پشت پرده گزارش تهدیدات انیسا ۲۰۲۵: چگونه سیل حملات ساده دی‌داس بحران عمیق باج‌افزارها را پنهان می‌کند

مدیران امنیت سایبری همواره در این بحث بوده‌اند که تهدید اصلی زیرساخت‌های مدرن، حجم انبوه حملات خودکار و مداوم است یا پیچیدگی نامحسوس نفوذهای هدفمند. طرفداران فرضیه «حجم حمله» به ترافیک خردکننده حملات منع سرویس توزیع‌شده اشاره می‌کنند که منابع دفاعی را به‌طور کامل می‌بلعد.[2]

در نقطه مقابل، کسانی که روی پیچیدگی تمرکز دارند استدلال می‌کنند ترافیک پر سر و صدا صرفاً پرده‌ای دودین برای استقرار بی‌سروصدای باج‌افزارها و ابزارهای جاسوسی است. اکنون آژانس امنیت سایبری اتحادیه اروپا (ENISA) گزارش چشم‌انداز تهدیدات ۲۰۲۵ خود را منتشر کرده که شواهد تجربی دقیقی برای ارزیابی هر دو دیدگاه ارائه می‌دهد.[1]

این آژانس ۴٬۸۷۵ حادثه ثبت و اعتبارسنجی‌شده بین ژوئیه ۲۰۲۴ تا ژوئن ۲۰۲۵ را در سراسر اتحادیه اروپا بررسی کرده است. مجموعه داده‌های به‌دست‌آمده محیط تهدیدی را به تصویر می‌کشد که ویژگی بارز آن، تبدیل بسیار سریع آسیب‌پذیری‌ها به ابزار حمله و پیچیده‌تر شدن شبکه رفتاری مهاجمان است.[1]

اگرچه آمار مطلق حملات همچنان نجومی است، تحلیل داده‌ها نشان می‌دهد اثرگذاری عملیاتی این رویدادها کاملاً دوپاره است. چشم‌انداز تهدید به سمت فشارهای ترکیبی و همگرا در حرکت است؛ جایی که فرسایش تاب‌آوری سازمان‌ها نه از طریق تک‌حملات فاجعه‌بار، بلکه با کارزارهای مداوم و متنوع رقم می‌خورد.[1]

توهم ناشی از حجم حملات

حملات منع سرویس توزیع‌شده (DDoS) به تنهایی ۷۶٫۷ درصد از کل حوادث ثبت‌شده را به خود اختصاص داده و آمار خام رویدادها را قبضه کرده‌اند. بخش اعظم این ترافیک توسط گروه‌های هکتیویست تولید می‌شود که با ابزارهایی ارزان‌قیمت، عملیات‌هایی با انگیزه ایدئولوژیک راه می‌اندازند تا سروصدای رسانه‌ای ایجاد کنند.[1]

این کارزارهای هکتیویستی عمدتاً بخش مدیریت دولتی را هدف می‌گیرند که ۳۸٫۲ درصد از کل حوادث بررسی‌شده را جذب کرده است. نهادهای دولتی محلی و مرکزی، از جمله هیئت‌های دیپلماتیک و نهادهای دفاعی، مدام زیر رگبار حملات گروه‌هایی نظیر NoName057(16) و Dark Storm قرار دارند.[1]

با وجود حجم نجومی این حملات DDoS، اثرگذاری عملیاتی آن‌ها عموماً ناچیز است. این اقدامات اساساً کارکرد نمادین اعتراضی یا دستکاری روانی افکار عمومی دارند و بیشتر هم‌زمان با انتخابات یا تحولات ژئوپلیتیک مهم در کشورهای عضو به راه می‌افتند.[1]

مقیاس عظیم این تحرکات هکتیویستی از نظر آماری تهدیدهای بسیار مخرب‌تری را که در لایه‌های زیرین جریان دارند پنهان می‌کند. وقتی این ترافیک ایذایی را از داده‌ها جدا کنیم، تصویر کاملاً متفاوتی از تهدیدات واقعی اروپا پدیدار می‌شود که محور آن باج‌گیری‌های هدفمند و جاسوسی است.[2]

