ظن دست داشتن هکرهای مرتبط با ایران در از کار افتادن نیروگاه بریتانیا و حمله به سامانه‌های آب مینه‌سوتا

در اواخر ژوئیه ۲۰۲۶، یک حمله سایبری هماهنگ بیش از ۳۰ سامانه آب شهری در سراسر مینه‌سوتا را هدف قرار داد و اپراتورها را مجبور کرد تا در حالی که کنترل‌های از راه دور از کار افتاده بودند، دستپاچه شوند. تقریباً در همان زمان، یک نفوذ جداگانه یک نیروگاه برق کوچک بریتانیایی را به مدت چهار روز از مدار خارج کرد. اگرچه این دو حادثه توسط یک اقیانوس از هم جدا شده‌اند، اما یک رشته مشترک دارند: هر دو از رایانه‌های صنعتی متصل به اینترنت سوءاستفاده کردند و هر دو توسط سازمان‌های اطلاعاتی به هکرهای تحت حمایت دولت ایران مرتبط شده‌اند. این عملیات دوگانه نشان‌دهنده تشدید قابل توجهی در جنگ سایه جاری بین تهران و پایتخت‌های غربی است که از سرقت داده‌ها فراتر رفته و به حوزه اختلال فیزیکی وارد شده است.[1]

این حملات کنترل‌کننده‌های منطقی برنامه‌پذیر (PLCs) را هدف قرار دادند؛ رایانه‌های تخصصی که به عنوان مغز سامانه‌های صنعتی خودکار عمل می‌کنند. این دستگاه‌ها دنیای دیجیتال و فیزیکی را به هم متصل می‌کنند و دستورات شبکه را به اقدامات مکانیکی مانند باز کردن شیر، راه‌اندازی پمپ یا چرخاندن توربین ترجمه می‌کنند. در مینه‌سوتا، هکرها به این کنترل‌کننده‌ها نفوذ کردند تا آدرس‌های IP و رمزهای عبور را تغییر دهند و عملاً کارگران تأسیسات را از داشبوردهای نظارتی خودشان قفل کنند. این نفوذ، تأسیساتی در شهرهایی مانند پلیموث و ساوت سنت پل را مجبور کرد تا برای حفظ جریان آب، به عملیات دستی روی آورند.[1][5]

پیامدهای فیزیکی نفوذهای مینه‌سوتا فوری بود، اگرچه در نهایت مهار شد. اف‌بی‌آی گزارش داد که برخی از تأسیسات آسیب‌دیده کاهش فشار آب و سیلاب‌های موضعی را تجربه کردند. در یک سامانه توزیع آب شهری، افت ناگهانی فشار صرفاً یک مشکل عملیاتی نیست؛ بلکه یک اثر خلأ ایجاد می‌کند که می‌تواند آب‌های زیرزمینی تصفیه‌نشده و آلاینده‌ها را به داخل لوله‌های آب آشامیدنی بکشد. اگرچه مقامات بهداشتی ایالت تأیید کردند که هیچ آبی برای آشامیدن به خطر نیفتاده است، اما این خطر جدی، شکنندگی زیرساخت‌های شهری را برجسته کرد.[5]

در آن سوی اقیانوس اطلس، حادثه بریتانیا توانایی مشابهی را علیه بخش انرژی نشان داد. روزنامه تلگراف برای اولین بار گزارش داد که هکرها به یک نیروگاه کوچک گازسوز «پیکر» (Peaker) نفوذ کرده‌اند؛ تأسیساتی که برای راه‌اندازی سریع جهت تأمین اوج ناگهانی تقاضای برق طراحی شده است. این نفوذ باعث شد که ژنراتور به مدت چهار روز متوالی از مدار خارج شود، در حالی که مهندسان برای بازیابی کنترل تلاش می‌کردند. اگرچه ظرفیت این نیروگاه تقریباً ۱۵ مگاوات بود و عدم فعالیت آن شبکه گسترده‌تر بریتانیا را تهدید نمی‌کرد، اما مدت زمان قطعی، متخصصان امنیتی را نگران کرد.[2][6]

