از آغاز جنگ جمهوری اسلامی با آمریکا و اسرائیل در فوریه ۲۰۲۶، فعالیت بازیگران سایبری وابسته به تهران افزایش یافته و بیش از گذشته با اهداف نظامی و اطلاعاتی حکومت هماهنگ شده است. دامنه این عملیات از جاسوسی و ایجاد دسترسی اولیه در شبکه اهداف تا اخلال در زیرساخت‌های عملیاتی و اجرای کارزارهای اطلاعاتی برای اثرگذاری بر افکار عمومی گسترش یافته است.

مرکز مطالعات راهبردی و بین‌المللی ایالات متحده (CSIS)، اندیشکده‌ای مستقل و غیرحزبی مستقر در واشینگتن که در زمینه سیاست خارجی، امنیت ملی و فناوری پژوهش می‌کند، در تحلیلی تازه نشان می‌دهد که تهران چگونه از ظرفیت‌های سایبری خود به‌عنوان بخشی از راهبرد جنگی‌اش استفاده می‌کند؛ ظرفیتی که هم برای پشتیبانی از عملیات جاری به کار می‌رود و هم می‌تواند زمینه حملات مخرب‌تر در مراحل بعدی درگیری را فراهم کند.

پشتیبانی سایبری از عملیات نظامی

فعالیت‌های مشاهده‌شده از مارس ۲۰۲۶ در شش حوزه دسته‌بندی می‌شوند: جاسوسی سایبری، ایجاد دسترسی فنی، عملیات اخلال‌گر، عملیات اطلاعاتی مبتنی بر نفوذ، استقرار جاسوس‌افزار و جرایم سایبری با مضامین جنگ.

یکی از نمونه‌ها، تلاش برای ردیابی تلفن نیروها و پیمانکاران آمریکایی است. داده‌های بررسی‌شده از ارسال هماهنگ درخواست‌های SS7 برای تعیین موقعیت تلفن‌های مشخص در حالت رومینگ حکایت دارند. کارشناسان احتمال داده‌اند بازیگران وابسته به جمهوری اسلامی از این داده‌ها و اطلاعات تجاری صنعت تبلیغات برای شناسایی محل نیروها استفاده کرده باشند. هنوز اثبات نشده است که این ردیابی مستقیماً حمله مشخصی را هدایت کرده باشد.

هم‌زمان، Check Point از افزایش تلاش زیرساخت‌های منتسب به بازیگران ایرانی برای بهره‌برداری از دوربین‌های هایک‌ویژن و داهوآ در اسرائیل، کشورهای خلیج فارس، لبنان و قبرس خبر داده است. این دوربین‌ها می‌توانند برای اصلاح هدف یا ارزیابی خسارت استفاده شوند، اما داده‌ها عمدتاً تلاش برای بهره‌برداری را نشان می‌دهند، نه تصرف موفق همه اهداف.

حمله به زیرساخت آب آمریکا

موج حملات سایبری علیه تأسیسات آب و فاضلاب آمریکا از روزهای ۲۶ و ۲۷ ژوئیه آغاز شد. CSIS با استناد به گزارشی قدیمی‌تر دامنه حملات را دست‌کم شش ایالت نوشته است؛ اما تا ۴ و ۵ اوت، رسانه‌های آمریکایی به نقل از چند منبع از گزارش رخداد در دست‌کم ۱۲ ایالت خبر می‌دادند. بیش از ۳۰ سامانه در مینه‌سوتا و ۹ سامانه در میشیگان درگیر شدند.

مهاجمان کنترل‌گرهای منطقی برنامه‌پذیر یا PLCهای متصل به اینترنت را هدف گرفتند و در برخی موارد با تغییر گذرواژه یا نشانی IP، اپراتورها را از کنترل از راه دور محروم کردند. پیامدها شامل توقف موقت تجهیزات، افت فشار، آب‌گرفتگی، هشدار احتیاطی جوشاندن آب و انتقال عملیات به حالت دستی بود. آلودگی آب آشامیدنی یا آسیب گسترده به سلامت عمومی گزارش نشد.

مرکز مطالعات راهبردی از اپراتورها خواست PLCها و دیگر تجهیزات عملیاتی را مستقیماً در معرض اینترنت قرار ندهند، گذرواژه‌های پیش‌فرض را تغییر دهند و دسترسی از راه دور را به VPN یا دروازه امن محدود کنند. مقام‌های آمریکایی جمهوری اسلامی را مظنون اصلی معرفی کرده‌اند، اما FBI و دیگر نهادهای فدرال هنوز انتساب رسمی این موج حملات را اعلام نکرده‌اند.

هوش مصنوعی؛ افزایش سرعت، نه تغییر راهبرد

گزارش‌ها نشان می‌دهند CyberAv3ngers در سال ۲۰۲۴ از ChatGPT برای تحقیق درباره PLCها استفاده کرده و گوگل نیز استفاده بیش از ۱۰ تهدید سایبری مورد حمایت جمهوری اسلامی از Gemini را ثبت کرده است. این ابزارها در شناسایی هدف، تحقیق درباره آسیب‌پذیری، کدنویسی، ترجمه و ساخت سناریوهای فیشینگ به کار رفته‌اند. بااین‌حال، مدرکی وجود ندارد که استفاده از هوش مصنوعی را مستقیماً به حملات ژوئیه علیه تأسیسات آب متصل کند.

جمع‌بندی مرکز مطالعات راهبردی این است که توان سایبری جمهوری اسلامی در مقایسه با موشک، پهپاد و فشار اقتصادی نقشی ثانویه اما پشتیبان دارد. این عملیات می‌تواند برای حملات دیگر اطلاعات فراهم کند، اختلال محدود ایجاد کند و با نمایش دسترسی به زیرساخت‌های حساس، فضای اطلاعاتی را تغییر دهد. تفاوت میان ادعای گروه‌های هکری، ارزیابی امنیتی و انتساب رسمی باید در بررسی هر رخداد حفظ شود.