قصة Hacker وقع بسبب Git وOSINT قاتل

شخص اخترق شركات… جامعات… جهات حكومية… وباع بيانات آلاف الناس.
استخدم VPNs و Dark Web Forums و Session وعاش دور الـ Ghost Hacker كامل 😶‍🌫️
لكن فى الآخر؟ كل اللى بناه وقع بسبب: Git Commit قديم
و Password كان رقم موبايله الحقيقي!
القصة دى تعتبر واحد من أقوى دروس OSINT و Threat Intelligence و OPSEC Failure اللى ممكن تشوفها فى 2026.

بداية ظهور اسم Quellostanco فى عالم الهجمات الإلكترونية​

فى بداية 2026 بدأ اسم معين يظهر بقوة: Quellostanco
شخص مرتبط بمجموعة اسمها: INT3X
والجروب بدأ يعلن عن اختراقات متتالية ضد جهات مصرية مختلفة.

الكلام كان عن:

• شركات كبيرة
• جامعات
• جهات حكومية
• Payment Gateways
• عمليات Defacement
• بيع Databases وتسريبات ضخمة

الاسم بدأ ينتشر على Cybercrime Forums بشكل واضح.
بيع بيانات… نشر Leaks… استعراض اختراقات… وثقة كاملة كأنه شخص مستحيل حد يوصله 😎

---

تسريبات EgyptAir والضجة الكبيرة ✈️​

فى فبراير ظهر إعلان عن بيع Database مرتبطة بـ EgyptAir.
الكلام كان عن أكتر من: 104 ألف Record
من أنظمة:

• HR Systems
• Recruitment Platforms

والبيانات شملت:

• بيانات موظفين
• CVs
• Phone Numbers
• Internal Documents
• Credentials

بعدها بفترة حصل إعلان عن Defacement لشركة Egyptalum مع Signature باسم INT3X.
وبعدها مشاركة فى عمليات مرتبطة بهيئة الطرق والكبارى وسحب بيانات من Contract Systems.
لكن الضربة الأضخم كانت لسه جاية…

---

اختراق الجامعات المصرية وملفات ضخمة جدًا 🎯​

واحدة من أكتر الأحداث اللى خدت ضجة كانت الكلام عن بيانات تخص جامعة المنصورة.
الإدعاءات كانت بتتكلم عن: 10GB Internal Data
وحوالي: 989 ألف Student Record

البيانات المزعوم وجودها تضمنت:

• صور طلاب
• Research Material
• Internal Documents
• بيانات ممتدة من 2012 لـ 2026

بعدها ظهر كلام عن اختراق Payment Gateway مرتبطة بعشرات الجامعات المصرية مع ادعاء استخدام Zero Day Vulnerability.

فى اللحظة دى ناس كتير بدأت تعتبر المجموعة: Advanced Threat Actors ناس فاهمة OPSEC صح.
ناس محدش يقدر يوصلها.
لكن الحقيقة كانت مختلفة تمامًا 👀

---

البداية كانت Username واحد بس!​

أحيانًا أقوى تحقيقات الأمن السيبرانى بتبدأ من أبسط حاجة ممكن تتخيلها.
الخطوة الأولى كانت: Username Correlation
السؤال كان بسيط: هل نفس الـ Username مستخدم فى أماكن تانية؟
هل فيه Variations؟
هل الشخص بيكرر نفس الـ Alias على Platforms مختلفة؟
وبالفعل… بدأت تظهر آثار رقمية صغيرة.

---

Dark Web Forums نفسها ساعدت فى كشفه 🌑​

الباحثين لقوا نفس الاسم موجود فى:

• Dark Web Forums
• Platforms مختلفة
• بيانات متسربة من اختراقات قديمة

والغريب؟
حتى منتديات المجرمين نفسها بتتقـرصن أحيانًا 😅
ولما ده بيحصل…
بيانات المستخدمين بتتسرب زى أى منصة عادية.

أغلب الـ IPs كانت جاية من:

• VPN Services
• Anonymous Infrastructure

لكن وسط البيانات ظهر شيء مهم: Egyptian IP Addresses
وهنا بدأت أول خيوط الحقيقة.

---

أول غلطة قاتلة: تغيير بسيط فى Username 😬​

فى واحدة من عمليات الـ Defacement حصل تفصيلة صغيرة جدًا.
الاسم اتكتب بالشكل ده: Quello$tanco
مجرد استبدال حرف S بعلامة Dollar.
تفصيلة شكلها عادية… لكنها كانت بداية الانهيار.
ليه؟
لأن نفس الـ Variation ظهر على:

• HackerOne Account
• Bugcrowd Account

بنفس الأسلوب.
نفس الصورة.
نفس طريقة الكتابة.
نفس الـ Bio edgy المعتادة 😶

---

Reddit كشف Digital Footprint ضخم 👀​

من الربط بين الحسابات وصلوا لـ Reddit Account.
وهنا بدأت المعلومات تتفتح واحدة واحدة.