مایکل شنکس، وزیر انرژی بریتانیا، این نفوذ را تأیید کرد و تأکید نمود که ژنراتور مورد نظر «بسیار کوچک» بوده و شبکه انرژی کشور همچنان بسیار مقاوم است. با این حال، این واقعیت که یک بازیگر متخاصم توانسته است تقریباً به مدت یک هفته حضور مخربی را در داخل یک تأسیسات برق داخلی حفظ کند، دولت را بر آن داشت تا به مدیران اجرایی انرژی در مورد اقدامات دفاعی اضطراری اطلاع‌رسانی کند. این حادثه به طور گسترده به عنوان اولین باری ارزیابی می‌شود که هکرهای مرتبط با ایران با موفقیت یک نیروگاه بریتانیایی را از مدار خارج کرده‌اند.[3][6]

انتساب این حملات به سمت سپاه پاسداران انقلاب اسلامی (IRGC) و واحدهای سایبری وابسته به آن اشاره دارد. پس از نفوذهای مینه‌سوتا، یک شخصیت هکتیویست شناخته شده به نام «سایبر اَوِنجرز» (CyberAv3ngers)، به همراه گروهی که خود را «APT ایران» می‌نامد، علناً مسئولیت را بر عهده گرفتند. این گروه‌ها اظهار داشتند که هدفشان «هشدار دادن به آمریکا برای عقب‌نشینی» بوده است و صراحتاً اختلالات زیرساختی را به درگیری ژئوپلیتیک گسترده‌تر مرتبط کردند. سازمان‌های اطلاعاتی ایالات متحده ارزیابی کرده‌اند که تهران احتمالاً پشت این عملیات هماهنگ بوده است، عملیاتی که در نهایت سامانه‌های آب را در حداقل ۱۲ ایالت تحت تأثیر قرار داد.[1]

سایبر اَوِنجرز بازیگر جدیدی در فضای فناوری عملیاتی (OT) نیست. این گروه پیش از این مسئولیت حملاتی به زیرساخت‌های آب اسرائیل را بر عهده گرفته بود و سابقه مستندی در هدف قرار دادن برندهای خاصی از PLCها، مانند آنهایی که توسط یونیت‌رونیکس و راک‌وِل اتومیشن تولید می‌شوند، دارد. این بازیگران تحت هدایت دولت، با سوءاستفاده از رمزهای عبور پیش‌فرض کارخانه و آسیب‌پذیری‌های شناخته‌شده‌ای که اپراتورهای تأسیسات در وصله کردن آنها کوتاهی کرده‌اند، می‌توانند با روش‌های نسبتاً غیرپیچیده، اختلال گسترده‌ای ایجاد کنند. این استراتژی به جای استقرار بدافزارهای پیچیده و سفارشی، متکی بر اسکن اینترنت عمومی برای یافتن درهای دیجیتالی باز است.[4][5]

با این حال، چشم‌انداز فنی به سرعت در حال تغییر است. در اوت ۲۰۲۶، یک هشدار مشترک از سوی آژانس امنیت ملی (NSA) و پلیس فدرال (FBI) اعلام کرد که بازیگران تهدید به طور فزاینده‌ای از ابزارهای توسعه با کمک هوش مصنوعی برای تولید اسکریپت‌های بهره‌برداری عملیاتی برای کنترل‌کننده‌های صنعتی استفاده می‌کنند. این تحول به طور چشمگیری تخصص فنی مورد نیاز برای دستکاری ماشین‌آلات پیچیده را کاهش می‌دهد. ابزارهای هوش مصنوعی با کاهش موانع ورود، به گروه‌های تحت حمایت دولت اجازه می‌دهند تا عملیات خود را گسترش دهند و صدها تأسیسات کوچک و کم‌منابع را به طور همزمان هدف قرار دهند، به جای اینکه صرفاً بر دارایی‌های ملی بزرگ و با دفاع قوی تمرکز کنند.[5]

منطق استراتژیک پشت هدف قرار دادن سامانه‌های آب شهری و نیروگاه‌های پیکر کوچک، ریشه در جنگ نامتقارن دارد. در حالی که درگیری نظامی متعارف بین ایالات متحده، اسرائیل و ایران ادامه دارد، تهران به دنبال راه‌هایی برای تلافی و نمایش قدرت است بدون اینکه از آستانه‌ای عبور کند که باعث یک واکنش جنبشی ویرانگر شود. ایجاد اختلال در یک برج آب محلی یا یک ژنراتور برق جزئی به عنوان یک «اثبات مفهوم» عمل می‌کند؛ سیگنالی به دولت‌های غربی مبنی بر اینکه واحدهای سایبری ایران توانایی نفوذ به زندگی روزمره شهروندان آنها را دارند.[3][4]