دیفیس کردن وب‌سایت‌ها نیز یکی دیگر از تاکتیک‌های پر سر و صدا اما کم‌اثر است که تقریباً منحصراً توسط همین هسته‌های هکتیویست انجام می‌شود. این اقدام نیز مانند حملات DDoS صرفاً تریبونی برای مخابره پیام است، نه راهکاری ماندگار برای نفوذ یا خروج داده‌های حساس.[1]

سازوکار نفوذ به شبکه‌ها

نفوذهای واقعی به شبکه‌ها تنها ۱۷٫۸ درصد از حوادث ثبت‌شده را تشکیل می‌دهند که هدایت عمده آن‌ها در دست باندهای جرایم سایبری با انگیزه‌های مالی است. برخلاف هیاهوی هکتیویست‌ها، این نفوذها به مهندسی اجتماعی متکی هستند و فیشینگ همچنان مسیر اصلی رخنه اولیه به سیستم‌هاست.[1]

فیشینگ، از جمله ایمیل‌های آلوده و تبلیغات بدافزاری، مبدأ حدود ۶۰ درصد از راه‌های نفوذ رصدشده است. مهاجمان پیوسته این ترفندها را صیقل می‌دهند و از ارسال ایمیل‌های فریبنده ساده فراتر رفته و به کارزارهای چندمرحله‌ای روی آورده‌اند تا راهکارهای پیشرفته حفاظت از ایستگاه‌های کاری (EDR) را دور بزنند.[1]

تکنیک ClickFix در اوایل سال ۲۰۲۵ جهش چشمگیری پیدا کرد و توسط هر دو طیف تبهکاران سایبری و گروه‌های وابسته به دولت‌ها به کار گرفته شد. در این روش، مهاجمان بدافزارها را پشت پیام‌های تأیید هویت جعلی در سایت‌های آلوده پنهان می‌کنند و کاربر را فریب می‌دهند تا کدهایی را برای نصب ابزارهای سرقت اطلاعات اجرا کند.[1]

صنعتی‌شدن این حملات با پلتفرم‌های «فیشینگ به عنوان سرویس» شتاب گرفته است؛ ساختاری که به اپراتورهای کم‌تجربه امکان می‌دهد کارزارهایی به غایت حرفه‌ای پیاده کنند. پلتفرم‌هایی نظیر Darcula و Lucid ساخت کیت‌های فیشینگ مشابه برندهای معتبر را خودکار کرده و لینک‌های مخرب را از طریق پیام‌رسان‌های تلفن همراه انتشار می‌دهند.[1]

سوءاستفاده از آسیب‌پذیری‌های امنیتی دومین مسیر رایج نفوذ با سهمی معادل ۲۱٫۳ درصد است. داده‌ها نشان می‌دهد مهاجمان با سرعتی بی‌سابقه روزنه‌های امنیتی تازه کشف‌شده را مسلح می‌کنند و ظرف چند روز پس از انتشار عمومی، آن‌ها را در حملات گسترده به کار می‌گیرند.[1]

اکوسیستم شکننده باج‌افزارها

جرایم سایبری با وجود آنکه سهمی ۱۳٫۴ درصدی از کل رخدادها دارند، مستقیم‌ترین و مرگبارترین ضربات را به سازمان‌های اروپایی وارد می‌کنند. در این میان، باج‌افزارهای رمزگذار مسئول ۸۱٫۱ درصد از فعالیت‌های ثبت‌شده در این حوزه هستند که پیامد مستقیم آن‌ها اختلال شدید عملیاتی و درز داده‌هاست.[1]

اکوسیستم باج‌افزارها پس از ضربات نهادهای مجری قانون به کارتل‌های معروفی مانند LockBit و BlackBasta به شدت تکه‌تکه شده است. این ضربه‌ها به جای نابودی شبکه، بازار را بازتوزیع کرد و طی این دوره ردپای ۸۲ سویه باج‌افزاری متمایز در اهداف اروپایی به ثبت رسید.[1]

باج‌افزار Akira با اختصاص ۱۱٫۶ درصد از حملات در صدر جدول ایستاد و SafePay و Qilin نیز در رده‌های بعدی قرار گرفتند. این گروه‌ها از هراس سازمان‌ها نسبت به جریمه‌های نهادهای ناظر و تخریب اعتبار تجاری نهایت سوءاستفاده را می‌برند تا قربانی را به پرداخت مبالغ گزاف وادارند.[1]

