سپاه سایبری؛ جنگ چگونه به یخچال‌های فرانسه رسید؟

برای مختل کردن زندگی در یک شهر، لازم نیست برق کل شهر را قطع کنید. گاهی تغییر تنظیمات تجهیزات سرمایشی کافی است تا مواد غذایی فاسد شوند، فروشگاه‌ها زیان ببینند و حتی آتش‌سوزی رخ دهد. فرانسه مدعی است چنین حمله‌ای در مهرماه به صدها فروشگاه این کشور انجام شده و عامل آن، واحدی سایبری وابسته به سپاه پاسداران بوده است.

چنین ادعایی، اگر اثبات شود، نمونه‌ای روشن از سرایت جنگ ایران به حوزه‌هایی است که در جغرافیای مناطق تنش نیستند، صدها کیلومتر با خط مقدم درگیری فاصله دارند ولی زندگی روزمره مردم به آنها وابسته است.

دولت فرانسه دوشنبه ۱۸ آبان (۹ نوامبر) به صورت رسمی حملات را به واحد «شهید کاوه» منتسب کرد. وزارت خارجه این کشور گفت حمله در شب ۱۹ و بامداد ۲۰ مهر (۱۱ و ۱۲ اکتبر)، کنترل‌کننده‌های سرمایش بیش از ۷۰۰ واحد تجاری را هدف گرفته و موجب خسارت مادی، آتش‌سوزی و از بین رفتن مواد غذایی به ارزش ده‌ها میلیون یورو شده است. پاریس از احضار سفیر ایران و پیشنهاد تحریم‌های اروپایی خبر داد. اینها یافته‌ها و موضع رسمی فرانسه‌اند و البته یک پرونده قضایی هم برای آن گشوده شده است.

چه چیزی هک شد؟

گویا هدف این حمله سایبری، تنها صندوق فروشگاه یا اطلاعات مشتریان نبوده است. به گفته آژانس ملی امنیت سامانه‌های اطلاعاتی فرانسه، آنسی، مهاجمان تنظیمات یخ‌زدایی تجهیزات سرمایشی را تغییر دادند و دما را بالا بردند. این نهاد از آغاز آتش‌سوزی در دست‌کم ۱۵ نقطه خبر داده است. در این نوع حمله، سامانه‌ای که برای کنترل یک فرایند فیزیکی طراحی شده، به ابزار اخلال در همان فرایند تبدیل می‌شود.

کنترل‌کننده صنعتی را می‌توان رایانه‌ای تخصصی دانست که براساس برنامه‌ای که کاربر به آن داده، فرمان روشن و خاموش شدن تجهیزات یا تنظیم دما و فشار را صادر می‌کند. دسترسی از راه دور، تعمیر و نظارت چنین سامانه‌ای را آسان می‌کند، اما اگر به‌درستی محافظت نشود، همین ابزار که بنا است کار را سهل کند، مسیر ورود مهاجمان می‌شود.

تفاوت این نوع حملات با جاسوسی در همین‌جا روشن می‌شود. در جاسوسی معمولی یا سایبری، هدف اصلی می‌تواند خواندن مکاتبات یا سرقت اطلاعات باشد. در خرابکاری صنعتی، هدف تغییر عملکرد دستگاه است. نتیجه هم متفاوت است و بنا است چیزی غیرفعال شود، تجهیزات آسیب ببیند یا محصولات نابود شوند. فرانسه حمله اخیر را کارزاری با هدف خرابکاری توصیف کرده است.

ایران خود از شناخته‌شده‌ترین قربانیان این نوع حملات بوده است. بدافزار استاکس‌نت (Stuxnet)، که در سال ۱۳۸۹ شناسایی شد، برای دست‌کاری سامانه‌های کنترل صنعتی مورد استفاده در تاسیسات غنی‌سازی نطنز طراحی شده بود.

بر اساس گزارش‌های تحقیقی، استاکس‌نت ساخته مشترک آمریکا و اسرائیل بود. به صورت مشخص آژانس امنیت ملی آمریکا (NSA) و واحد ۸۲۰۰ اطلاعات نظامی اسرائیل در توسعه آن نقش داشتند.

در ماجرای استاکس‌نت، مسئله فقط نفوذ به رایانه‌ها و سرقت اطلاعات نبود. بدافزار می‌توانست با تغییر فرمان‌های کنترلی، عملکرد سانتریفیوژها را مختل کند و به آن‌ها آسیب بزند. پژوهش مؤسسه علوم و امنیت بین‌المللی و بررسی فنی شرکت سیمانتک نشان دادند که هدف، مداخله در فرایند فیزیکی غنی‌سازی بود.

نمونه متأخرتر، حمله سایبری به صنایع فولاد ایران در ششم تیر ۱۴۰۱ بود. شرکت فولاد خوزستان پس از این حمله، اعلام کرد که ناچار به توقف تولید شده است. گروه «گنجشک درنده» مسئولیت حمله به سه شرکت فولادی را بر عهده گرفت و تصاویری منتشر کرد که مدعی بود آتش‌سوزی ناشی از اختلال در تجهیزات را نشان می‌دهد.

