איראן מקדמת פעולות השפעה תומכות סייבר לתמיכה בחמאס

פעולות הסייבר ופעולות ההשפעה של איראן התקדמו במספר שלבים מאז מתקפת הטרור של חמאס ב- 7 באוקטובר. אחד מרכיבי הפעולות שלהם נותר עקבי לאורך כל הדרך: השילוב של מתקפות סייבר אופורטוניסטיות עם פעולות השפעה שלעתים קרובות מגזימות את הדיוק או את ההיקף של ההשפעה.

הדוח הזה מתמקד בפעולות ההשפעה ובפעולות ההשפעה בגיבוי סייבר שבוצעו על-ידי איראן מ- 7 באוקטובר ועד סוף 2023, תוך סקירת המגמות והפעולות מאז אביב 2023.

בשלב הראשוני של מלחמת ישראל-חמאס, הקבוצות האיראניות פעלו באופן תגובתי. המדיה הרשמית של איראן פרסמה פרטים מטעים לגבי מתקפות סייבר שבוצעו לכאורה וקבוצות איראניות השתמשו בחומרים מיושנים מפעולות קודמות, ייעדו מחדש את הגישה שהייתה להם לפני המלחמה והגזימו את ההשפעה ואת ההיקף של מתקפות הסייבר שבוצעו לטענתן.

כמעט ארבעה חודשים מתחילת המלחמה, ל- Microsoft עדיין אין ראיות ברורות מהנתונים על כך שקבוצות איראניות תיאמו את מתקפות הסייבר או את מתקפות ההשפעה שלהן עם התוכניות של חמאס לתקוף את ישראל ב- 7 באוקטובר. במקום זאת, הנתונים והממצאים המצטברים מצביעים על כך שגורמי הסייבר האיראניים פעלו באופן תגובתי והוציאו לפועל את מתקפות הסייבר ואת פעולות ההשפעה שלהם במהירות לאחר מתקפות חמאס כדי להחליש את ישראל.

הפרטים המטעים לגבי מתקפות שבוצעו לכאורה במדיה רשמית: 
ביום שבו פרצה המלחמה, Tasnim News Agency, גוף תקשורת איראני המזוהה עם משמרות המהפכה (IRGC) פרסם טענה שקרית שקבוצה בשם Cyber Avengers ביצעה מתקפות סייבר נגד תחנת כוח ישראלית "בו-זמנית" עם המתקפות של חמאס. ² Cyber Avengers, פרסונה המופעלת על-ידי IRGC, טענה למעשה שביצעה מתקפת סייבר נגד חברת חשמל ישראלית בערב שלפני הפלישה של חמאס.³הראיה שלהם: דיווח בן מספר שבועות בתקשורת לגבי הפסקות חשמל 'בשנים קודמות' וצילום מסך של שיבוש בשירות באתר החברה, ללא תאריך. ⁴

שימוש חוזר בחומרים ישנים: 
לאחר מתקפת חמאס על ישראל, Cyber Avengers טענו שביצעו סדרת מתקפות סייבר נגד ישראל, ידיעה שהתגלתה כשקרית בחקירה המוקדמת שלנו. ב- 8 באוקטובר, הם טענו שהדליפו מסמכים של תחנת כוח ישראלית, למרות שהמסמכים פורסמו בעבר ביוני 2022 על-ידי Moses Staff, פרסונת סייבר נוספת המופעלת על-ידי משמרות המהפכה.⁵

שימוש חוזר בגישה: 
Malek Team, פרסונת סייבר נוספת המופעלת, להערכתנו, על-ידי משרד המודיעין והביטחון (MOIS) של איראן, הדליפה נתונים אישיים מאוניברסיטה ישראלית ב- 8 באוקטובר, בלי הקשר ברור בין התקיפה לעימות המתפתח שם, מה שמצביע על כך שהמתקפה הייתה אופורטוניסטית וייתכן שנבחרה על סמך גישה שהייתה קיימת לפני פרוץ המלחמה. במקום לציין את הקשרים בין הנתונים שהודלפו לתמיכה בפעולות חמאס, Malek Team השתמשה תחילה בהאשטאגים ב- X (לשעבר Twitter) כדי לתמוך בחמאס, ורק כעבור ימים שינתה את המסר לסוג המסרים המשחירים את ראש ממשלת ישראל, בנימין נתניהו, כפי שנצפה בפעולות השפעה איראניות אחרות.