بخش تولید صنعتی با سهمی ۱۴٫۹ درصدی بیشترین فشار این حملات باج‌افزاری را تحمل کرده است. رخدادهای برجسته‌ای در اواخر سال ۲۰۲۴، از جمله حمله به تولیدکننده آلمانی لوازم الکترونیکی Medion AG و گروه Arntz Optibelt، به فلج طولانی‌مدت سامانه‌های فناوری اطلاعات و خطوط تولید منجر شد.[1]

مهاجمان اکنون ابزارهای تخصصی برای از کار انداختن سامانه‌های EDR توسعه داده‌اند. در میانه سال ۲۰۲۵، نسخه‌هایی از بدافزار EDRKillShifter به زرادخانه چندین باج‌افزار پیوست تا نفوذگران بدون جلب توجه ابتدا داده‌ها را سرقت و سپس فایل‌ها را رمزگذاری کنند.[1]

اقتصاد بدافزارهای سرقت اطلاعات

ابزارهای سرقت اطلاعات (Stealer) ستون فقرات زنجیره تأمین تبهکاران سایبری هستند و نقش اصلی را در دزدی دسترسی‌ها و اطلاعات هویتی ایفا می‌کنند. این بازار پس از انهدام خانواده‌های RedLine و META در اکتبر ۲۰۲۴ طی «عملیات مگنوس» دچار جابه‌جایی‌های اساسی شد.[1]

این برخورد قانونی به مهاجرت گسترده تبهکاران به سمت بدافزار سرقت اطلاعات Lumma منجر شد، به طوری که استفاده از آن بیش از ۳۵۰ درصد اوج گرفت. گزارش‌ها حاکی است بین ماه‌های مارس و مه ۲۰۲۵، لومّا روی ۳۹۴٬۰۰۰ رایانه در جهان، با تراکم شدید در اروپا، مستقر شده است.[1]

دلالان دسترسی اولیه این اطلاعات هویتی مسروقه را با مدل اقتصادی فروش انبوه و قیمت ارزان معامله می‌کنند. اکنون بیشتر دسترسی‌ها به شبکه‌ها زیر ۲٬۸۰۰ یورو قیمت‌گذاری می‌شود؛ رقمی که سد مالی ورود شرکای باج‌افزاری و سایر مهاجمان خرد را به شدت پایین آورده است.[1]

نشت داده‌های ناشی از این نفوذها بیش از همه گریبان زیرساخت‌ها و خدمات دیجیتال را گرفت که ۲۷٫۷ درصد از پایگاه‌های داده لو رفته را شامل می‌شد. نمونه بارز آن، افشای اطلاعات تماس بیش از ۶۲٬۰۰۰ نیروی پلیس هلند و درز داده‌های مشترکان شرکت‌های مخابراتی بود.[1]

تبدیل داده‌های مسروقه به پول نقد به دنیای فیزیکی هم سرایت کرده و مواردی از تهدید جانی و آدم‌ربایی دارندگان ارزهای دیجیتال ثبت شده است. این اقدامات خشن که در بلژیک، فرانسه و اسپانیا گزارش شده، مستقیماً ناشی از افشای داده‌های صرافی‌های متمرکز کریپتو بوده است.[1]

زنجیره تأمین در کانون حملات

مهاجمان به شکل تهاجمی به سراغ وابستگی‌های شخص ثالث می‌روند تا ضریب نفوذ و مقیاس حملات خود را چند برابر کنند. بخش خدمات و زیرساخت‌های دیجیتال سومین هدف اصلی کلیه حملات بوده که نشان‌دهنده ارزش استراتژیک نقض تأمین‌کنندگان برای رسیدن به مشتریان دست‌پایین است.[1]

نفوذ به پلتفرم ایتالیایی Telemaco در مارس ۲۰۲۵ خطرات چنین بحران‌های زنجیره‌ای را عیان کرد. دسترسی غیرمجاز به این پیمانکار خارجی، سیستم بلیت‌فروشی چندین شرکت حمل‌ونقل از جمله متروی میلان (ATM Milano) را فلج کرد و هزاران مسافر را چند روز سرگردان ساخت.[1]

