Irán intensifica las operaciones de influencia cibernética en apoyo de Hamás

Las operaciones cibernéticas y de influencia de Irán han pasado por múltiples fases desde el atentado terrorista de Hamás del 7 de octubre. Un elemento de sus operaciones se ha mantenido constante en todo momento: la combinación de ciberataques oportunistas con operaciones de influencia que a menudo engañan sobre la precisión o el alcance del impacto.

Este informe se centra en las operaciones de influencia y ciberinfluencia iraníes desde el 7 de octubre hasta finales de 2023, al tiempo que cubre las tendencias y operaciones que se remontan a la primavera de 2023.

Los grupos iraníes reaccionaron durante la fase inicial de la guerra entre Israel y Hamás. Los medios de comunicación estatales iraníes publicaron detalles engañosos de los ciberataques reivindicados y los grupos iraníes reutilizaron material fechado de operaciones históricas, reutilizaron el acceso que tenían antes de la guerra y exageraron el alcance y el impacto generales de los ciberataques reivindicados.

Transcurridos casi cuatro meses de la guerra, Microsoft aún no ha visto pruebas claras en nuestros datos que indiquen que grupos iraníes hubieran coordinado sus operaciones cibernéticas o de influencia con los planes de Hamás de atacar Israel el 7 de octubre. Más bien, la preponderancia de nuestros datos y hallazgos sugiere que los actores cibernéticos iraníes fueron reactivos, aumentando rápidamente sus operaciones cibernéticas y de influencia después de los ataques de Hamás para contrarrestar a Israel.

Detalles engañosos sobre ataques reivindicados a través de los medios de comunicación estatales: 
El día que estalló la guerra, Tasnim News Agency, un medio iraní afiliado al Cuerpo de la Guardia Revolucionaria Islámica (IRGC), afirmó falsamente que un grupo llamado "Cyber Avengers" había realizado ciberataques contra una central eléctrica israelí "al mismo tiempo" que los ataques de Hamás. ² Cyber Avengers, un personaje cibernético dirigido por el IRGC, afirmó de hecho haber llevado a cabo un ciberataque contra una compañía eléctrica israelí la noche anterior a la incursión de Hamás.³  Sus pruebas: informes de prensa de hace semanas sobre cortes de electricidad "en los últimos años" y una captura de pantalla de una interrupción del servicio sin fecha en el sitio web de la empresa. ⁴

Reusar material antiguo: 
Tras los ataques de Hamás contra Israel, los Cyber Avengers afirmaron llevar a cabo una serie de ciberataques contra Israel, los primeros de los cuales nuestras investigaciones revelaron que eran falsos. El 8 de octubre, afirmaron haber filtrado documentos de una central eléctrica israelí, aunque los documentos habían sido publicados previamente en junio de 2022 por otro ciberpersonaje dirigido por el IRGC, "Moses Staff".⁵

Reutilizar el acceso: 
Otro ciberpersonaje, "Malek Team", que, según nuestras estimaciones, está dirigido por el Ministerio de Inteligencia y Seguridad (MOIS) iraní, filtró el 8 de octubre datos personales de una universidad israelí sin que existiera ningún vínculo claro entre el objetivo y el incipiente conflicto en ese país, lo que sugiere que se trataba de un objetivo oportunista y tal vez elegido sobre la base de un acceso preexistente antes del estallido de la guerra. En lugar de establecer vínculos entre los datos filtrados y el apoyo a las operaciones de Hamás, Malek Team utilizó inicialmente hashtags en X (anteriormente Twitter) para apoyar a Hamás y solo unos días después cambió los mensajes para alinearse con el tipo de mensajes que denigran al primer ministro israelí, Benjamin Netanyahu, vistos en otras operaciones de influencia iraní.

El 18 de octubre, el grupo Shahid Kaveh del IRGC, al que Microsoft realiza un seguimiento bajo el nombre de Storm-0784, utilizó un ransomware personalizado para llevar a cabo ciberataques contra cámaras de seguridad en Israel. A continuación, utilizó uno de sus personajes cibernéticos, "Soldiers of Solomon", para afirmar falsamente que había rescatado cámaras de seguridad y datos de la base aérea de Nevatim. El examen de las imágenes de seguridad filtradas por Soldiers of Solomon revela que procedían de una localidad situada al norte de Tel Aviv que tiene una calle cuyo nombre es Nevatim, y no de la base aérea del mismo nombre. De hecho, el análisis de la ubicación de las víctimas revela que ninguna estaba cerca de la base militar (véase la figura 5). Aunque los grupos iraníes habían iniciado ataques destructivos, sus operaciones seguían siendo en gran medida oportunistas y continuaban aprovechando la actividad de influencia para exagerar la precisión o el efecto de los atentados.

