از تاریخ ۲۶ ژوئیه، نفوذهای سایبری همزمان به سیستمهای آب در حداقل شش ایالت ایالات متحده حمله کرده است که این امر موجب شده است تا آژانس امنیت سایبری و امنیت زیرساختها، هشدار خود را افزایش دهد و از اپراتورها بخواهد که فناوریهای عمومی را از اینترنت حذف کنند. عدم نسبتگذاری رسمی، سوال استراتژیک مرکزی را مبهم نکرده است: آیا عملیات سایبری ایران اکنون نمایانگر تشدید در درگیری وسیعتر است یا ادامه الگوهای تثبیتشده. از فوریه ۲۰۲۶، بازیگران ایرانی از تخریبهای پراکنده و اختلالهای فرصتطلبانه به سمت هماهنگی بیشتر با اهداف جنگ ملی حرکت کردهاند و با استفاده از جاسوسی، دسترسی فنی و جنگ اطلاعاتی، هزینههایی را بر ایالات متحده و اسرائیل تحمیل کردهاند. سرعت عملیاتی افزایش یافته است، اما منطق زیرین همچنان متناسب و نه بدون کنترل باقی مانده است.
دکترین ایران بر فشار نامتقارن بدون تحریک جنگ غیرقابل کنترل تأکید دارد و آسیب فیزیکی به زیرساختهای مخابراتی همچنان محدودیتهایی را تحمیل میکند. در این زمینه، عملیات سایبری ایران اکنون به عنوان ابزاری انعطافپذیر در دیپلماسی دولتی عمل میکند: آنها از دادههای موقعیت برای هدفگیری موشکها و پهپادها حمایت میکنند، اعتماد به دشمنان را کاهش میدهند و در میان جمعیتهای غیرنظامی اصطکاک ایجاد میکنند. بنابراین، حملات به بخش آب نیاز به تفسیر دقیق دارند. این حملات جدی هستند زیرا بر ایمنی عمومی تأثیر میگذارند، اما همچنین با سابقه طولانی هدفگیری زیرساختها که به بیش از یک دهه برمیگردد، همخوانی دارند. ارزیابی تهدید کنونی نیاز به تفکیک نویز عملیاتی از تغییرات پایدار در نیت، قابلیت و احتیاط استراتژیک دارد.
حملات به بخش آب فوریت را افزایش میدهد
در هفتهای که از ۲۶ ژوئیه گذشته، حملات سایبری همزمان بر تأسیسات آب در حداقل شش ایالت ایالات متحده تأثیر گذاشته است. این حملات که نشاندهنده دامنه و جدیت خطرات وارده به بخش آب است، موجب شد تا آژانس امنیت سایبری و امنیت زیرساختها، هشدار خود را که چند روز قبل منتشر کرده بود، بهروزرسانی کند و از اپراتورها بخواهد که هر چه سریعتر فناوریهای عملیاتی یا عمومی را از اینترنت جدا کنند. اگرچه این حملات هنوز به کسی نسبت داده نشدهاند، نشانهها به سمت بازیگران سایبری ایرانی به عنوان مظنون احتمالی اشاره دارد. این یک لحظه مفید برای ارزیابی این است که ایران چگونه از قابلیتهای سایبری خود در درگیریاش با ایالات متحده و اسرائیل استفاده کرده است و آیا این امر به معنای تشدید است.
تحلیل درگیری فرضیات اولیه را تصحیح میکند
این تحلیل بهروزرسانیشدهای از چگونگی تکامل استفاده ایران از عملیات و قابلیتهای سایبری از زمان آغاز درگیری در فوریه ۲۰۲۶ ارائه میدهد و به بررسی دیدگاه اولیه نویسنده میپردازد. تا کنون، فرضیات اولیه برقرار بوده است: عملکردهای سایبری ایران فعال هستند، اما تحت تأثیر و احتمالاً محدودیتهای مختلف محیطی و دکترین قرار دارند. با این حال، در ۴ تا ۶ ماه گذشته، افزایش قابل توجهی در عملیات سایبری ایران مشاهده شده است؛ دستگاه سایبری ایران بهطور قاطع به حمایت و همراستایی با تلاشهای جنگی ایران علیه ایالات متحده، اسرائیل و رقبای منطقهای خود تغییر جهت داده و از عملیات سایبری برای شکلدهی به محیط عملیاتی بهنحوی که به نفع منافع خود باشد، استفاده میکند.