مخازن نرم‌افزاری و محیط‌های توسعه برنامه همواره در معرض نفوذهای زنجیره تأمین هستند. هسته‌های وابسته به دولت‌ها، به‌ویژه گروه لازاروس کره شمالی، بسته‌های مخرب را در مخازن کد متن‌باز جاسازی می‌کنند و با شبیه‌سازی کتابخانه‌های معتبر، ایستگاه‌های کاری برنامه‌نویسان را آلوده کرده و سورس‌کدها را می‌دزدند.[1]

در اواخر ۲۰۲۴ موجی از حملات مبتنی بر افزونه‌های مخرب مرورگر ثبت شد. این کارزارها افزونه‌های سازمانی را، به‌ویژه ابزارهای مبتنی بر هوش مصنوعی و VPNها، آلوده کردند تا بدون جلب توجه، توکن‌های نشست و داده‌های محرمانه شرکتی را برداشت کنند.[1]

زیرساخت‌های مخابراتی همچنان لقمه چرب و نرمی برای کارزارهای جاسوسی به شدت پیشرفته هستند. گروه‌های وابسته به چین مانند Salt Typhoon با هدف‌گیری این شبکه‌ها می‌کوشند اشراف بلندمدت بر شاهراه‌های ارتباطی اروپا داشته باشند و اطلاعات راهبردی جمع‌آوری کنند.[1]

تلفن همراه؛ سطح آسیب‌پذیر نفوذ

دستگاه‌های تلفن همراه با تصاحب ۴۲٫۴ درصد از دسته‌های تهدید خاص، به یکی از آسیب‌پذیرترین سطوح حمله تبدیل شده‌اند. دستگاه‌های اندرویدی بیش از همه زیر ضرب همزمان تبهکاران مالی و هسته‌های جاسوسی دولتی قرار دارند.[1]

تروجان دسترسی از راه دور Rafel استقرار چشمگیری روی دستگاه‌های مجهز به نسخه‌های قدیمی اندروید در چک، فرانسه، آلمان و ایتالیا داشت. هم‌زمان تروجان بانکی Medusa با قابلیت‌های جدید در کلاهبرداری درون‌دستگاهی و تصاحب خودکار حساب‌های کاربری بازگشت.[1]

بازیگران دولتی به شکلی گسترده‌تر از بدافزارهای جاسوسی تجاری و سفارشی برای نظارت روی تلفن‌های همراه بهره می‌برند. گزارش‌ها به کارگیری ابزارهایی چون KoSpy و EagleMsgSpy را مستند کرده‌اند؛ دومی برنامه‌ای برای شنود قانونی است که ادعا می‌شود از سال ۲۰۱۷ در اختیار ادارات امنیت عمومی چین بوده است.[1]

جدا از بدافزارهای نصب‌شده روی دستگاه، حفره‌های ساختاری پروتکل‌های سیگنالینگ موبایل همچنان طعمه مهاجمان است. گزارشی فنی در سال ۲۰۲۵ فاش کرد که اپراتورهای مخابراتی دولتی از رخوه‌های امنیتی در پروتکل‌های SS7 و دایامتر برای شنود ارتباطات از راه دور، بدون نیاز به آلوده کردن گوشی، سوءاستفاده می‌کنند.[1]

این دسترسی‌ها در سطح زیرساخت مخابراتی کاملاً بی‌صدا و فوق‌العاده دشوار برای کشف هستند. دسترسی‌های دارای امتیاز در مسیرهای بین‌المللی ارتباطی امکان ردیابی موقعیت مکانی، رهگیری پیام‌ها و سرقت نشست‌ها را در ورای مرزها برای ضربه زدن به دیپلمات‌ها فراهم می‌کند.[1]

پیامدهای مخرب در بخش مالی و حمل‌ونقل

بخش مالی ۴٫۷ درصد از کل حوادث ثبت‌شده را دریافت کرده که بار اصلی آن روی دوش بانک‌ها بوده است. گروه‌های هکتیویست ۶۹ درصد از عملیات‌های مالی خود را علیه بانک‌ها متمرکز کردند تا با قطع خدمات آنلاین، نارضایتی عمومی بتراشند.[1]