ב- 18 באוקטובר, קבוצת Shahid Kaveh של ה- IRGC, ש- Microsoft מכנה Storm-0784, השתמשה בתוכנת כופר מותאמת אישית כדי לבצע מתקפות סייבר נגד מצלמות אבטחה בישראל. לאחר מכן היא השתמשה באחת מפרסונות סייבר שלה, Soldiers of Solomon, כדי לטעון טענה שקרית על כך שהיא מחזיקה בנתונים ומצלמות אבטחה בבסיס חיל האוויר נבטים בדרישה לכופר. בבחינת קטע הווידאו שהדליפה קבוצת Soldiers of Solomon עלה שהוא צולם ברחוב בעיר צפונית לתל אביב, ברחוב בשם 'נבטים', לא בבסיס חיל האוויר בשם זהה. למעשה, ניתוח המיקומים של הקורבנות חשף שאף אחד מהם לא היה ליד הבסיס הצבאי (עיין באיור 5). בעוד שהקבוצות האיראניות התחילו להוציא לפועל מתקפות הרסניות, הפעולות שלהן נותרו אופורטוניסטיות למדו והמשיכו למנף את פעילות ההשפעה כדי להגזים את הדיוק ואת ההשפעה של המתקפות שבוצעו.

ב- 21 באוקטובר, פרסונה נוספת המופעלת באמצעות קבוצת Cotton Sandstorm של ה- IRGC (הידועה בכינוי Emennet Pasargad) שיתפה סרטון של התוקפים משחיטים צגים דיגיטליים בבתי כנסת עם מסרים שהתייחסו לפעולות ישראל בעזרה כאל 'רצח עם'. ⁷זה סימן שיטה להטמעת מסרים ישירות במתקפות סייבר נגד מטרה רכה יחסית.

בשלב זה, פעילות ההשפעה של איראן השתמשה באופנים נרחבים ומתוחכמים יותר של העצמה שקרית. בשבועיים הראשונים למלחמה, זיהינו צורות מתקדמות מינימליות של העצמה שקרית – נתון ששוב מצביע על כך שהפעולות היו תגובתיות. לקראת השבוע השלישי למלחמה, גורם ההשפעה הפורה ביותר של איראן, Cotton Sandstorm, נכנס לתמונה והפעיל שלושה מבצעי השפעה בגיבוי סייבר ב- 21 באוקטובר. כפי שאנחנו רואים לעתים קרובות מהקבוצה, עם השתמשו ברשת של 'בובות גרב' ברשתות החברתיות כדי להעצים את הפעולות, למרות שנראה היה שרבות מהם יועדו בחופזה ליעדים אחרים ללא כיסויים אותנטיים שיסוו אותם כישראלים. במקרים רבים Cotton Sandstorm שלחה הודעות טקסט או דוא"ל בכמות רבה כדי להעצים את הפעולות שלהם או להתרברב לגביהן, ומינפה חשבונות שנפגעו כדי לחזק את האותנטיות.⁸

החל מסוף אוקטובר, קבוצות איראניות הרחיבו את ההשפעה המגובה בסייבר מעבר לישראל וכללו מדינות שלתפיסת איראן מסייעות לישראל, קרוב לוודאי על מנת לפגוע בתמיכה הפוליטית, הצבאית והכלכלית בעולם בפעילות הצבאית של ישראל. הרחבת ההתמקדות בשילוב עם תחילת המתקפות על הספינות הבינלאומיות שמקושרות לישראל על-ידי החות'ים, ארגון שיעי קיצוני בתימן המגובה על-ידי איראן (עיין באיור 8).⁹

