إيران تزيد من عمليات التأثير الإلكتروني لدعم حماس

لقد تقدمت العمليات الإلكترونية وعمليات التأثير الإيرانية عبر مراحل متعددة منذ الهجوم الإرهابي الذي شنته حماس في 7 أكتوبر. وقد ظل أحد عناصر عملياتهم ثابتًا طوال الوقت: المتمثل في الجمع بين الاستهداف الإلكتروني الانتهازي وعمليات التأثير التي غالبًا ما تضلل دقة التأثير أو نطاقه.

يركز هذا التقرير على عمليات التأثير الإيرانية وعمليات التأثير الإلكتروني من 7 أكتوبر 2023، مع تغطية الاتجاهات الرائجة والعمليات التي يرجع تاريخها إلى ربيع عام 2023.

كانت المجموعات الإيرانية متفاعلة أثناء المرحلة الأولى من الحرب بين إسرائيل وحماس. أصدرت وسائل الإعلام الحكومية الإيرانية تفاصيل مضللة عن الهجمات الإلكترونية المزعومة، وأعادت المجموعات الإيرانية استخدام مواد مؤرخة من العمليات التاريخية، وأعادت تحديد أهداف الوصول التي كانت لديها قبل الحرب، وبالغت في النطاق العام وتأثير الهجمات الإلكترونية المزعومة.

وبعد ما يقرب من أربعة أشهر من الحرب، لم تر Microsoft حتى الآن أدلة واضحة من بياناتنا تشير إلى أن المجموعات الإيرانية نسقت عملياتها الإلكترونية أو عمليات التأثير مع خطط حماس لمهاجمة إسرائيل في 7 أكتوبر. وبدلًا من ذلك، تشير كثرة البيانات والنتائج التي توصلنا إليها إلى أن الممثلين الإلكترونيين الإيرانيين كانت رد فعل، وسرعان ما عززت عملياتها الإلكترونية وعمليات التأثير بعد هجمات حماس لمواجهة إسرائيل.

التفاصيل المضللة بشأن الهجمات المزعومة من خلال وسائل الإعلام الحكومية: 
في اليوم الذي اندلعت فيه الحرب، ادعت وكالة تسنيم الدولية للأنباء، وهي وكالة إيرانية تابعة للحرس الثوري الإسلامي، كذبًا أن مجموعة تسمى "Cyber Avengers" شنت هجمات إلكترونية ضد محطة كهرباء إسرائيلية "في نفس الوقت" الذي شنت فيه حماس هجماتها. ² في الواقع، زعمت مجموعة «Cyber Avengers»، شخصية إلكترونية يديرها الحرس الثوري الإسلامي، أنها شنت هجمة إلكترونية ضد شركة كهرباء إسرائيلية في الليلة السابقة لهجوم حماس.³ الدليل المستندة إليه: تقارير صحفية منذ أسابيع عن انقطاع التيار الكهربائي "في السنوات الأخيرة" ولقطة شاشة لانقطاع الخدمة غير المؤرخ على موقع الشركة على الويب. ⁴

إعادة استخدام المواد القديمة: 
بعد هجمات حماس على إسرائيل، ادعت مجموعة Cyber Avengers أنها قامت بسلسلة من الهجمات الإلكترونية ضد إسرائيل، التي كشفت أول تحقيقاتنا عن أنها كاذبة. في 8 أكتوبر، زعمت المجموعة تسريب وثائق خاصة بمحطة توليد كهرباء إسرائيلية، على الرغم من أن الوثائق سبق أن نشرها «Moses Staff»، شخصية إلكترونية أخرى يديرها الحرس الثوري الإسلامي، في يونيو 2022.⁵

إعادة تحديد أهداف الوصول: 
قامت شخصية إلكترونية أخرى، تدعى "Malek Team"، التي نقيّمها وتديرها وزارة الاستخبارات والأمن الوطني الإيرانية، بتسريب بيانات شخصية من جامعة إسرائيلية في 8 أكتوبر دون أي صلة واضحة في الاستهداف بالصراع المتعاظم هناك، مما يشير إلى أن الهدف كان انتهازيًا وربما تم اختيارها على أساس الوصول الموجود مسبقًا قبل اندلاع الحرب. وبدلاً من وضع روابط بين البيانات المسربة ودعم عمليات حماس، استخدم Malek Team في البداية علامات التصنيف على موقع X (تويتر سابقًا) لدعم حماس، وبعد أيام فقط قام بتغيير الرسائل لتتوافق مع نوع الرسائل التي تشوه سمعة رئيس الوزراء الإسرائيلي بنيامين نتنياهو والتي تظهر في مواقع أخرى. عمليات التأثير الإيرانية.