الـ History كان مليان تفاصيل شخصية:

• كلام عن Vulnerability اكتشفها
• رأيه فى Cyber Security Scene
• هجوم على فكرة Fame بدون Skills
• تحديات و Puzzles للمجتمع

لكن الأخطر؟
إن الحساب كان بيستخدمه فى: Recruitment لأعضاء INT3X
يعنى الشخص كان بيجمع أعضاء الفريق من نفس الحساب اللى سايب عليه آثار رقمية ضخمة.

---

GitHub… النقطة اللى قلبت التحقيق كله 💀​

بعدها دخل التحقيق على أخطر مرحلة. GitHub Analysis
بدأوا يجربوا Variations مختلفة من الـ Username:

• underscores
• dots
• hyphens

لحد ما وصلوا لحساب قريب جدًا من الاسم الأصلي.
وهنا بدأ السقوط الحقيقي.

بعد مراجعة Git Commits لقوا: Commit قديم من 2023
وجواه Metadata حقيقية.

الـ Git بيخزن تلقائيًا معلومات زى:

git config --list

وبيحتفظ ببيانات مهمة منها:

Username
Email
Timestamp

غلطة واحدة بس فى إعدادات Git… ممكن توقع سنين من الـ OPSEC.
والأسوأ؟
Repository تانية كانت فيها بيانات تعريف حقيقية جوه ملفات المشروع نفسها.

---

Metadata Analysis قدرت تكشف الهوية 🧠​

بعد الحصول على:

• Email
• اسم حقيقي

بدأت مرحلة: Breach Dataset Correlation
الـ Email ظهر فى بيانات متسربة مرتبطة بـ Infostealer Logs.
والمفاجأة كانت صادمة…

الـ Password المستخدم كان: رقم موبايله الحقيقي
بل وأجزاء من الرقم ظهرت متوافقة مع حسابات تانية مرتبطة بنفس الـ Alias.
وده مثال قوى جدًا على: Independent Verification Paths
يعنى أكتر من طريق مختلف بيوصل لنفس النتيجة.

---

OSINT على رقم الموبايل فتح أبواب جديدة 📱​

بعد تحليل الـ Logs ظهرت بيانات إضافية.
عنوان.
رقم هاتف.
ارتباطات مختلفة.
ولما اتعمل OSINT على الرقم…
بدأت تظهر أسماء محفوظ بيها الرقم عبر خدمات Caller ID Aggregation.
وده بيحصل لأن منصات كتير بتعتمد على: Contact Aggregation
يعنى لو ناس كتير حفظت رقمك بنفس الاسم…
اسمك يبدأ يبقى قابل للبحث.

---

من Upwork لـ LinkedIn… كل حاجة بدأت تتوصل ببعضها 🔗​

بعدها ظهر: Upwork Profile بنفس الـ Email.
مكتوب فيه:

• Linux System Administrator
• Security Specialist

وفجأة اهتمامات Linux القديمة على Reddit بدأت تبقى منطقية جدًا.
بعدها وصلوا لـ LinkedIn Profile.
وهنا كانت الضربة النهائية.

الملف احتوى على:

• صورته
• بياناته
• معلوماته المهنية

والأهم؟
آخر Post كان فيه نفس GitHub Repository اللى كانت سبب كشف الهوية من البداية 😶
يعنى الشخص بنفسه عمل Confirmation للربط بين: GitHub ⬅️ الهوية الحقيقية.

---

أكبر خطأ بشرى: كشف كل حاجة بنفسه 🎭​

القصة موقفتش هنا.
تم التواصل معاه على أساس إنهم Clients عاديين. وخلال الكلام…
بدأ بنفسه يشارك معلومات.
Session ID.
Discord Access.
معلومات عن الفريق.
بل وحتى تعريفه لنفسه كـ: Founder لـ INT3X
وفى لحظة Screen Share…

كشف:

• Discord Servers
• Channels
• Users
• Infrastructure كاملة

كل ده بدون: ❌ Malware ❌ Spyware ❌ Zero-Day Exploits

فقط باستخدام:

✅ OSINT
✅ Metadata Analysis
✅ Correlation
✅ Human Errors​

---

أهم درس فى Cyber Security: الإنسان هو أضعف نقطة ضعف ⚠️​

ناس كتير فاكرة إن Anonymity معناها:

• VPN
• Tor
• Session IDs
• Encrypted Chats

لكن الحقيقة مختلفة.
طول ما أنت Consistent… أنت بتسيب أجزاء منك فى كل مكان.
طريقة كلامك.
الـ Username.
الكتابة.
الـ Bios.
الـ Git Commits.
الـ Passwords.
الـ Timing.
الـ Contacts.
كلها Artifacts صغيرة جدًا…
لكن لما تتحط جنب بعض؟ بتتحول لهوية كاملة.

وده واحد من أهم دروس:

• OSINT
• Threat Intelligence
• Digital Attribution
• OPSEC Failure Analysis

فى عالم الأمن السيبرانى. لأن ببساطة…
Technical Skills بدون OPSEC = Exposure مؤجل. 🔥