فعالیت تهدید سایبری ایران به سطح بحرانی رسیده است و CISA هشدارهای فوری در مورد آسیبپذیری بخشهای آب و انرژی ایالات متحده صادر کرده است. اطلاعات اخیر نشان میدهد که تهدید سایبری ایران اکنون از دسترسیهای شبکه موجود برای بهرهبرداری از کنترلکنندههای منطقی برنامهپذیر صنعتی استفاده میکند، که این توسعه نشاندهنده تشدید عمدهای در تهدید سایبری جهانی ایران است.
درک تهدید سایبری کنونی ایران به زیرساختها
آژانس امنیت سایبری و امنیت زیرساختهای ایالات متحده (CISA) و سایر آژانسهای ایالات متحده به تازگی یک اطلاعیه مشاوره سایبری منتشر کردهاند که در آن به تهدید سایبری ناشی از هکرهای ایرانی نسبت به زیرساختهای حیاتی ایالات متحده هشدار داده شده است. این سوالات حیاتی به بررسی تهدید کلی سایبری که ایران نسبت به زیرساختهای حیاتی ایالات متحده در رابطه با این درگیری و وضعیت آسیبپذیر امنیت سایبری ایالات متحده مطرح میکند، میپردازد.
سوال ۱: آخرین وضعیت جنگ ایران از منظر سایبری چیست؟
A1: به تازگی، CISA و سایر نهادهای ایالات متحده یک اطلاعیه مشاورهای منتشر کردند که به تهدیدی که بازیگران وابسته به ایران برای زیرساختهای حیاتی ایالات متحده ایجاد میکنند، هشدار میدهد—بسیاری از این بازیگران بهعنوان مرتبط با سپاه پاسداران انقلاب اسلامی شناخته میشوند.
CISA هشدار داد که حوادث سایبری که از آسیبپذیریهای موجود در کنترلکنندههای منطقی برنامهپذیر (PLCها)—نوعی کامپیوتر که تجهیزات یا ماشینآلات صنعتی را کنترل و نظارت میکند—سوءاستفاده کردهاند، باعث اختلال در تعداد نامشخصی از سازمانهای ایالات متحده در چندین بخش زیرساخت حیاتی (از جمله دولت محلی، آب و انرژی) شده و به سیستمها دسترسی غیرمجاز پیدا کرده و دادههای نمایش داده شده بر روی مانیتورها را دستکاری کردهاند. اگرچه تعداد قربانیان تأیید نشده است، اما در این اطلاعیه آمده است که این حوادث منجر به اختلال عملیاتی و خسارت مالی شده است.
بازیگران تصور میشود که پشت این حوادث هستند، گروه “CyberAv3ngers” است که خود را بهعنوان یک گروه “هکتویست” معرفی میکند، اما در واقع بهعنوان یک تهدید پیشرفته و پایدار مرتبط با فرماندهی سایبری الکترونیکی سپاه پاسداران انقلاب اسلامی شناخته میشود.
این گروه سابقهای در بزرگنمایی حملات و تأثیرات آنها دارد تا نفاق ایجاد کند که هدف اصلی آنهاست. در این مورد، خود حوادث سایبری به احتمال زیاد بهویژه پیچیده نبوده و از آسیبپذیریهای پایهای موجود در اهداف سوءاستفاده کردهاند. در پاسخ، CISA از این بخشها خواسته است تا تدابیر امنیتی مختلفی را برای کاهش خطر نفوذ بیشتر به کار ببرند، در غیاب هرگونه بهروزرسانی نرمافزاری موجود برای رفع آسیبپذیریهای اساسی که بازیگران توانستهاند از آنها سوءاستفاده کنند.
