان إلى صفحة "login page" خاصة بـ "Google"، وهي الخطوة التي يُعتقد أنها تحوي عملية لسرقة بيانات الحساب، ما يعني أن النموذج قد يكون مصمّمًا لسرقة كلمات مرور المستخدمين.
كما يشير التحليل إلى وجود تحويلات متعددة (multiple-redirects)؛ فعند النقر على الرابط، لا يتوجه المستخدم مباشرة إلى النموذج، بل يمر عبر عدة صفحات وسيطة، وهو أسلوب معروف في التصيّد يهدف إلى إخفاء الوجهة الحقيقية للرابط.
هذا بالإضافة إلى وجود موارد خارجية وملفات تتبع (external-resources/ third-party-cookies)؛ حيث يحمّل النموذج محتوى من مواقع خارجية لا علاقة لها بـ "Google"، ما يشير إلى أنه يتتبع المستخدمين أو يحقن محتوى خبيثًا إضافيًا.
ومن بين العلامات التحذيرية الأخرى التي كشفها الفحص التقني هو وجود "إطارات مضمنة" (iframes)، ما يعني أن النموذج قد يُخفي بداخله صفحات خارجية مُدمجة يمكن أن تعرض محتوى احتياليًا دون أن يلاحظ المستخدم.
وهنا قد يتساءل البعض: لماذا انخفضت نسبة كشف المحركات (2 من أصل 95 محركًا) للرابط؟ وتكمن الإجابة في أن أغلب محركات الحماية لا تُصنف روابط "Google" خبيثة، وذلك لأن النطاق نفسه شرعي، حتى لو كان محتواه احتيالًا. ولعل ذلك قد يفسر اختيار المهاجمين نموذج "Google Forms" على وجه التحديد. فضلًا عن أن اسم "Google" الموثوق لدى المستخدم، فلا يثير شكّه. كما أن فلاتر الحماية على "فيسبوك" لا تحظر روابط "Google" تلقائيًا، وهو ما سمح بتمرير الإعلانات الممولة دون رفضها.
صفحة "أصدقاء إسرائيل في مصر"
وعقب الفحص التقني لنموذج إعلاني من الصفحة الأولى، كرر الفريق العملية مع نموذج آخر نشرته الصفحة الثانية (أصدقاء إسرائيل في مصر) بعد 3 أيام فقط من إنشائها. إذ نشرت صورة مولدة بالذكاء الاصطناعي تظهر تعاونًا عسكريًا مصريًا إسرائيليًا، مرفقة بحديث عن "العدو المشترك" و"درع الأمن الميداني". وحقق المنشور 696 تفاعلًا ونحو ألف تعليق و24 مشاركة.
وعند فحص الرابط المرتبط بإعلان الصفحة، وجدنا أن المحركين نفسيهما "Chong Lua Dao" و"Gridinsoft" أصدرا التحذير ذاته، بأن روابط الصفحة خبيثة. وعند الفحص الأول للنموذج، وجد الفريق أن حالته "Status 200"، أي أنه نشط يعمل بشكل كامل. وبعد ذلك، تحولت الحالة إلى "Status 403"، ما يعني أنه حُظر من قبل "Google".
صفحة "أصدقاء إسرائيل في ليبيا"
لم تكن نتائج الفحص التقني للصفحة الثالثة (أصدقاء إسرائيل في ليبيا) مختلفة كثيرًا عن الصفحتين السابقتين. لكن الاختلاف الأبرز -وقد يكون الأخطر في ذات الوقت- أن هذه الصفحة تتجاوز المدنيين، وتتوجه بالخطاب إلى أصحاب الخبرة الأمنية والعسكرية.
فعلى سبيل المثال، نشرت الصفحة، في أغسطس/ آب 2025، صورة مولدة بالذكاء الاصطناعي لمقاتل مسلح في الصحراء، وأرفقتها بعبارة: "لديك خبرة عسكرية وصفات القائد؟ تواصل معنا"، مع توجيه الراغبين إلى التواصل مباشرة عبر تطبيق "Messenger".
الخلاصة
رصدت "إيكاد" ثلاث صفحات تحمل نمطًا اسميًا متقاربًا، وهو "أصدقاء إسرائيل"، وتُدار من داخل إسرائيل، وتستخدم إعلانات أو منشورات ممولة موجهة إلى العرب في تركيا ومصر وليبيا، بهدف تجنيدهم لصالح إسرائيل، ما يعطي احتمالًا بأنها تدار بشكل منسق من قبل جهة واحدة.
وتأتي هذه الحملات في سياقٍ أوسع رصدت فيه "إيكاد" تحركاتٍ استخباراتية إسرائيلية مكثفة. ففي تحقيق سابق، كشف الفريق استهداف الموساد لمواطنين إيرانيين ولبنانيين، بهدف تجنيدهم. كما يتسق هذا النمط مع واقعة أخرى تتبعتها "إيكاد"، في يونيو/ حزيران 2023، حين حاولت حسابات إسرائيلية التخفي خلف واجهاتٍ تجارية واستثمارية، من خلال شركات استثمار رقمية مسجلة قانونيًا في الإمارات.
وبذلك، فإن الشبكة المتمثلة في صفحات "أصدقاء إسرائيل" ليست إلا حلقة جديدة ضمن استراتيجيةٍ استخباراتية متطورة، تعتمد على التمويه الرقمي واستغلال المنصات الموثوقة للتغلغل داخل المجتمعات العربية وجمع بياناتها الحساسة تحت غطاء التوظيف أو المساعدة.