El 21 de octubre, otro ciberpersonaje dirigido por el grupo Cotton Sandstorm del IRGC (conocido comúnmente como Emennet Pasargad) compartió un vídeo en el que se veían atacantes desfigurando pantallas digitales en sinagogas con mensajes que calificaban de "genocidio" las operaciones de Israel en Gaza. ⁷ Se trata de un método para insertar mensajes directamente en ciberataques dirigidos a un objetivo relativamente vulnerable.

Durante esta fase, la actividad de influencia de Irán utilizó formas más amplias y sofisticadas de amplificación no auténtica. En las dos primeras semanas de la guerra, detectamos mínimas formas avanzadas de amplificación no auténtica, lo que sugiere una vez más que las operaciones eran reactivas. En la tercera semana de la guerra, el actor de influencia más prolífico de Irán, Cotton Sandstorm, entró en escena lanzando tres operaciones de influencia cibernética el 21 de octubre. Como es habitual en el grupo, utilizaron una red de identidades falsas en las redes sociales para amplificar las operaciones, aunque muchos de ellos parecen haber sido reasignados precipitadamente, sin una cobertura auténtica que los disfrace de israelíes. En múltiples ocasiones Cotton Sandstorm envió mensajes de texto o correos electrónicos de forma masiva para amplificar o alardear de sus operaciones, aprovechando cuentas comprometidas para aumentar la autenticidad.⁸

A partir de finales de noviembre, los grupos iraníes ampliaron su influencia cibernética más allá de Israel, para incluir a países que Irán percibe que están ayudando a Israel, muy probablemente para debilitar el apoyo político, militar o económico internacional a las operaciones militares de Israel. Esta ampliación de los objetivos coincidió con el inicio de los ataques contra el transporte marítimo internacional vinculado a Israel por parte de los Houthis, un grupo militante chií respaldado por Irán en Yemen (véase la figura 8).⁹

Las operaciones de influencia cibernética de Irán también han seguido aumentando en sofisticación en esta última fase. Disimularon mejor sus identidades falsas cambiando el nombre de algunas y modificando sus fotos de perfil para que parecieran más israelíes. Mientras tanto, utilizaron nuevas técnicas que no habíamos visto en los actores iraníes, incluido el uso de la IA como componente clave de sus mensajes. Según nuestras informaciones, Cotton Sandstorm interrumpió los servicios de televisión en streaming en los Emiratos Árabes Unidos y otros países en diciembre bajo la apariencia de un personaje llamado "For Humanity". For Humanity publicó vídeos en Telegram que mostraban al grupo pirateando tres servicios de streaming en línea e interrumpiendo varios canales de noticias con una emisión de noticias falsas en la que aparecía un presentador generado aparentemente por IA que afirmaba mostrar imágenes de palestinos heridos y muertos en operaciones militares israelíes (figura 7).¹⁴ Medios de comunicación y telespectadores de los Emiratos Árabes Unidos, Canadá y el Reino Unido informaron de interrupciones en la emisión de programas de televisión, incluida la BBC, que coincidían con las afirmaciones de For Humanity..¹⁵

Para lograr sus objetivos en el espacio informativo, Irán ha recurrido en gran medida a cuatro tácticas, técnicas y procedimientos de influencia (TTP) durante los últimos nueve meses. Esto incluye el uso de la suplantación de identidad y la mejora de las capacidades para activar a los públicos objetivo, junto con el creciente uso de campañas de mensajes de texto y el uso de medios de comunicación vinculados al IRGC para amplificar las operaciones de influencia.