في 18 أكتوبر، استخدمت مجموعة Shahid Kaveh التابعة للحرس الثوري الإسلامي، التي تتبعها Microsoft تحت اسم Storm-0784، برامج الفدية الضارة المخصصة لشن هجمات إلكترونية على الكاميرات الأمنية في إسرائيل. ثم استخدمت أحد شخصياتها الإلكترونية، "Soldiers of Solomon"، للادعاء كذبًا بأنها أرسلت برامج فدية ضارة إلى الكاميرات الأمنية والبيانات في قاعدة القوات الجوية Nevatim. ويكشف فحص اللقطات الأمنية التي سربتها شخصية Soldiers of Solomon أنها من بلدة شمال تل أبيب بها شارع Nevatim، وليس القاعدة الجوية التي تحمل الاسم نفسه. في الواقع، يكشف تحليل مواقع الضحايا أنه لم يكن أي منهم بالقرب من القاعدة العسكرية (راجع الرسم التوضيحي 5). بينما بدأت المجموعات الإيرانية هجمات مدمرة، ظلت العمليات انتهازية إلى حد كبير وواصلت الاستفادة من نشاط التأثير للمبالغة في دقة الهجمات أو تأثيرها.

في 21 أكتوبر، شاركت شخصية إلكترونية أخرى يديرها الحرس الثوري الإسلامي تُدعى "Cotton Sandstorm" (المعروفة باسم "Emennet Pasargad") مقطع فيديو للمهاجمين وهم يشوهون شاشات العرض الرقمية في المعابد اليهودية برسائل تشير إلى عمليات إسرائيل في غزة باعتبارها "إبادة جماعية". ⁷ يمثل هذا طريقة لدمج الرسائل مباشرةً في الهجمات الإلكترونية ضد هدف سهل نسبيًا.

خلال هذه المرحلة، استخدم نشاط التأثير الإيراني أشكالًا أكثر شمولاً وتعقيدًا من التضخيم الزائف. في أول أسبوعين من الحرب، اكتشفنا الحد الأدنى من الأشكال المتقدمة من التضخيم الزائف، مما يشير مرة أخرى إلى أن العمليات كانت رد فعل. وعندما حل الأسبوع الثالث من الحرب، تدخل الممثل الإيراني الأكثر تأثيرًا، Cotton Sandstorm، في المشهد من خلال شن ثلاث عمليات تأثير إلكتروني في 21 أكتوبر. وكما نرى في كثير من الأحيان من المجموعة، فقد استخدموا شبكة من حسابات دمية الجورب على وسائل التواصل الاجتماعي لتضخيم العمليات، على الرغم من أنه تم إعادة توجيه العديد منها على عجل دون غطاء حقيقي يخفيهم كإسرائيليين. في مناسبات متعددة، أرسلت مجموعة Cotton Sandstorm رسائل نصية أو رسائل بريد إلكتروني بكميات كبيرة لتضخيم عملياتها أو التفاخر بها، والاستفادة من الحسابات المخترقة لتعزيز المصداقية.⁸

ابتداءً من أواخر نوفمبر، وسعت المجموعات الإيرانية تأثيرها الإلكتروني إلى ما هو أبعد من إسرائيل، ليشمل الدول التي ترى إيران أنها تساعد إسرائيل، ومن المرجح أن يؤدي ذلك إلى تقويض الدعم السياسي أو العسكري أو الاقتصادي الدولي للعمليات العسكرية الإسرائيلية. يتماشى هذا التوسع في الاستهداف مع بداية الهجمات على السفن الدولية المرتبطة بإسرائيل من جانب الحوثيين، وهي جماعة شيعية مسلحة مدعومة من إيران في اليمن (راجع الرسم التوضيحي 8).⁹