این حوادث جدیدترین مورد در یک سری فعالیتهای سایبری ایرانی در طول این درگیری هستند. پوشش رسانهای تمایل دارد به سمت فعالیتهای سایبری که بیشترین اختلال یا پروفایل بالا را دارند، مانند حمله سایبری به شرکت تأمین تجهیزات پزشکی ایالات متحده، هک ایمیلهای مدیر FBI، یا نقض دادههای لاکهید مارتین که بهعنوان مرتبط با هکتویستهای ایرانی شناخته میشود، متمایل شود. در واقع، فعالیتهای سایبری ایران در طول این درگیری بسیار گستردهتر از صرفاً اختلال بوده و میتوان آنها را به چهار نوع تقسیمبندی کرد:
اختلال فرصتطلبانه، توسط دولت ایران یا بازیگران مرتبط با دولت، بر روی اهداف ایالات متحده و منطقه جاسوسی سایبری برای ارزیابی خسارتهای جنگی یا برای اطلاعرسانی به فعالیتهای کینتیک، مانند هک دوربینهای امنیتی در اسرائیل، جمعآوری اطلاعات برای هدفگذاری کینتیک، یا استفاده از بدافزار علیه شهروندان اسرائیلی که بهعنوان یک برنامه مکانیابی پناهگاه بمب جا زده شده است پیشپوزیشنینگ، یا ایجاد دسترسی یا پایگاههایی به شبکهها یا سازمانهای قربانی جدید برای استفاده در زمان بعدی عملیات اطلاعاتی سایبری، از جمله هک تابلوهای دیجیتال در ایستگاههای راهآهن اسرائیل، که بهمنظور ایجاد ترس در میان جمعیتهای محلی طراحی شده است
تحلیل تهدید سایبری ایران به بخشهای آب و انرژی
سؤال ۲: این موضوع چه معنایی برای زیرساختهای حیاتی ایالات متحده دارد؟
پاسخ ۲: زیرساختهای حیاتی هدفی بهویژه جذاب برای عملیات سایبری در طول یک درگیری هستند: این زیرساختها میتوانند وسیلهای نامتقارن برای پاسخ به یک دشمن فراهم کنند. هدف قرار دادن زیرساختهای حیاتی راهی برای ایجاد ترس و بیاعتمادی در میان جمعیتهای محلی وابسته به آن زیرساختها است و همانطور که ایرانیها به خوبی میدانند، این کار ارزش نمادین بالایی دارد زیرا توانایی نفوذ به یک کشور و مختل کردن برخی از مهمترین سیستمهای آن را نشان میدهد.
حملات تفصیلی در مشاوره CISA بهویژه بر بخشهای آب و انرژی تأثیر گذاشت، به دلیل وجود PLCها در شبکههای آنها. ایران تاریخ طولانی در هدف قرار دادن این بخشها و هک کردن فناوریهای عملیاتی در زیرساختهای ایالات متحده و کشورهای دیگر دارد.
این تاریخ به سال ۲۰۱۳ برمیگردد، زمانی که هکرهای ایرانی به سیستمهای یک سد کوچک در خارج از شهر نیویورک دسترسی پیدا کردند (هرچند با تأثیر عملی حداقلی) و همچنین به سیستمها و دادههای شرکت Calpine، یکی از بزرگترین تولیدکنندگان برق کالیفرنیا، دسترسی یافتند. روشهای مطرحشده در مشاوره CISA شباهتهایی به حملات سایبری مرتبط با ایران علیه تأسیسات آب ایالات متحده در نوامبر ۲۰۲۳ دارد که هدف آن یک PLC تولیدشده توسط یک شرکت اسرائیلی به نام Unitronics بود، جایی که هکرها تجهیزات را بهصورت دیجیتالی تخریب کردند و صفحهنمایشها را به نمایش پیام «شما هک شدهاید، مرگ بر اسرائیل» تنظیم کردند.
با این حال، تهدید علیه زیرساختهای حیاتی ایالات متحده فراتر از ایران است. دولت ایالات متحده در تلاش است تا بازیگران سایبری چینی مداوم، مانند Salt Typhoon، را از شبکههای مخابراتی ایالات متحده بیرون کند، با وجود اینکه این بازیگران از حداقل سالهای ۲۰۲۱–۲۰۲۲ در این شبکهها حضور داشتهاند و همان بازیگران همچنین شبکههای گارد ملی ایالات متحده را نیز به خطر انداختهاند.