فراتر از این ایذائات سطحی، بانک‌ها هدفی بسیار ارزشمند برای سرقت اطلاعات باقی مانده‌اند. درز اطلاعات ۶۴ درصد از کل حوادث سایبری این حوزه را تشکیل داد؛ زیرا مهاجمان در پی خارج کردن اطلاعات حساب‌ها و فروختن آن‌ها در دارک‌وب هستند.[1]

بخش حمل‌ونقل شاهد ۷٫۵ درصد از کل حوادث بود که بار عمده آن متوجه خطوط هوایی و شبکه‌های لجستیکی شد. هکتیویست‌ها حملات DDoS خود را به تلافی توافقات امنیتی یا تحولات ژئوپلیتیک اروپایی روی این اهداف خالی کردند.[1]

حملات باج‌افزاری علیه زیرساخت حمل‌ونقل اگرچه سهم عددی پایینی دارند، اثراتی فلج‌کننده به جای می‌گذارند. حمله با باج‌افزار Akira به فرودگاه اسپلیت در کرواسی سامانه‌های پذیرش مسافر را از کار انداخت و موقتاً کلیه پروازهای تجاری را متوقف کرد.[1]

جاسوسی سایبری با پوشش دولتی

جاسوسی سایبری ۷٫۲ درصد از اهداف ارزیابی‌شده را شامل می‌شود که عمدتاً حاصل فعالیت هسته‌های تحت حمایت دولت‌ها برای گردآوری بلندمدت داده‌های حساس است. این حملات مهارت فنی بالایی از بدافزارهای پنهانکار گرفته تا سوءاستفاده از درایورهای امضاشده به همراه دارند.[1]

گروه‌های وابسته به روسیه از جمله APT28 و APT29 بیشترین گستردگی بخشی را داشته و نهادهای دیپلماتیک، وزارتخانه‌ها و احزاب را هدف گرفتند. این عملیات‌ها در راستای راهبرد مسکو برای رصد و مختل کردن زیرساخت‌های حیاتی متحدان ناتو اجرا می‌شود.[1]

هسته‌های نفوذ وابسته به چین نظیر Mustang Panda و APT31 توجه خود را معطوف به ارگان‌های دولتی و ترانزیت دریایی کرده‌اند. این اقدامات در راستای منافع پکن برای نظارت بر زنجیره‌های تأمین طرح کمربند و جاده و پیگیری مبادلات اروپا انجام می‌گیرد.[1]

شبکه‌های حمل‌ونقل هوایی و باری طعمه‌هایی ممتاز برای این قبیل کارزارهای دولتی شدند. با اینکه سهم این بخش در تحرکات دولتی تنها ۴٫۱ درصد بوده، اشراف بر شبکه‌های باربری بینشی بی‌نظیر از میزان تاب‌آوری زنجیره تأمین در اختیار مهاجمان می‌گذارد.[1]

گروه Sidewinder که به عنوان چهره‌ای تازه‌وارد در جغرافیای اروپا ظاهر شده، تمرکزی بسیار تخصصی روی بدنه دیپلماتیک نهادهای دولتی نشان داد. این رویکرد گویای تکامل پیوسته بازیگران دولتی برای گردآوری هوشمندانه اطلاعات از راهبردهای سیاست خارجی اروپاست.[1]

واقعیت‌های پشت‌پرده هوش مصنوعی

هوش مصنوعی به ترند اصلی چشم‌انداز تهدیدات تبدیل شده، هرچند کاربرد عملی آن تا حد زیادی مطابق پیش‌بینی‌ها بوده است. به جای رخدادهای غیرمنتظره و خودکارسازی‌های شگفت‌آور، مهاجمان عمدتاً از مدل‌های زبانی تجاری یا قفل‌شکسته برای شتاب‌بخشی به فیشینگ استفاده می‌کنند.[1]

تا اوایل ۲۰۲۵ بیش از ۸۰ درصد از فعالیت‌های مهندسی اجتماعی در جهان با تکیه بر هوش مصنوعی اجرا شده است. مهاجمان با کمک این مدل‌ها متونی کاملاً طبیعی، بی‌نقص و محلی‌سازی‌شده تولید می‌کنند که فیلترهای هرزنامه و تحلیل‌های زبانی متداول قادر به شناسایی آن‌ها نیستند.[1]