كما استمرت عمليات التأثير الإلكتروني الإيرانية في النمو من حيث التعقيد في هذه المرحلة الأخيرة. ومن الأفضل لهم إخفاء حسابات دمية الجورب الخاصة بهم من خلال إعادة تسمية بعضها وتغيير صور ملفاتهم الشخصية لتبدو إسرائيلية أكثر واقعية. وفي الوقت نفسه، استخدموا تقنيات جديدة لم نرها من الممثلين الإيرانيين، بما في ذلك استخدام الذكاء الاصطناعي بوصفه عنصرًا رئيسيًا في رسائلهم. نقيِّم تعطيل خدمات البث التلفزيوني لـCotton Sandstorm في دولة الإمارات العربية المتحدة وأماكن أخرى في ديسمبر تحت ستار شخصية تسمى "For Humanity". نشرت شخصية For Humanity مقاطع فيديو على Telegram تظهر المجموعة وهي تخترق ثلاث خدمات بث عبر الإنترنت وتعطل العديد من القنوات الإخبارية من خلال بث أخبار زائفة يظهر فيها مذيع تم إنشاؤه بواسطة الذكاء الاصطناعي على ما يبدو ويدعي أنه يعرض صورًا لفلسطينيين أصيبوا وقتلوا بسبب العمليات العسكرية الإسرائيلية (الرسم التوضيحي 7).¹⁴ أبلغت وكالة إخبارية ومشاهدون في الإمارات العربية المتحدة وكندا والمملكة المتحدة عن اضطرابات في بث البرامج التلفزيونية، بما في ذلك هيئة الإذاعة البريطانية (BBC)، التي تطابقت مع ادعاءات مجموعة "For Humanity".¹⁵

اعتمدت إيران، من أجل تحقيق أهدافها في مجال المعلومات، بشكل كبير على أربعة تكتيكات وتقنيات وإجراءات التأثير (TTPs) على مدى الأشهر التسعة الماضية. تشتمل على استخدام انتحال الشخصية وتعزيز القدرات لتنشيط الجماهير المستهدفة، إلى جانب الاستخدام المتزايد لحملات الرسائل النصية واستخدام الوسائط المرتبطة بالحرس الثوري الإسلامي لتضخيم عمليات التأثير.

انتحال صفة جماعات الناشطين الإسرائيليين والشركاء الإيرانيين 
استندت الجماعات الإيرانية إلى أسلوب طويل الأمد لانتحال الشخصية من خلال تطوير شخصيات أكثر تحديدًا وإقناعًا تتنكر كأصدقاء لإيران وأعداء لها. يُزعم أن العديد من العمليات والشخصيات الإيرانية السابقة كانت ناشطة لصالح القضية الفلسطينية.²⁷ وقد ذهبت العمليات الأخيرة التي قام بها شخص نقيّمه بواسطة Cotton Sandstorm إلى أبعد من ذلك، حيث استخدمت اسم وشعار الجناح العسكري لحماس، كتائب القسام، لنشر رسائل كاذبة حول الرهائن المحتجزين في غزة وإرسال رسائل تهديد للإسرائيليين. هددت قناة أخرى على تطبيق Telegram أفراد الجيش الإسرائيلي وسربت بياناتهم الشخصية، التي نقدِّر أنها كانت تديرها مجموعة تابعة لوزارة المخابرات والأمن الداخلي، واستخدمت أيضًا شعار كتائب القسام. ومن غير الواضح ما إذا كانت إيران تتحرك بموافقة حماس.

وعلى نحو مماثل، أنشأت إيران تقليدًا مقنعًا بشكل متزايد لمنظمات ناشطة إسرائيلية وهمية على يمين الطيف السياسي الإسرائيلي ويساره. وتسعى إيران من خلال هؤلاء النشطاء المزيفين إلى التسلل إلى المجتمعات الإسرائيلية لكسب ثقتهم وزرع الفتنة.

تحفيز الإسرائيليين لاتخاذ إجراء 
في أبريل ونوفمبر، أظهرت إيران نجاحًا متكررًا في تجنيد إسرائيليين دون قصد للانخراط في أنشطة ميدانية للترويج لعملياتها الكاذبة. وفي إحدى العمليات الأخيرة، أفادت التقارير أن العملاء الإيرانيين "Tears of War" نجحوا في إقناع الإسرائيليين بتعليق لافتات تحمل علامة "Tears of War" في الأحياء الإسرائيلية التي تحمل صورة نتنياهو التي تم إنشاؤها على ما يبدو باستخدام الذكاء الاصطناعي، وتدعو إلى عزله من منصبه (راجع الرسم التوضيحي 11).²⁸