Suplantación de grupos activistas israelíes y socios iraníes 
Los grupos iraníes se han basado en una antigua técnica de suplantación de identidad desarrollando personajes más específicos y convincentes que se hacen pasar tanto por amigos como por enemigos de Irán. Muchas de las operaciones y personajes de Irán en el pasado han pretendido ser activistas a favor de la causa palestina.²⁷ Las últimas operaciones de un personaje que creemos que está dirigido por Cotton Sandstorm han ido más allá, utilizando el nombre y el logotipo del ala militar de Hamás, las Brigadas al-Qassam, para difundir mensajes falsos sobre los rehenes retenidos en Gaza y enviar a los israelíes mensajes amenazadores. Otro canal de Telegram que ha amenazado a personal de las FDI y filtrado sus datos personales, que según nuestras informaciones estaba dirigido por un grupo del MOIS, también utilizaba el logotipo de las Brigadas al-Qassam. No está claro si Irán actúa con el consentimiento de Hamás.

Del mismo modo, Irán ha creado suplantaciones cada vez más convincentes de organizaciones activistas israelíes ficticias a derecha e izquierda del espectro político israelí. A través de estos falsos activistas, Irán pretende infiltrarse en las comunidades israelíes para ganarse su confianza y sembrar la discordia.

Activar a los israelíes para la acción 
En abril y noviembre, Irán consiguió en varias ocasiones reclutar a israelíes sin que estos lo supieran para que participaran en actividades sobre el terreno destinadas a promover sus falsas operaciones. En una operación reciente, "Tears of War", agentes iraníes habrían logrado convencer a israelíes para que colgaran en barrios israelíes pancartas con la marca "Tears of War" en las que aparecía una imagen de Netanyahu aparentemente generada por Al y en las que se pedía su destitución (véase la figura 11).²⁸

Amplificar a través de texto y correo electrónico con mayor frecuencia y sofisticación 
Si bien las operaciones de influencia iraníes siguen dependiendo en gran medida de la amplificación coordinada de redes sociales no auténticas para llegar al público objetivo, Irán ha aprovechado cada vez más los mensajes de texto y correos electrónicos masivos para potenciar los efectos psicológicos de sus operaciones de influencia cibernética. La amplificación en las redes sociales mediante identidades falsas no tiene el mismo impacto que un mensaje que aparece en la bandeja de entrada de alguien, y mucho menos en su teléfono. Cotton Sandstorm se basó en éxitos anteriores utilizando esta técnica a partir de 2022,²⁹ enviando mensajes de texto, correos electrónicos o ambos de forma masiva en al menos seis operaciones desde agosto. El mayor uso de esta técnica sugiere que el grupo ha perfeccionado su capacidad y la considera eficaz. La operación "Cyber Flood" de Cotton Sandstorm a finales de octubre incluyó hasta tres series de mensajes de texto y correos electrónicos masivos a israelíes en los que se amplificaban ciberataques reivindicados o se distribuían falsas advertencias de ataques de Hamás contra la instalación nuclear israelí cercana a Dimona.³⁰ En al menos un caso, aprovecharon una cuenta comprometida para aumentar la autenticidad de sus correos electrónicos.

Aprovechar los medios de comunicación estatales 
Irán ha utilizado medios de comunicación abiertos y encubiertos vinculados al IRGC para amplificar supuestas operaciones cibernéticas y, en ocasiones, exagerar sus efectos. En septiembre, después de que Cyber Avengers reivindicara ciberataques contra el sistema ferroviario de Israel, los medios de comunicación vinculados al IRGC amplificaron y exageraron casi de inmediato sus afirmaciones. Tasnim News Agency, vinculada al IRGC, citó incorrectamente la cobertura informativa israelí de un acontecimiento diferente como prueba de que se había producido el ciberataque.³¹  Esta información fue ampliada por otros medios de comunicación iraníes y afines a Irán, de forma que se ocultó aún más la falta de pruebas que respaldaran las afirmaciones sobre el ciberataque.³²

Adopción incipiente de la IA para operaciones de influencia 
El MTAC observó a agentes iraníes utilizando imágenes y vídeos generados por IA desde el estallido de la guerra entre Israel y Hamás. Cotton Sandstorm y Storm-1364, así como los medios de comunicación afiliados a Hezbolá y Hamás, han aprovechado la IA para potenciar la intimidación y crear imágenes que denigran a Netanyahu y a los dirigentes israelíes.

1. Colaboración floreciente 
Semanas después de que comenzara la guerra entre Israel y Hamás, empezamos a ver ejemplos de colaboración entre grupos afiliados a Irán, lo que potenció lo que los actores podían conseguir. La colaboración reduce la barrera de entrada, ya que permite a cada grupo contribuir con las capacidades existentes y elimina la necesidad de que un solo grupo desarrolle un espectro completo de herramientas o técnicas.