در بخش عمومی، FBI بهتازگی یک «حادثه بزرگ» را پس از کشف فعالیتهای مخرب در یک سیستم داخلی مرتبط با عملیاتهای نظارتی اعلام کرد. زیرساختهای حیاتی ایالات متحده نیز از سوی مجرمان سایبری در امان نیستند؛ تأسیسات آب در سراسر ایالات متحده مدتهاست که هدف حملات باجافزاری قرار گرفتهاند، در حالی که بخش بهداشت و درمان بهعنوان هدفترین بخش توسط باجافزار در یک گزارش FBI در سال ۲۰۲۵ نامگذاری شده است. بنابراین، خطر این است که در حالی که ایالات متحده به دنبال کمپین خود علیه ایران است، این کار را با حیاط پشتی کاملاً باز برای بازیگران سایبری توانمند و مخرب انجام میدهد.
A3: زیرساختهای حیاتی ایالات متحده برای دههها در وضعیت آسیبپذیری باقی مانده و در تأمین امنیت شبکهها و داراییهای کلیدی در بخشهای مختلف با مشکل مواجه است. اکثریت قریب به اتفاق زیرساختهای حیاتی ایالات متحده در مالکیت خصوصی است. این زیرساختها شامل سیستمهای بسیار پیچیده و تکهتکه در مقیاس بزرگ است—عاملی که به دلیل تعداد زیاد اپراتورهای زیرساخت حیاتی در سطوح ایالتی و محلی در ایالات متحده پیچیدهتر میشود.
آگاهی از تهدیدات و ریسکهای سایبری در بخشهای مختلف زیرساختهای حیاتی به شدت متفاوت است و این موضوع با واقعیت محدود بودن منابع (چه تأمین مالی، چه نیروی کار ماهر یا تخصص) از سوی دولت فدرال تشدید میشود. و در بسیاری از موارد، این سیستمها به فناوریهای قدیمی وابسته هستند که بدون در نظر گرفتن امنیت طراحی شدهاند، یا هنوز از فناوری اطلاعات قدیمی (سختافزار یا نرمافزاری که دیگر توسط سازندهاش پشتیبانی نمیشود) استفاده میکنند که پر از آسیبپذیریهای فنی شناختهشده و بهراحتی قابل بهرهبرداری است.
این عوامل به طور کلی منجر به عدم اجرای تدابیر پایهای امنیت سایبری در زیرساختهای حیاتی ایالات متحده شده است، جایی که حملات سایبری با سطح پایین برای عبور از دفاعهای سایبری ضعیف کافی است. این درجه از آسیبپذیری ذاتی در مواجهه با مدلهای پیشرفته هوش مصنوعی مانند Mythos احتمالاً بدتر خواهد شد، اگر این فناوریها به دست دولتهای مخرب یا مجرمان سایبری بیفتند.
دولت ترامپ به این درجه از آسیبپذیری ذاتی اذعان دارد؛ استراتژی ملی سایبری که به تازگی منتشر شده، تأمین امنیت زیرساختهای حیاتی را به عنوان یکی از شش اولویت برای تقویت دفاع سایبری معرفی میکند. با این حال، اولویتها و لفاظیهای آن با واقعیت همخوانی ندارد.
در دوره دوم دولت ترامپ، ایالات متحده با خلاهای رهبری مواجه شده است؛ کاهش بودجه برای آژانسهای کلیدی (از جمله CISA و دفتر مدیر اطلاعات ملی، یا ODNI) و عملکردهای داخلی آنها که اطلاعات را با بخش خصوصی به اشتراک میگذارند یا ترکیب میکنند؛ کاهش بودجه برای مراکز اشتراکگذاری اطلاعات، ایالتها و مقامات محلی، و نقصهای قانونی حیاتی برای اشتراکگذاری اطلاعات؛ و کاهش پیشبینیشده بودجه فدرال برای امنیت سایبری در آخرین پیشنهاد بودجه، با انتظار کاهش 707 میلیون دلاری دیگر برای CISA.