التضخيم من خلال النص والبريد الإلكتروني مع زيادة التكرار والتعقيد 
في حين أن عمليات التأثير الإيرانية لا تزال تعتمد بشكل كبير على تضخيم وسائل التواصل الاجتماعي غير الحقيقية والمنسقة للوصول إلى الجماهير المستهدفة، فقد استفادت إيران بشكل متزايد من الرسائل النصية الجماعية ورسائل البريد الإلكتروني لتعزيز الآثار النفسية لعمليات التأثير الإلكترونية. إن التضخيم على وسائل التواصل الاجتماعي باستخدام حسابات دمية الجورب ليس له نفس تأثير الرسالة التي تظهر في البريد الوارد لشخص ما، ناهيك عن هاتفه. اعتمدت Cotton Sandstorm على النجاحات السابقة باستخدام هذه التقنية بدءًا من عام 2022،²⁹ حيث أرسلت رسائل نصية أو رسائل بريد إلكتروني أو كليهما معًا بشكل جماعي في ست عمليات على الأقل منذ أغسطس. ويشير استخدامهم المتزايد لهذه التقنية إلى أن المجموعة قد عززت من قدراتها وتعتبرها فعالة. وتضمنت عملية "Cyber Flood" التي نفذتها Cotton Sandstorm في أواخر أكتوبر ما يصل إلى ثلاث مجموعات من الرسائل النصية ورسائل البريد الإلكتروني المجمعة إلى الإسرائيليين لتضخيم الهجمات الإلكترونية المزعومة أو توزيع تحذيرات كاذبة من هجمات حماس على المنشأة النووية الإسرائيلية بالقرب من ديمونا.³⁰ وفي حالة واحدة على الأقل، استفادوا من حساب مخترق لتعزيز صحة رسائل البريد الإلكتروني الخاصة بها.

الاستفادة من وسائل الإعلام الحكومية 
استخدمت إيران وسائل الإعلام العلنية والسرية المرتبطة بالحرس الثوري الإسلامي لتضخيم العمليات الإلكترونية المزعومة وفي بعض الأحيان المبالغة في آثارها. في سبتمبر، بعد أن زعمت مجموعة Cyber Avengers وقوع هجمات إلكترونية ضد نظام السكك الحديدية الإسرائيلي، قامت وسائل الإعلام المرتبطة بالحرس الثوري الإسلامي على الفور تقريبًا بتضخيم مزاعمها والمبالغة فيها. اقتبست وكالة تسنيم الدولية للأنباء المرتبطة بالحرس الثوري الإسلامي بشكل غير صحيح من التغطية الإخبارية الإسرائيلية لحدث مختلف باعتباره دليلًا على وقوع الهجوم الإلكتروني.³¹ وتم تضخيم هذه التقارير بشكل أكبر من جانب وكالات إيرانية أخرى ومتحالفة مع إيران بطريقة أدت إلى حجب عدم وجود أدلة تدعم مزاعم الهجوم الإلكتروني.³²

اعتماد الذكاء الاصطناعي الناشئ لعمليات التأثير 
لاحظت MTAC أن الممثلين الإيرانيين يستخدمون صور ومقاطع فيديو تم إنشاؤها عبر الذكاء الاصطناعي منذ اندلاع الحرب بين إسرائيل وحماس. استفاد كل من Cotton Sandstorm وStorm-1364، وكذلك الوكالات الإخبارية التابعة لحماس وحزب الله، من الذكاء الاصطناعي لتعزيز الترهيب وإنشاء صور تشوه سمعة نتنياهو والقيادة الإسرائيلية.

1. التعاون المتزايد 
وبعد أسابيع من الحرب بين إسرائيل وحماس، بدأنا نرى أمثلة على التعاون بين الجماعات التابعة لإيران، مما يعزز ما يمكن أن يحققه الممثلون. يؤدي التعاون إلى تقليل حاجز الدخول، مما يتيح لكل مجموعة الإسهام بالقدرات الحالية ويلغي الحاجة إلى مجموعة واحدة لإنشاء مجموعة كاملة من الأدوات أو الحرف اليدوية.

ونقيِّم تعاون مجموعتين مرتبطتين بوزارة الاستخبارات والأمن الوطني، وهما Storm-0861 وStorm-0842، في هجوم إلكتروني مدمر في إسرائيل في أواخر أكتوبر ومرة أخرى في ألبانيا في أواخر ديسمبر. في كلتا الحالتين، من المحتمل أن يكون Storm-0861 قد وفر الوصول إلى الشبكة قبل قيام Storm-0842 بتنفيذ برامج المسح الضارة. وبالمثل، نفذ Storm-0842 برنامجًا ضارًا لمسح البيانات في الكيانات الحكومية الألبانية في يوليو 2022 بعد أن تمكن Storm-0861 من الوصول.