عملیات سایبری ایران استراتژی وسیعتری را هدایت میکند
روندهای کلیدی استراتژیک در استفاده ایران از قابلیتهای سایبری
از زمان آغاز درگیری، ایران تغییر وسیعتری در استراتژی نظامی خود ایجاد کرده است که بر اساس روشهای نامتقارن برای ناکامسازی دشمنان جهانی و منطقهای خود متمرکز است. این شامل بهرهبرداری از آسیبپذیریهای نیروهای متعارف ایالات متحده و اسرائیل، قطع دسترسی به تنگه هرمز برای تحمیل هزینه به بازارهای انرژی جهانی و رقبای منطقهای، و یک کمپین جنگ اطلاعاتی هماهنگ برای شکلدهی به روایتهای جهانی درباره درگیری است. در هر یک از این روشها، بهویژه اهداف جنگ اطلاعاتی ایران، قابلیتهای سایبری یک تسهیلکننده حیاتی هستند و نقش مهمی در کاهش تواناییهای دشمنان ایران ایفا کردهاند و همچنین امکان نمایش قدرت در سطح جهانی را فراهم کردهاند.
این موضوع در افزایش قابل توجهی در عملیات سایبری ایران از مارس ۲۰۲۶ منعکس شده است. این شامل دامنه وسیعی از فعالیتها است، از جمله (۱) جاسوسی سایبری، (۲) ایجاد دسترسیهای فنی، (۳) عملیات سایبری مخرب، (۴) عملیات اطلاعاتی سایبری، (۵) استقرار بدافزار، و (۶) جرایم سایبری مرتبط با درگیری. سه روند استراتژیک از این فعالیتهای افزایشیافته مشخص شده است:
جاسوسی اطلاعاتی حملات موشکی و پهپادی را هدایت میکند
۱- دستگاه سایبری ایران بهطور مستقیم به حمایت از تلاشهای جنگی خود تغییر جهت داده است
در مراحل اولیه این درگیری، فعالیتهای سایبری ایران عمدتاً بهعنوان “اختلال فرصتطلبانه” قابل درک بود، بهطوریکه اپراتورهای ایرانی از دسترسیهای فنی موجود که قبلاً جمعآوری کرده بودند، برای انجام عملیات سایبری سریع و غیر پیچیده علیه اهداف با دفاع سایبری ضعیف استفاده میکردند، یا حملات هکتیویستی (مانند تخریب وبسایتها یا حملات هک و نشت اطلاعات) با تأثیر استراتژیک اندک انجام میدادند. این فعالیت با برخی از جاسوسیهای سایبری و عملیات اطلاعاتی سایبری همراه بود.
این فعالیت از آن زمان به رویکردی هماهنگتر تبدیل شده است که بازتابدهنده یک دستگاه سایبری بازتنظیمشده است و در هماهنگی استراتژیک واضحتر و مستقیمتری با اهداف جنگی ایران عمل میکند. هیچجا این موضوع بهتر از اولویتبندی عملیات جاسوسی سایبری برای حمایت از تلاشهای جنگی ایران منعکس نمیشود. در ژوئیه ۲۰۲۶، مشخص شد که ایران به SS7 (یک پروتکل فنی برای مسیریابی دادهها از طریق شبکههای مخابراتی) نفوذ کرده است تا موقعیت نیروهای آمریکایی مستقر در خاورمیانه را شناسایی کند، که بهطور مستقیم به حملات کینتیک علیه آنها که منجر به جراحت شد، اطلاعرسانی کرد.
ایران همچنین مقامات ارشد با ارزش بالای آمریکایی و اسرائیلی را هدف قرار داده است با احتمال اینکه قصد دارد تصمیمگیریهای استراتژیک را درک کند، بهویژه در مورد مذاکرات دیپلماتیک با ایالات متحده برای پایان دادن به درگیری. ایران دوربینهای امنیتی را در کشورهای مختلف هک کرده است، هم برای اطلاعرسانی به هدفگذاری کینتیک توسط پهپادها یا موشکها و هم برای ارزیابی خسارت پس از حمله. گزارشها همچنین به گسترش جاسوسی سایبری ایران علیه بخشهای هوانوردی، فضایی، تولید دفاعی، مخابرات و فضا و ماهوارهها اشاره دارد که همگی به پایگاه صنعتی دفاعی مرتبط با این درگیری مربوط میشوند.