גם התחכום של פעולות ההשפעה בגיבוי סייבר של איראן המשיך להתחזק בשלב האחרון הזה. הן הסוו טוב יותר את 'בובות הגרב' שלהן באמצעות שינוי השם של חלקן ושינוי תמונות הפרופיל שלהן לחזות ישראלית אותנטית יותר. בינתיים, הן נעזרו בטכניקות חדשות שלא ראינו בעבר אצל גורמים איראניים, כולל שימוש ב- AI כרכיב מפתח ליצירת מסרים. אנחנו מעריכים ש- Cotton Sandstorm שיבשה את שירותי הזרמת הטלוויזיה באיחוד האמירויות ובמקומות אחרים בדצמבר בהסוואת פרסונה בשם For Humanity. ‏For Humanity פרסמה בטלגרם סרטונים המציגים את הקבוצה פורצת לשלושה שירותי הזרמה מקוונים ומשבשת מספר ערוצי חדשות באמצעות שידור חדשות מזויף שכולל מגיש שככל הנראה נוצר על-ידי AI והציג לכאורה תמונות של פלסטינים שנפצעו ונהרגו עקב הפעילות הצבאית של ישראל (איור 7).¹⁴גופי חדשות וצופים באיחוד האמירויות, בקנדה ובבריטניה דיווחו על שיבושים בהזרמת תוכניות הטלוויזיה, כולל BBC – באופן שתואם לטענות של For Humanity.¹⁵

כדי להשיג את יעדיה במרחב המידע, איראן מסתמכת במיוחד על ארבע טקטיקות, טכניקות והליכים (TTP) בתחום ההשפעה בתשע החודשים האחרונים. אלה כוללים, בין היתר שימוש בהתחזות וביכולות משופרות להפעלת קהלי יעד, בשילוב עם שימוש גובר בקמפיינים של הודעות טקסט ושימוש במדיה הקשורה ל- IRGC כדי להעצים את פעולות ההשפעה.

התחזות לקבוצות פעילים ישראליים ולשותפים איראניים 
קבוצות איראניות התבססו על טכניקה ותיקה של התחזות באמצעות פיתוח פרסונות ספציפיות ומשכנעות שמתחזות גם לידידים של איראן וגם לאויביה. פרסונות ופעולות קודמות רבות של איראן הציגו את עצמן כפעילים בשם המטרה הפלסטינית.²⁷פעולות קודמות שבוצעו על-ידי פרסונה שלפי הערכתנו מופעלת על-ידי Cotton Sandstorm הרחיקו לכת והשתמשו בשם ובסמל של הזרוע הצבאית של חמאס, גדודי עז א-דין אל-קסאם, כדי להפיץ מסרים כוזבים לגבי החטופים שמוחזקים בעזה ולשלוח מסרים מאיימים לישראלים. ערוץ טלגרם נוסף שאיים על חיילי צה"ל והדליף את הדליף את הנתונים האישיים שלהם, שלהערכתנו מופעל על-ידי קבוצה של MOIS, השתמש גם הוא בסמל של גדודי עז א-דין אל-קסאם. לא ברור אם איראן פועלת בהסכמה של החמאס.

באופן דומה, איראן יוצרת ארגוני פעילים ישראליים בדויים שהולכים ונעשים משכנעים יותר בצד השמאלי וגם הימני של הספקטרום הפוליטי בישראל. בעזרת פעילים מזויפים אלה, איראן מבקשת לחדור לקהילות ישראליות כדי לרכוש את אמונן ולזרוע מחלוקת.