Según nuestras informaciones, un par de grupos vinculados al MOIS, Storm-0861 y Storm-0842, colaboraron en un ciberataque destructivo en Israel a finales de octubre y de nuevo en Albania a finales de diciembre. En ambos casos, Storm-0861 probablemente proporcionó acceso a la red antes de que Storm-0842 ejecutara el malware de tipo wiper. Del mismo modo, Storm-0842 ejecutó malware de tipo wiper en entidades gubernamentales albanesas en julio de 2022, después de que Storm-0861 obtuviera acceso.

En octubre, otro grupo vinculado al MOIS, Storm-1084, también podría haber tenido acceso a una organización en Israel donde Storm-0842 implementó el wiper "BiBi", llamado así porque el malware renombra los archivos borrados con la cadena "BiBi". No está claro qué papel desempeñó Storm-1084, si es que desempeñó alguno, en el destructivo ataque. Storm-1084 llevó a cabo ciberataques destructivos contra otra organización israelí a principios de 2023, posibilitados por otro grupo vinculado al MOIS, Mango Sandstorm (alias MuddyWater).³³

Desde el estallido de la guerra, Inteligencia contra amenazas Microsoft también ha detectado la colaboración entre un grupo vinculado al MOIS, Pink Sandstorm, y unidades cibernéticas de Hezbolá. Microsoft ha observado superposiciones de infraestructuras y herramientas compartidas. La colaboración iraní con Hezbolá en operaciones cibernéticas, aunque no carece de precedentes, plantea el problema de que la guerra podría acercar a estos grupos más allá de las fronteras nacionales en términos operativos.³⁴ Dado que todos los ciberataques de Irán en esta guerra se han combinado con operaciones de influencia, es probable que Irán mejore sus operaciones de influencia y su alcance recurriendo a los hablantes nativos de árabe para mejorar la autenticidad de sus personajes no auténticos.

2. Israel en el punto de mira 
Se intensificó el interés de los ciberactores iraníes por Israel. Irán lleva mucho tiempo centrando su atención en Israel, al que Teherán considera su principal adversario junto con Estados Unidos. En consecuencia, según los datos de Inteligencia contra amenazas Microsoft, en los últimos años, las empresas israelíes y estadounidenses han sido casi siempre los objetivos más comunes de Irán. Antes de la guerra, los actores iraníes se centraron sobre todo en Israel, seguido de los EAU y Estados Unidos. Tras el estallido de la guerra, esa atención hacia Israel se disparó. El 43 % de la actividad cibernética de los Estados nación iraníes rastreada por Microsoft tuvo como objetivo a Israel, más que los 14 países siguientes juntos.

Prevemos que la amenaza de las operaciones cibernéticas y de influencia de Irán aumentará a medida que persista el conflicto entre Israel y Hamás, sobre todo en medio del creciente potencial de escalada en otros frentes. Mientras que los grupos iraníes se apresuraron a realizar, o simplemente fabricar, operaciones en los primeros días de la guerra, los grupos iraníes han ralentizado sus operaciones recientes, lo que les ha dado más tiempo para conseguir el acceso deseado o desarrollar operaciones de influencia más elaboradas. Lo que las fases de la guerra expuestas en este informe dejan claro, es que las operaciones cibernéticas y de influencia iraníes han progresado lentamente, haciéndose más selectivas, colaborativas y destructivas.

Los actores iraníes también se han vuelto cada vez más audaces en sus ataques, sobre todo en un ciberataque contra un hospital y poniendo a prueba las líneas rojas de Washington, aparentemente despreocupados por las repercusiones. Los ataques del IRGC contra los sistemas estadounidenses de control del agua, aunque oportunistas, fueron aparentemente una hábil estrategia para poner a prueba a Washington reclamando legitimidad al atacar equipos fabricados en Israel.

De cara a las elecciones estadounidenses de noviembre de 2024, el aumento de la colaboración entre grupos iraníes y afiliados a Irán augura un mayor desafío para quienes se dedican a la defensa de las elecciones. Los defensores ya no pueden contentarse con rastrear a unos pocos grupos. El creciente número de agentes de acceso, grupos de influencia y ciberactores están creando un entorno de amenazas más complejo e interconectado.