آیا جنگ اطلاعاتی میتواند میدان نبرد را تغییر دهد؟
۲- ایران از قابلیتهای سایبری تهاجمی برای شکلدهی فعال به محیط عملیاتی استفاده میکند
همانطور که ایالات متحده و اسرائیل بهطور گزارششدهای از قابلیتهای سایبری تهاجمی برای کاهش زیرساختهای ایران در مراحل اولیه این درگیری استفاده کردند، ایران نیز از قابلیتهای سایبری برای شکلدهی به محیط عملیاتی به نفع خود استفاده کرده است. بازیگران سایبری ایرانی بهطور فزایندهای حملات سایبری را بهمنظور جنگ اطلاعاتی انجام میدهند؛ ایران میدان نبرد کلیدی را در حوزه اطلاعات میداند و از منظر دکترین، به جنگ اطلاعاتی بهعنوان یک اهرم کلیدی برای دستیابی به عمق استراتژیک با پیشبرد قدرت فراتر از مرزهای خود تکیه میکند.
عملیات اطلاعاتی سایبری ایران را میتوان از دو جنبه بررسی کرد: وسعت و عمق اهداف. از نظر وسعت، بازیگران سایبری ایرانی عملیاتهای مختلفی را در ایالات متحده انجام دادهاند (به عنوان مثال، هدف قرار دادن سیستمهای دولتی محلی در شهرستان سنت جوزف، ایندیانا،
در آوریل، نفوذ به دستگاههای اندازهگیری سوخت در پمپ بنزینها در ماه مه، هک تأسیسات آب در کالیفرنیا در ژوئن، و احتمالاً انجام حمله کنونی علیه تأسیسات آب ایالات متحده)، در حالی که گروههای هکتیویست حامی ایران به طور مداوم به سازمانها در سراسر خاورمیانه حمله کردهاند. از نظر عمق، بازیگران سایبری ایرانی و هکتیویستها به طور مداوم به حملات سایبری علیه مقامات کنونی و سابق ایالات متحده و اسرائیل—به ویژه حملات هک و نشت—هدف قرار دادهاند، از جمله علیه نخستوزیر سابق نفتالی بنت و رئیس ستاد ارتش سابق اسرائیل هرزل هلیوی، و انتشار ادعایی دادههای شخصی تفنگداران دریایی ایالات متحده مستقر در خلیج و پرسنل نظامی و اطلاعاتی اسرائیل.
شایان ذکر است که وجود هکتیویستها خود مهم است و نشاندهنده یک مؤلفه اصلی دیگر از اکوسیستم سایبری ایران است که به طور مستقیم با تلاشهای جنگی هماهنگ میشود.
اگرچه این عملیاتها در نگاه اول به عنوان عملیاتهای سایبری مخرب به نظر میرسند، درک این حملات از منظر جنگ اطلاعاتی بسیار مهم است: اول، این حملات به اهداف ایران در زمینه قدرتنمایی به مخاطبان مختلف جهانی کمک میکند، بهویژه با نشان دادن توانایی برای نفوذ مستقیم به نخبگان حاکم اسرائیل و ارتش ایالات متحده، و تضعیف شهرت آنها در زمینه شایستگی و امنیت.
دوم، با ایجاد یک لایه مداوم از اصطکاک که توسط شهروندان عادی و کسبوکارها احساس میشود، ایران حس ترس، تفرقه و هرج و مرج را ایجاد میکند. به عبارت دیگر، تأثیر ثانویه اطلاعاتی این حملات سایبری کلیدی است—این امکان را برای ایران فراهم میکند که از فاصله هزینهای را بر روی رقبای خود تحمیل کند و محیط اطلاعاتی مطلوبتری را برای ایران شکل دهد، بهویژه جایی که منجر به کاهش حمایت از درگیری در میان مخاطبان آنلاین جهانی میشود.