و اگرچه ارزیابی تهدید سالانه 2026 ODNI تأیید میکند که بازیگران سایبری دولتی و مجرمانه “به تهدیدات حیاتی برای شبکهها و زیرساختهای حیاتی ایالات متحده ادامه خواهند داد”، در شرایط جاری تعطیلی وزارت امنیت میهن، مدیر موقت CISA حتی اعلام کرده است که CISA نمیتواند فعالیتهای ارتباطی و آمادگی لازم برای مقابله با تهدیدات سایبری را انجام دهد. در مواجهه با دشمنان توانمند و سیستمهای بسیار آسیبپذیر، چشمانداز نهادی ناامیدکننده است.
نیات استراتژیک پشت تهدید سایبری ایران
Q4: این حملات چه چیزی درباره قابلیتها و نیتهای ایران به ما میگویند؟
A4: پنج مشاهده مهم وجود دارد که میتوانیم از عملیات سایبری ایران در این درگیری تا کنون و از مشاوره CISA برداشت کنیم:
این فعالیت نشاندهنده افزایش مورد انتظار—هرچند جزئی—عملیات سایبری ایران علیه ایالات متحده است. این امر شواهد مهمی را فراهم میکند که ایران در حال آغاز تسلیح دسترسی موجود خود به شبکههای قربانی در سراسر ایالات متحده است، که در این مورد به ژانویه ۲۰۲۵ برمیگردد. و احتمالاً ایران در این زمینه بیشتر عمل خواهد کرد تا به اهداف آینده خود حمله کند.
عملکنندگان سایبری ایران در منطقه راحتی خود فعالیت میکنند. فعالیت شناسایی شده در مشاوره CISA با سابقه ایران در هدف قرار دادن تأسیسات آب و انرژی در ایالات متحده مطابقت دارد، که معمولاً از روشهای کمپیچیدگی استفاده میکند که آسیبپذیریهای اساسی در سیستمهای متصل به اینترنت را مورد بهرهبرداری قرار میدهد.
جایی که عملکنندگان سایبری ایرانی فعال هستند، در دامنهای از عملیات سایبری پخش شدهاند که اهداف استراتژیک وسیعتری را در این درگیری برای ایران دنبال میکند و فراتر از صرف اختلال است، از جمله جاسوسی، دسترسی و عملیات اطلاعاتی. ایران بهطور قابل توجهی تحت تأثیر چندین عامل قرار دارد، از جمله کاهش قابلیتهای سایبری به دلیل قطع اینترنت و از دست دادن اتصال؛ از دست دادن شخصیتهای رهبری سایبری به دلیل حملات هوایی ادعایی اسرائیل؛ و قابلیتهای کینتیک که سریعتر و با تأثیر بیشتری از عملیات سایبری تهاجمی عمل میکنند.
ایران تا کنون در فعالیتهای سایبری خود در این درگیری نسبت به دورههای صلح، و حتی رقابتهای معمول با اسرائیل و ایالات متحده، بهطور قابل توجهی ثابت بوده است. این بدان معناست که احتمالاً بازیگران دولتی یا نیابتی ایرانی به هدف قرار دادن زیرساختهای حیاتی ایالات متحده ادامه خواهند داد در حالی که درگیری ادامه دارد.
Q5: این واقعاً چه معنایی در ارتباط با درگیری وسیعتر دارد و چه کسی در جنگ سایبری پیروز است؟
A5: هیچیک از کشورها در “جنگ سایبری” پیروز نیستند و به هر حال، عبارات مانند جنگ سایبری در تحریف نقشی که قابلیتهای سایبری در جنگهای معاصر ایفا میکنند، مفید نیستند. درست همانطور که در درگیری جاری روسیه و اوکراین، سایبر به حوزه یا میدان اصلی در یک درگیری تبدیل نمیشود زیرا عملیات سایبری بهطور فوقالعادهای دشوار است که بتوانند در جنگ قاطعیت ایجاد کنند.