واحد «شهید کاوه» چیست؟

براساس ادعانامه رسمی پاریس، شهید کاوه واحدی تهاجمی وابسته به مرکز الکترونیک و سایبری سپاه است. در اسناد امنیتی غربی، فعالیت‌های مرتبط با این مجموعه با نام‌هایی از جمله «سایبر اونجرز» (CyberAv3ngers) و «استورم‌ـ۰۷۸۴» (Storm-0784) هم نوشته شده است. این نام‌ها همیشه معادل یک تشکیلات مشخص با اعضای ثابت نیستند. بعضی از این‌ها، نام مستعار عملیات و بعضی نام مستعاری است که سیستم‌ها امنیتی به آن مجموعه فعالیت‌ها و فعالیت‌های مشابه نسبت می‌دهند.

اطلاعات علنی و در دسترس درباره شمار اعضا، بودجه، تاریخ تاسیس و زنجیره فرماندهی داخلی واحد شهید کاوه وجود ندارد. بنابراین، معرفی آن به‌عنوان کلیت «ارتش سایبری سپاه» اشتباه است. فعالیت سایبری منتسب به ایران همواره میان مجموعه‌های مختلف توزیع شده است. فراموش نکنیم که پیش از این هم از یک واحد سایبری دیگر آن هم وابسته به سپاه و با نام «شهید شوشتری» صحبت شده بود.

از جنگ روانی تا تاسیسات آب

پیشینه علنی این واحد شهید کاوه یا همان سایبر اونجرز دست‌کم به سال ۱۳۹۹ می‌رسد. این گروه مسئولیت حملاتی علیه زیرساخت‌های اسرائیل را برعهده گرفته بود. در آن زمان اسرائیل چنین حملاتی را رد کرد و عملا مدعی شد این ماجرا بیش از آنکه واقعی باشد، بعد تبلیغاتی و جنگ روانی دارد.

پرونده دیگر مرتبط با این واحد، حملات اواخر ۲۰۲۳ به کنترل‌کننده‌های ساخت شرکت اسرائیلی یونیت‌رونیکس در خارج از اسرائیل بود. هشدار مشترک نهادهایی از جمله سیسا، اف‌بی‌آی و آژانس امنیت ملی آمریکا می‌گوید از نوامبر ۲۰۲۳ تا ژانویه ۲۰۲۴، دست‌کم ۷۵ دستگاه در آمریکا آلوده شدند. حداقل ۳۴ دستگاه در بخش آب و فاضلاب فعال بودند. بعضی تجهیزات، با گذرواژه پیش‌فرض یا بدون گذرواژه به اینترنت متصل بودند.

دفتر مدیر اطلاعات ملی آمریکا گزارش داده که شماری از قربانیان بخش آب، برای واکنش به نفوذ به صورت موقت سامانه‌ها را خاموش کردند و به کنترل دستی روی آوردند. این اتفاق نشان داد که تجهیزات ساخت یک کشور می‌توانند در کشور دیگری هدف قرار گیرند و محل نصب دستگاه، لزوما با جغرافیای انگیزه مهاجم یکی نیست.

آمریکا در ۱۳ بهمن ۱۴۰۲ (۲ فوریه ۲۰۲۴)، شش مقام مرکز سایبری و الکترونیک سپاه را در ارتباط با عملیات علیه زیرساخت‌های حیاتی این کشور تحریم کرد.

ادعای فرانسه دقیق است؟

پرونده خرابکاری سایبری در فرانسه از سطح ادعای یک گروه هکری فراتر رفته است. نهادهای فنی و اطلاعاتی این کشور بررسی مشترکی انجام داده‌اند و دادستانی هم آستین بالا زده است. با این حال، این ادعا فعلا در سطح ارزیابی اطلاعاتی دولت فرانسه است. هنوز مجموعه شواهد مرتبط با این حمله و ردپای مهاجمان به صورت عمومی منتشر نشده است.

این عملیات به چه کار سپاه می‌آید؟

از منظر تحلیلی، خرابکاری سایبری با منطق جنگ نامتقارن سازگار است: ایجاد اختلال دور از مرزها، با منابعی متفاوت از جنگ متعارف. دکترین امنیتی سپاه بر مبنای همین جنگ نامتقارن ساخته شده است. اما از این سازگاری هویتی لزوما نمی‌توان انگیزه دقیق حمله سایبری به فرانسه یا ارتباط مستقیم آن با جنگ کنونی آمریکا و اسرائیل با ایران را نتیجه گرفت.

ممکن است سپاه این حمله را در چارچوب تهدیدات مشخص‌اش برای گسترش جغرافیای درگیری در صورت بروز جنگ سوم انجام داده باشد. حتی ممکن است این حمله بخشی از یک آزمایش بزرگتر برای خرابکاری وسیع‌تر باشد.

کسی دقیقا نمی‌داند انگیزه مهاجمان چه بوده است. با این حال روشن است که هزینه سیاسی چنین حملاتی همواره می‌تواند از خسارت فنی فراتر برود. عملیاتی که با نام مستعار یک گروه در آپارتمانی در یک نقطه از ایران آغاز می‌شود، ممکن است پس از انتساب رسمی به تحریم، تعقیب قضایی و تشدید همکاری امنیتی کشورهای هدف منجر شود.

فعلا فرانسه در این راه گام برداشته است. پاریس با صدای بلند نام تهران را صدا می‌کند و می‌خواهد نشان بدهد که پیامدهای دیپلماتیک و امنیتی چنین اقدامی بنا است سال‌ها ادامه پیدا کند.