هوش مصنوعی (AI) ابزاری حیاتی برای ایران در شکلدهی به محیط بوده است. گزارشهای اخیر اطلاعات تهدید نشان دادهاند که ایران از هوش مصنوعی در تمام چرخه عمر عملیات سایبری و اطلاعاتی خود استفاده کرده است، از جمله شناسایی اولیه اهداف (به عنوان مثال، بازیگران مرتبط با سپاه پاسداران انقلاب اسلامی که در سال 2024 از ChatGPT برای درک اجزای فناوری تحت تأثیر حملات فعلی به تأسیسات آب ایالات متحده استفاده کردهاند)، نوشتن کد و توسعه بدافزار، عملیات مهندسی اجتماعی و تولید و دستکاری محتوا. استفاده از هوش مصنوعی به طور بنیادی شیوه عمل ایران را در زمینه قابلیتهای سایبری تقویت کرده است، با افزایش سرعت، مقیاس، دامنه و تأثیر آنها، نه با تغییر “منطق استراتژیک” که ایران در یک درگیری عمل میکند.
چرا عملیات سایبری ایران همچنان محدود باقی مانده است
3-ایران هنوز به طور نسبی به شیوهای محدود عمل میکند
مقیاس حملات سایبری علیه تأسیسات آب ایالات متحده قطعاً نگرانکننده است. اگر بازیگر پشت این حملات در واقع ایران باشد (که هنوز تأیید نشده است)، این حملات پتانسیل تشدید را دارند؛ آنها سیستمهای حیاتی در خاک ایالات متحده را غیرفعال کردند و تهدیدی برای ایمنی عمومی ایالات متحده محسوب میشوند. با این حال، ضروری است که این حملات را در چارچوب یک الگوی بلندمدتتر از نحوه عمل ایران علیه دشمنانش قرار دهیم. ایران سابقه هدف قرار دادن چندین بخش از زیرساختهای حیاتی ایالات متحده با عملیاتهای مختلکننده دارد—به ویژه در بخش آب (که به سال 2013 برمیگردد)—هم در زمان صلح و هم اکنون، در زمان درگیری. همانطور که در بالا توضیح داده شد، این اولین باری نیست که ایران زیرساختهای ایالات متحده را در این درگیری هدف قرار میدهد.
در واقع، در تمام طیف عملیات سایبری ایران تا کنون در این درگیری، ایران به طور مؤثری بر اساس همان الگو که در درگیری 12 روزه با اسرائیل در سال 2025 استفاده کرده است، عمل میکند: پایگاه هدف آن مشابه است (یعنی، پایگاه صنعتی دفاعی، زیرساختهای اسرائیلی، بخش ماهواره و فضا، و افراد با ارزش بالا)، استفاده از بازیگران دولتی و هکتیویستها یکسان است، و تاکتیکهای آنها به طرز قابل توجهی مشابه است، از جمله جاسوسی سایبری، هک دوربینها، حملات با پیچیدگی پایین، و عملیات اطلاعاتی.
این روشها بهطور مشترک نشاندهنده استفاده ایران از عملیات سایبری برای شکلدهی و تقویت محیط عملیاتی گستردهتر به نفع خود و اطلاعرسانی به عملیاتهای بعدی، چه برای اثرات حرکتی و چه شناختی است. یکی از ویژگیهای مهم دکترین نظامی ایران “تشدید متناسب” است—حرکتهایی که درگیری را گسترش یا تشدید میکنند، اما به جنگ تمامعیار نمیرسند. اگر حملات سایبری به تأسیسات آب ایالات متحده واقعاً به ایران نسبت داده شود، باید بهعنوان “هدفگیری فرصتطلبانه” در نظر گرفته شوند که هزینههایی را بر adversaries خود تحمیل میکند، اما به اوج تشدیدی که سایر انواع حملات (از جمله حملات حرکتی) داشتهاند، نمیرسند.
علاوه بر این، ایران ممکن است همچنان تحت محدودیتهای عملیاتی باشد. گزارشهایی در مارس 2026 نشان داد که اسرائیل و ایالات متحده در اوایل کمپین خود، به ستاد جنگ سایبری و اطلاعاتی سپاه پاسداران انقلاب اسلامی حمله کردهاند و ایران همچنین اینترنت داخلی خود را قطع کرده است که توانایی آن برای انجام عملیات سایبری را مختل کرده است.
