آتش‌بس، تهدیدات سایبری را متوقف نمی‌کند

تشدید تنش‌ها بسیار پیش از آغاز حملات شروع شده بود

افزایش ناگهانی حملات به سیستم‌های کنترل صنعتی، یعنی همان شبکه‌های رایانه‌ای که شبکه‌های برق، تأسیسات تصفیه آب، بیمارستان‌ها و کارخانه‌ها را اداره می‌کنند، با عملیات خشم حماسی (Operation Epic Fury) در ۲۸ فوریه آغاز نشد؛ بلکه این روند از چند ماه پیش از آن کلید خورده بود.

در ژوئیه ۲۰۲۵، حسگرهای سونیک‌وال نخستین جهش عمده را در حملات اسکادا (SCADA-ATTACKS)، تلاش برای سوءاستفاده از آسیب‌پذیری‌های سیستم‌های کنترل صنعتی، ثبت کردند. شمار این حملات در آن زمان به ۱۲۹ هزار مورد در ماه می‌رسید. تا دسامبر ۲۰۲۵، این رقم به ۲۴۲ هزار مورد افزایش یافت و تا می ۲۰۲۶، یعنی پس از برقراری آتش‌بس، به ۳۶۱ هزار مورد رسید.

این ارقام نشان‌دهنده افزایشی ۴۷۴ درصدی نسبت به سال قبل است. مناقشه ژئوپلیتیک عامل پیدایش این تهدید نبود، بلکه تنها روندی را که از پیش جریان داشت، تشدید کرد.

آتش‌بس در واقع چه تغییری ایجاد کرد؟

آتش‌بس به کاهش واقعی و قابل‌سنجش تنش‌ها منجر شد، اما تنها در نقاطی خاص:

•    در اسرائیل، حملات سایبری به سیستم‌های صنعتی از ماه آوریل تا می ۹۸ درصد کاهش یافت.
•    در قطر، موج شدید تلاش‌ها برای نفوذ به شبکه، که در ماه‌های فوریه و مارس ۲۱ برابر شده بود، کاهش یافت. 
•    در بحرین، حجم تهدیدات شبکه تقریباً به نصف کاهش یافت.

خودِ ایران نیز که پیش از حملات، روزانه حدود ۴۴ هزار تلاش سایبری انجام می‌داد، عملاً آرام شد.

سکوتِ دشمن اغلب نگران‌کننده‌تر از سروصدا کردن است؛ چرا که سکوت نشان‌دهنده تجدید قواست، نه عقب‌نشینی. با این حال، هیچ‌یک از این مواردِ کاهش تنش منطقه‌ای، روند جهانیِ ثبت‌شده در داده‌های سونیک‌وال تا ماه می را تغییر نداد. نمودار کلی حملات در آن دوره همچنان رو به صعود بود. آتش‌بس مرز مشخصی را در خاورمیانه تعیین کرد، اما هکرها از آن بی‌خبر بودند.

هدف: سیستم اتوماسیون ساختمان شما

یک نوع حمله خاص عاملِ تقریباً نیمی از این جهش جهانی بود: حمله به دستگاه «LOYTEC LGATE-902». دستگاهی که اکثر مردم حتی نام آن را نشنیده‌اند. این دروازه (Gateway) اتوماسیون ساختمان، وظیفه مدیریت سیستم‌های تهویه مطبوع (HVAC)، کنترل تردد و انرژی را در ساختمان‌های تجاری بر عهده دارد و در شبکه حسگرهای جهانی سونیک‌وال، بیشترین هدفِ حملات قرار گرفته است.

حملات علیه این دستگاه از ژانویه تا می امسال رشدی ۳۸۰ درصدی داشت و در ماه‌های پس از آن، ۴۸ درصد از کل حملات ثبت‌شده علیه سیستم‌های اسکادا در سطح جهان را به خود اختصاص داد. این سلاحی نیست که سازمان‌های دولتی یا پیمانکاران دفاعی را هدف قرار دهد؛ بلکه سیستم‌هایی را نشانه می‌گیرد که دما، روشنایی و قفل درها را در ساختمان‌های اداری، بیمارستان‌ها و مدارسی کنترل می‌کنند.