הנעת ישראלים לפעולה 
באפריל ובנובמבר, איראן הפגינה הצלחה חוזרת ונשנית בגיוס ישראלים ללא ידיעתם למשימות בשטח שמקדמות את הפעילות הכוזבת שלה. באחת הפעולות האחרונות, Tears of War, פעילים איראניים הצליחו לכאורה לשכנע ישראל לתלות כרזות עם הסימון של Tears of War בשכונות בישראל עם תמונה של נתניהו שככל הנראה נוצרה על-ידי AI וקריאה לסילוקו מתפקידו (עיין באיור 11).²⁸

העצמה דרך טקסט ודוא"ל בתדירות ותחכום שהולכים וגוברים 
בעוד שפעולות ההשפעה האיראניות ממשיכות להסתמך במידה רבה על העצמה שקרית מתואמת ברשתות החברתיות כדי להגיע לקהלי יעד, איראן נעזרת באופן הולך וגובר בהודעות טקסט ודוא"ל בכמות גדולה כדי לחזק את ההשפעות הפסיכולוגיות של פעולות ההשפעה בגיבוי סייבר שהיא מבצעת. להעצמה ברשתות חברתיות באמצעות 'בובות גרב' אין השפעה דומה להודעה שמוצגת בתיבת ההודעות הנכנסות של אדם, שלא לדבר על הטלפון שלו. Cotton Sandstorm התבססה על הצלחות העבר בשימוש בטכניקה זו החל מ- 2022,²⁹ושלחה הודעת טקסט, הודעות דוא"ל או שתיהן בשש פעולות לפחות החל מאוגוסט. השימוש הגובר שלה בטכניקה זו מציע שהקבוצה חידדה את היכולת הזו ורואה שהיא יעילה. פעולת Cyber Flood של Cotton Sandstorm בסוף אוקטובר כללה עד שלוש קבוצות של הודעות טקסט ודוא"ל שנשלחו לישראלים לחיזוק מתקפות הסייבר שבוצעו לכאורה או להפצת הזהרות שקריות של מתקפות חמאס על הכור הגרעין הישראלי ליד דימונה.³⁰במקרה אחד לפחות, הם מינפו חשבון שנפגע כדי לחזק את האותנטיות של הודעות הדוא"ל שלהם.

מינוף של המדיה הלאומית 
איראן השתמשה בגופי מדיה גלויים וסמויים המקושרים ל- IRGC כדי לחזק מתקפות סייבר שבוצעו לכאורה ולעתים כדי להגזים את ההשפעות שלהן. בספטמבר, אחרי ש- Cyber Avengers טענו שביצעו תקיפות סייבר על מערכת הרכבות של ישראל, המדיה המשויכת ל- IRGC חיזקה והגזימה את הטענות שלהם באופן כמעט מיידי. סוכנות החדשות Tasnim המשויכת ל- IRGC צוטטה באופן מטעה כיסוי של אירוע אחר בחדשות בישראל כהוכחה לכם שמתקפת הסייבר התרחשה.³¹הדיווח הזה הועצם לאחר מכן על-ידי גופים אחרים, איראניים והמזוהים עם איראן, באופן שהמשיך לטשטש את היעדר הראיות שתומכות בטענות למתקפת הסייבר.³²

אימוץ של הבינה המלאכותית המתפתחת לפעולות השפעה 
MTAC הבחינה בגורמים איראניים המשתמשים בתמונות וסרטונים שנוצרו על-ידי בינה מלאכותית מפרוץ מלחמת ישראל-חמאס. Cotton Sandstorm ו- Storm-1364 וכן גופי חדשות המזוהים עם חיזבאללה וחמאס משתמשים בבינה מלאכותית כדי להעצים את ההפחדה ולפתח תמונות שמשחירות את נתניהו ואת ההנהגה הישראלית.

1. שיתוף פעולה פורה 
שבועות מתחילת מלחמת ישראל-חמאס, התחלנו לראות דוגמאות לשיתוף פעולה בין קבוצות המזוהות עם איראן – שאיפשר לגורמי האיום להשיג יותר. שיתוף הפעולה מוריד את סף הכניסה, מאפשר לכל קבוצה לתרום את היכולות הקיימות שלה ומונע את הצורך של קבוצה אחת לפתח מערך מלא של כלים או שיטות עבודה.