این رویکرد تأثیر روانی را به حداکثر می‌رساند در حالی که ریسک ژئوپلیتیک را به حداقل می‌رساند. مهاجمان با هدف قرار دادن اهدافی که پایین‌تر از آستانه یک وضعیت اضطراری ملی قرار دارند، تیتر خبرها و اضطراب ایجاد می‌کنند، بدون اینکه لزوماً یک حمله نظامی را در پاسخ دعوت کنند. پیام ضمنی اما واضح است: اگر درگیری بیشتر تشدید شود، همان تکنیک‌هایی که برای ایجاد سیلاب در یک تأسیسات آب شهر کوچک استفاده شد، به طور بالقوه می‌تواند علیه گره‌های بزرگتر و حیاتی‌تر در زنجیره تأمین ملی به کار رود.[2][4]

با وجود ادعاهای عمومی مسئولیت، انتساب در حوزه حملات سایبری صنعتی یک فرآیند پیچیده و بسیار مشروط باقی می‌ماند. محققان امنیت سایبری هشدار می‌دهند که شخصیت‌های هکتیویست اغلب توانایی‌های خود را اغراق می‌کنند یا مسئولیت قطعی‌هایی را بر عهده می‌گیرند که ناشی از نقص‌های فنی معمول است. علاوه بر این، احتمال عملیات پرچم دروغین (false flag) – جایی که یک دولت ملی از اثر انگشت دیجیتالی دولت دیگری تقلید می‌کند تا سردرگمی ایجاد کند – یک نگرانی دائمی است. در حالی که تاکتیک‌ها با شیوه‌های شناخته شده ایران همخوانی دارند، متخصصان اطلاعات باید به دقت گزارش‌های شبکه را بررسی کنند تا دستورات دولتی را از هک‌های فرصت‌طلبانه جدا سازند.[2][5]

آسیب‌پذیری این سامانه‌ها عمدتاً نتیجه انتخاب‌های مهندسی تاریخی است. برای دهه‌ها، سامانه‌های کنترل صنعتی برای قابلیت اطمینان و ایمنی طراحی شده بودند و در شبکه‌های ایزوله که کاملاً از دنیای بیرون قطع بودند، کار می‌کردند. با این حال، هنگامی که تأسیسات به دنبال کارایی نظارت از راه دور و جمع‌آوری خودکار داده‌ها بودند، این سامانه‌های قدیمی به اینترنت متصل شدند. امنیت به ندرت یک اولویت اساسی بود و هزاران دستگاه حیاتی با پروتکل‌های احراز هویت ضعیف و نرم‌افزارهای قدیمی در معرض دید قرار گرفتند.[2][5]

این دو حادثه باعث شده است که تلاش‌های جدیدی برای اصلاح مقررات تسریع شود. در ایالات متحده، این حملات درخواست‌ها برای آژانس حفاظت از محیط زیست (EPA) را تقویت کرده است تا استانداردهای اجباری امنیت سایبری پایه را برای تأسیسات آب اعمال کند؛ بسیاری از این تأسیسات با بودجه‌های شهری محدود و بدون کارمند اختصاصی امنیت فناوری اطلاعات فعالیت می‌کنند. به طور مشابه، دولت بریتانیا در حال پیشبرد لایحه امنیت و مقاومت سایبری است که هدف آن گسترش دامنه حوادثی است که سازمان‌های تحت نظارت باید گزارش دهند، تا اطمینان حاصل شود که حتی حملات به ژنراتورهای کوچک نیز نادیده گرفته نمی‌شوند.[4][6]

در نهایت، رویدادهای ژوئیه ۲۰۲۶ نشان‌دهنده یک تغییر اساسی در ماهیت دفاع از زیرساخت‌های حیاتی است. خطوط مقدم درگیری بین‌المللی دیگر محدود به پایگاه‌های نظامی یا شبکه‌های دولتی نیستند؛ آنها به کنترل‌کننده‌های منطقی برنامه‌پذیر (PLC) گسترش یافته‌اند که فشار آب محله‌های حومه شهر و ژنراتورهای پشتیبان شبکه‌های محلی را مدیریت می‌کنند. ایمن‌سازی این معماری گسترده، توزیع‌شده و قدیمی، نیازمند بسیج عظیم منابع است و اساساً نحوه مدیریت ماشین‌آلاتی که زندگی مدرن را حفظ می‌کنند، توسط شهرداری‌ها و اپراتورهای خصوصی را تغییر خواهد داد.[3][4]