بلکه، ارزش آنها بیشتر در جاسوسی سایبری و برای اهداف دفاعی در طول یک درگیری نهفته است، بهویژه با توجه به اینکه چنین قابلیتهای تنظیمشدهای برای آمادهسازی زمان زیادی میبرد.
در عوض، استفاده ایران از عملیات سایبری اختلالزا، جاسوسی و عملیات اطلاعاتی سایبری همه به دنبالکردن اهداف استراتژیک وسیعتر ایران خدمت میکند: برای نمایش قدرت در برابر رقبای منطقهای و جهانی خود؛ برای حمایت و اطلاعرسانی از فعالیتهای نظامی خود؛ و برای حمایت از تلاشهای اجبار اقتصادی خود در تنگه هرمز. قابلیتهای سایبری برای ایران در نهایت به یک تسهیلکننده برای نمایش قدرت تبدیل شده است، به آن یک روش نامتقارن برای فراتر رفتن از توانایی خود میدهد، در حالی که فشار بر کشورهایی که در این درگیری شرکت دارند را افزایش میدهد.
Q6: ایالات متحده و متحدان باید در آینده چه انتظاری داشته باشند؟
A6: همانطور که نویسنده در جاهای دیگر نوشته است، این نوع حملات، با وجود ماهیت مختلکنندهشان، به سطح استانداردی از “سر و صدا” در کل درگیری تبدیل میشوند؛ هرچند که آنها به قربانیان آسیبهای محلی وارد میکنند، اما بعید است که مسیر کلی درگیری را تغییر دهند.
این به این معنا نیست که دولتها، کسبوکارها و حتی شهروندان میتوانند از هوشیاری خود غافل شوند—در واقع، کاملاً برعکس. در هفتهها و ماههای آینده، احتمالاً دولتها و سازمانها در ایالات متحده، اسرائیل و کشورهای خاورمیانه هدف بازیگران سایبری خواهند بود که برای ایران کار میکنند یا با آن همراستا هستند. وارد کردن آسیب جانبی به کسبوکارها و سازمانها در کشورهای دیگر بهطور جدی هدف ایران است، بهعنوان راهی برای افزایش فشار بر رهبرانشان.
همچنین ضروری است که سیاستگذاران و تحلیلگران فراتر از درگیری فوری نگاه کنند. انگیزه ایران برای انجام فعالیتهای سایبری علیه ایالات متحده پیش از وقوع این کمپین بهطور قابل توجهی بالا بود؛ اکنون، ایران تمایل بیشتری برای انتقامگیری خواهد داشت.
و نکات استراتژیک مهمی در افق ایالات متحده به چشم میخورد: جام جهانی در ژوئن و انتخابات میاندورهای در نوامبر. با توجه به ماهیت پرچمدار هر دو رویداد—و سابقه ایران در نفوذ به زیرساختهای ایالات متحده پیش از لحظات استراتژیک یا در زمان تنشهای ژئوپولیتیکی—این رویدادها به احتمال زیاد بهعنوان اولویتهای استراتژیک برای منابع سایبری ایران، از جمله جمعآوری اطلاعات و احتمالاً فعالیتهای سایبری مختلکننده، در نظر گرفته خواهند شد.
این لحظات استراتژیک پیشرو، ضرورت این موضوع را بیشتر میکند که دولتها، کسبوکارها و سایر سازمانها در سرتاسر جهان اطمینان حاصل کنند که اقدامات و رویههای امنیت سایبری پایهای را در اختیار دارند، همچنین رویههای قوی تداوم کسبوکار برای بازیابی سریع.
انجام این کار سطح حمله را برای هدفگیری فرصتطلبانه توسط بازیگران تهدید سایبری ایرانی کاهش میدهد و توانایی ایران (و نمایندگانش) را برای نمایش قدرت از طریق قربانیان آمریکایی کاهش میدهد—بهویژه اگر بازیگران تهدید بیشتری در ماههای آینده دوباره آنلاین شوند. بهطور مهم، این همچنین کار را برای سایر کشورها و مجرمان سایبری که به دنبال بهرهبرداری از همان سازمانها برای منافع خود هستند، دشوارتر میکند.