توسعه ابزارهای اختصاصی بدافزاری هوش مصنوعی نظیر Xanthorox AI، نشانگر حرکت به سمت ابزارهای محلی است. با میزبانی این سامانه‌ها روی سرورهای اختصاصی، تبهکاران به راحتی فیلترهای امنیتی و محدودیت‌های مدل‌های تجاری را دور می‌زنند.[1]

علاوه بر این، محبوبیت ابزارهای تولید محتوا با هوش مصنوعی خود به یک طعمه برای توزیع بدافزار تبدیل شده است. وب‌سایت‌های جعلی متعددی که خود را سرویس‌های محبوبی چون Kling AI ،Luma AI یا DeepSeek-R1 جا زده بودند، انبوهی از بدافزارهای سرقت اطلاعات و باج‌افزارها را به رایانه‌های کاربران تزریق کردند.[1]

زنجیره تأمین هوش مصنوعی نیز از طریق مسموم‌سازی مدل‌های یادگیری ماشین و پکیج‌های پایتون آلوده هدف قرار گرفته است. آسیب‌پذیری‌هایی در افزونه‌های کمکی کدنویسی هوش مصنوعی امکان تزریق مستقیم کدهای مخرب را به بسترهای برنامه‌نویسی شرکت‌ها فراهم می‌سازد.[1]

همگرایی مرگبار بازیگران سایبری

مرزهای سنتی میان هکتیویسم، جرایم مالی سایبری و فعالیت‌های تحت حمایت دولت‌ها طی سال گذشته محو شده است. گروه‌هایی که قبلاً با سطوح مشخصی از پیچیدگی فنی متمایز می‌شدند، اکنون ابزارها، زیرساخت‌ها و تاکتیک‌های یکسانی را به اشتراک می‌گذارند که کار شناسایی دقیق منشأ حمله را بسیار سخت کرده است.[1]

گروه‌های وابسته به دولت‌ها برای اجرای عملیات فریب (پرچم دروغین) در قالب هکتیویست ظاهر می‌شوند. برای نمونه گروه «ارتش سایبری روسیه بازمتولدشده» که به هسته معروف Sandworm متصل است، از این ترفند برای پیوند زدن حملات مخرب به کارزارهای فریب روانی بهره می‌برد.[1]

از سوی دیگر، هسته‌های هکتیویست برای تأمین مالی و خودنمایی بیشتر به سمت باج‌افزارها رفته‌اند. گروه‌هایی نظیر FunkSec و CyberVolk با سویه‌هایی مانند FunkLocker و HexaLocker، شعارهای ایدئولوژیک را با باج‌خواهی ترکیب کرده‌اند تا پیام خود را تقویت کنند.[1]

در نقطه مقابل، بازیگران دولتی به تاکتیک‌های باندهای تبهکاری روی آورده‌اند؛ آن‌ها با بکارگیری بدافزارهای سرقت داده‌های عمومی و شبکه‌های پروکسی تجاری، ردپای دولت‌ها را پنهان می‌کنند. گروه کره‌ای Andariel بارها در قامت شریک یا خریدار دسترسی باج‌افزارها دیده شده است.[1]

این همگرایی نشان‌دهنده چرخشی زیربنایی در تهدیدات سایبری است؛ سازمان‌ها دیگر با دسته‌های تفکیک‌شده و سنتی مواجه نیستند، بلکه در برابر شبکه‌ای سیال قرار دارند که در آن شیوه‌های پیشرفته جاسوسی و ابزارهای فله‌ای تبهکاری دست‌به‌دست می‌شوند.[2]

داده‌های جدید تأیید می‌کند که تاب‌آوری واقعی نیازمند مقابله همزمان با تمام لایه‌های این طیف است. ترافیک سنگین و مزاحم هکتیویست‌ها فیلترینگ و ابزارهای دیواره آتش قدرتمند می‌طلبد، در حالی که سوءاستفاده‌های آرام از تأمین‌کنندگان ثالث و پروتکل‌های مخابراتی مستلزم اشراف عمیق و مداوم بر سراسر زنجیره تأمین دیجیتال است.[2]