یک عامل تهاجمی با دسترسی به سیستم اتوماسیون ساختمان می‌تواند سیستم‌های تهویه مطبوع بیمارستان را از کار بیندازد، درهای ورودی را قفل یا باز کند یا اختلالات فیزیکی ایجاد کند که بیشتر شبیه خرابی تجهیزات به نظر می‌رسند تا یک حمله سایبری. در واقع، سطح حمله درست در مقابل چشمان ما و در معرض دید قرار دارد.

ترس از سکوت ایران

پیش از ۲۸ فوریه، شبکه‌هایی با مبدأ ایران روزانه حدود ۴۴ هزار تلاش برای حمله علیه اهداف انجام می‌دادند. پس از حملات، این رقم به شدت سقوط کرد و به نزدیک صفر رسید و تا چند ماه پس از آن نیز به سطح قبلی بازنگشت.

در حوزه امنیت سایبری، یک دشمن ممکن است به دو دلیل فعالیت خود را متوقف و پنهان کند:

۱. زیرساخت‌های آن‌ها نابود شده و دیگر قادر به فعالیت نیستند. 
۲. آن‌ها آگاهانه تصمیم گرفتند که متوقف شوند، توانمندی‌های خود را حفظ کنند، از شناسایی شدن بپرهیزند و برای اقدامی بزرگ‌تر آماده شوند.

گروه‌های هکری وابسته به ایران سابقه‌ای مستند در انجام عملیات‌های صبورانه و بلندمدت دارند. آن‌ها عقب‌نشینی نمی‌کنند، بلکه خود را با شرایط تطبیق می‌دهند. فقدان ترافیک تهاجمیِ قابل‌تشخیص از سوی شبکه‌های ایرانی، لزوماً به معنای رفع خطر نیست؛ بلکه ممکن است نشان‌دهنده آن باشد که عملیات‌های بعدی هم‌اکنون در مرحله برنامه‌ریزی قرار دارد.

درک این زمینه برای بررسی منشأ افزایش جهانی حملات حائز اهمیت است. حجم ترافیک تهاجمیِ ناشی از شبکه‌های ایرانی در دوره مورد مطالعه به‌شدت کاهش یافت؛ با این حال، گروه‌هایی که تحت چتر راهبردی ایران فعالیت می‌کنند، اغلب از زیرساخت‌هایی بهره می‌برند که در کشورهای متعدد توزیع شده است. این گروه‌ها عبارت‌اند از:

• مادی‌واتر (MuddyWater) که با وزارت اطلاعات ایران مرتبط دانسته شده است.
• فاکس کیتن (Fox Kitten) که با سپاه پاسداران انقلاب اسلامی مرتبط است.
• لبنان، عراق و شبکه‌های واسطه منطقه خلیج فارس که همگی به عنوان نقاط رله عملیاتی در کمپین‌های مستند عمل کرده‌اند.

این داده‌ها به ما اجازه نمی‌دهد که با قطعیت نسبتی به عامل بدهیم؛ با این حال، الگویی سازگار با فعال‌سازی پروکسی را نشان می‌دهد: ترافیک داخلی ایران سقوط می‌کند و حجم حملات جهانی علیه زیرساخت‌های حیاتی به طور همزمان افزایش می‌یابد.

وضعیت ژئوپلیتیکی دریچه‌ای از توجه جهانی به ریسک سایبری ایجاد کرده است. این دریچه توسط طیف وسیعی از عوامل تهدید، نه فقط هکرهای ایرانی، مورد استفاده قرار می‌گیرد. آنها به دنبال بررسی، اسکن و قرار دادن خود در شبکه‌هایی هستند که هنوز فعال نکرده‌اند.

سازمان‌هایی که بیشترین خطر را دارند، سازمان‌هایی هستند که به بخش‌های اصلی زیرساخت متصل هستند: بیمارستان‌ها، بانک‌ها، خدمات رفاهی، تأمین‌کنندگان دفاعی و کسب‌وکارهای کوچک و متوسط که از طریق زنجیره‌های تأمین از آنها پشتیبانی می‌کنند. کسب‌وکارها نباید فرض کنند که توقف درگیری نظامی به معنای کاهش ریسک سایبری نیز هست.

داده‌های ژانویه تا می امسال داستان متفاوتی را روایت می‌کنند. حملات به بالاترین حد خود رسیدند و سیستم‌هایی را هدف قرار دادند که اکثر سازمان‌ها هرگز به فکر محافظت از آنها نیستند. در عین حال، ایران به طرز آشکار و نگران‌کننده‌ای آرام شده است.»