اما مشخص نیست که چه مقدار از ظرفیت سایبری ایران بازسازی شده است. افزایش فعالیتهای سایبری توصیفشده در این تحلیل نشان میدهد که بیشتر از آنچه قبلاً تصور میشد، تجهیزات سایبری ایران آنلاین هستند—شاید به دلیل “اینترنت دو لایه” ایران که ساختاری موازی برای دسترسی نخبگان و دولت به اینترنت ایجاد کرده است تا حتی در حالی که اتصالات داخلی قطع شده، آنلاین بمانند، و همچنین نشانههایی که نشان میدهد ایران از اتصال ماهوارهای برای از سرگیری عملیات خود استفاده میکند.
با این حال، حملات هوایی ایالات متحده از زمان آغاز درگیری، زیرساختهای مخابراتی ایران را هدف قرار داده است، از جمله یک حمله در ژوئیه که 100 دکل مخابراتی را از کار انداخت و خدمات اینترنتی در جنوب ایران را مختل کرد. اختلالات در زیرساخت دیجیتال ایران بدون شک محدودیت قابل توجهی بر توانایی ایران برای فعالیت در فضای سایبری خواهد بود.
نتیجهگیری
هنوز خیلی زود است که بهطور کامل درک کنیم چگونه تغییرات سازمانی در نیروهای نظامی ایران (از یک نیروی نظامی متعارف به یک وب غیرمتمرکز از فرماندهیهای عملیاتی) به تجهیزات سایبری آن منتقل میشود. با این حال، وابستگی آن به جنگ نامتقارن واضح است، همچنین جایی که قابلیتهای سایبری مزیتهای مهمی ایجاد میکنند.
ایران به این نتیجه رسیده است که تسلط خود بر تنگه هرمز، اهرم اصلی آن است. قابلیتهای سایبری نقش حیاتی (هرچند ثانویه) و تسهیلکنندهای ایفا میکنند: آنها به اطلاعرسانی، تصحیح و تقویت فعالیتهای کینتیک و اقتصادی ایران کمک میکنند، در حالی که بهطور پیشدستانه شرایطی را که ایران ترجیح میدهد در آن عمل کند، شکل میدهند و به ایران مزیت استراتژیک مهمی میدهند.
اگر حملات سایبری به بخش آب ایالات متحده تأیید شود که از ایران بودهاند، باید نسبت به قابلیتهای وسیعتر ایران ارزیابی شوند—بهعنوان یک اهرم نامتقارن دیگر از دیپلماسی که ایران میتواند برای تضعیف ایالات متحده به کار گیرد—اما همچنان اهرمی محدود، نسبت به استفاده از پهپادها، موشکها یا اهرم اقتصادی. دکترین ایران، زیرساختهای فیزیکی آسیبدیده و الگوهای تاریخی هدفگیری، محدودیتهای مهمی بر نحوه تصمیمگیری آن برای بهکارگیری عملیات سایبری هستند و برای مدتی ادامه خواهند داشت.
عملیات سایبری ایران احتمالاً در حال آمادهسازی دسترسیهای فنی جدید و احتمالاً قابلیتهای سایبری جدید برای بهرهبرداری هستند، در صورتی که درگیری در بلندمدت ادامه یابد یا مذاکرات به بنبست برسد. نقطه استراتژیک کلیدی در افق برای ایالات متحده، انتخابات میاندورهای است، با توجه به اینکه ایران سابقه هدفگیری انتخابات و کمپینهای ایالات متحده را دارد.
این موضوع نیاز به تابآوری سایبری در زیرساختهای ایالات متحده را حیاتی میسازد. یکی از نقاط موفقیت در حملات به تأسیسات آب ایالات متحده این بود که مقامات به سرعت به فرآیندهای دستی و ذخایر بازگشتند و از تأثیر بر تأمین آب عمومی جلوگیری کردند. هوشیاری مداوم حیاتی خواهد بود: همانطور که گروه هکتیویستی ایرانی هنداله در آوریل ۲۰۲۶ بیان کرد، “جنگ سایبری با درگیری نظامی آغاز نشد و با هیچ آتشبس نظامی نیز پایان نخواهد یافت.”