في أكتوبر، ربما تمكنت مجموعة أخرى مرتبطة بوزارة الاستخبارات والأمن الوطني، وهي Storm-1084، من الوصول إلى منظمة في إسرائيل حيث نشر Storm-0842 برنامج مسح "BiBi"، الذي سمي على اسم إعادة تسمية البرنامج الضار للملفات المحذوفة باستخدام السلسلة "BiBi". ليس من الواضح الدور الذي لعبه Storm-1084، إن وجد، في الهجوم المدمر. نفذت Storm-1084 هجمات إلكترونية مدمرة ضد منظمة إسرائيلية أخرى في أوائل عام 2023، تم تمكينها من جانب مجموعة أخرى مرتبطة بوزارة الاستخبارات والأمن الوطني Mango Sandstorm (المعروفة أيضًا باسم MuddyWater).³³

منذ اندلاع الحرب، اكتشف التحليل الذكي للمخاطر من Microsoft أيضًا تعاونًا بين مجموعة مرتبطة بوزارة الاستخبارات والأمن الوطني، Pink Sandstorm، ووحدات إلكترونية تابعة لحزب الله. لاحظت Microsoft تداخلات في البنية التحتية والأدوات المشتركة. إن التعاون الإيراني مع حزب الله في العمليات الإلكترونية، على الرغم من أنه ليس غير مسبوق، يشكل تطورًا مثيرًا للقلق، حيث أن الحرب قد تقرب هذه المجموعات عبر الحدود الوطنية من بعضها البعض من الناحية العملياتية.³⁴ وبما أن الهجمات الإلكترونية التي شنتها إيران في هذه الحرب قد اقترنت جميعها بعمليات التأثير، فهناك احتمال إضافي أن تعمل إيران على تحسين عمليات التأثير الخاصة بها ومدى وصولها من خلال الاستفادة من الناطقين باللغة العربية لتعزيز صحة شخصياتها الزائفة.

2. التركيز المفرط على إسرائيل 
تزايد تركيز الممثلين الإلكترونيين الإيرانيين على إسرائيل. تركز إيران منذ فترة طويلة على إسرائيل، التي تعتبرها طهران خصمها الرئيسي إلى جانب الولايات المتحدة. وبناءً على ذلك، واستنادًا إلى بيانات التحليل الذكي للمخاطر من Microsoft، في السنوات القليلة الماضية، كانت المؤسسات الإسرائيلية والأمريكية دائمًا تقريبًا الأهداف الأكثر شيوعًا لإيران. في الفترة التي سبقت الحرب، ركز الممثلون الإيرانيون بشكل أكبر على إسرائيل، تليها الإمارات العربية المتحدة والولايات المتحدة. وبعد اندلاع الحرب، ارتفع التركيز على إسرائيل. استهدف 43% من النشاط الإلكتروني لدولة إيران الذي تم تتبعه في شركة Microsoft إسرائيل، أي أكثر من الدول الـ 14 التالية المستهدفة مجتمعة.

ونتوقع أن يتزايد التهديد من العمليات الإلكترونية وعمليات التأثير الإيرانية مع استمرار الصراع بين إسرائيل وحماس، لا سيما وسط احتمال تفاقم التصعيد على جبهات إضافية. وبينما سارعت الجماعات الإيرانية إلى إجراء عمليات، أو ببساطة اختلاقها، في الأيام الأولى من الحرب، أبطأت الجماعات الإيرانية عملياتها الأخيرة مما أتاح لها المزيد من الوقت للوصول المطلوب أو تطوير عمليات تأثير أكثر تفصيلًا. ما يتجلى واضحًا من مراحل الحرب المبينة في هذا التقرير هو أن العمليات الإلكترونية وعمليات التأثير الإيرانية قد تقدمت ببطء، وأصبحت أكثر استهدافًا وتعاونًا وتدميرًا.

كما ازدادت جرأة الممثلين الإيرانيين في استهدافها، ولا سيما في الهجوم الإلكتروني على أحد المستشفيات واختبار الخطوط الحمراء التي وضعتها واشنطن والتي تبدو غير مبالية للتداعيات. إن هجمات الحرس الثوري الإسلامي على أنظمة التحكم في المياه الأمريكية، رغم كونها انتهازية، كانت على ما يبدو حيلة ذكية لاختبار واشنطن من خلال ادعاء الشرعية في مهاجمة المعدات المصنوعة في إسرائيل.

قبل الانتخابات الأمريكية في نوفمبر 2024، ينذر التعاون المتزايد بين الجماعات الإيرانية والجماعات التابعة لها بتحدي أكبر لأولئك الذين يشاركون في الدفاع عن الانتخابات. ولم يعد بإمكان المدافعين أن يجدوا العزاء في تتبع مجموعات قليلة. وبدلًا من ذلك، فإن العدد المتزايد من وكلاء الوصول، ومجموعات التأثير، والممثلين الإلكترونيين ينشئ بيئة تهديد أكثر تعقيدًا وتشابكًا.