להערכתנו, שתי קבוצות המשויכות ל- MOIS, ‏Storm-0861 ו- Storm-0842, שיתפו פעולה במתקפת סייבר הרסנית שבוצעה בישראל בסוף אוקטובר ושוב באלבניה בסוף דצמבר. בשני המקרים, Storm-0861 ככל הנראה העניקה גישה לרשת לפני ש- Storm-0842 יישמה תוכנה זדונית של מחיקה. באופן דומה, Storm-0861 יישמה תוכנה זדונית של מחיקה כנגד ישויות ממשלתיות אלבניות ביולי 2022 לאחר ש- Storm-0842 קיבלה גישה.

באוקטובר, קבוצה נוספת המשויכת ל- MOIS, ‏Storm-1084, השיגה גם היא לכאורה גישה לארגון בישראל, שבו Storm-0842 פרסה את תוכנת המחיקה BiBi, שקיבלה את שמה מהמחרוזת 'BiBi' שבה התוכנה הזדונית מחליפה את הקבצים שנמחקים. לא ברור איזה תפקיד מילאה Storm-1084, אם בכלל, במתקפה הרסנית זו. Storm-1084 ביצעה מתקפות סייבר הרסניות כנגד ארגון ישראלי נוסף בתחילת 2023 – מתקפה שהתאפשרה בגלל קבוצה נוספת המקושרת ל- MOIS, ‏Mango Sandstorm (המכונה גם MuddyWater).³³

מפרוץ המלחמה, בינת האיומים של Microsoft זיהתה גם שיתוף פעולה בין Pink Sandstorm, קבוצה המזוהה עם MOIS, ליחידות הסייבר של חיזבאללה. Microsoft הבחינה בחפיפה בתשתית ובכלים משותפים. שיתוף הפעולה האיראני עם חיזבאללה בפעולות סייבר, למרות שאינו חסר תקדים, מציג התפתחות מדאיגה – שהמלחמה עלולה לחבר עוד יותר את הקבוצות האלה בין גבולות הלאום מבחינה מבצעית.³⁴מכיוון שכל מתקפות הסייבר של איראן במלחמה זו שולבו עם פעולות השפעה, יש סבירות נוספת לכך שאיראן משפרת את פעולות ההשפעה שלה ואת תפוצתן על-ידי מינוף של דוברי שפת אם ערבית כדי לחזק את מידת האותנטיות של הפרסונות השקריות שלה.

2. היפר-התמקדות בישראל 
ההתמקדות של גורמי סייבר איראניים בישראל התחזקה. איראן מתמקדת כבר שנים בישראל, שאותה טהרן רואה כיריבה העיקרית שלה, יחד עם ארצות הברית. בהתאם לכך, על סמך נתוני בינת האיומים של Microsoft, בשנים האחרונות ארגונים בישראל ובארצות הברית היו כמעט תמיד המטרות הנפוצות ביותר של איראן. עד המלחמה, הגורמים האיראניים התמקדו בעיקר בישראל ואחריה איחוד האמירויות וארצות הברית. לאחר פרוץ המלחמה, ההתמקדות בישראל זינקה. 43% מפעילות הסייבר הלאומית של איראן שזוהתה על-ידי Microsoft מתמקדת בישראל, יותר מכל 14 המדינות שאחריה יחד.

אנחנו צופים שהאיום הנשקף מפעולות הסייבר ופעולות ההשפעה של איראן יתרחב עם המשך העימות בין ישראל לחמאס, בפרט לנוכח הפוטנציאל הגובר להסלמה בחזיות נוספות. בימים המוקדמים של המלחמה, הקבוצות האיראניות מיהרו לבצע, או פשוט לפברק מבצעים, הן האטו לאחרונה את הפעולות כדי שיהיה להן יותר זמן לקבל את הגישה הרצויה או לפתח פעולות השפעה מורכבות יותר. מה שמתברר משלבי המלחמה המפורטים בדוח זה, הוא שפעולות הסייבר ופעולות ההשפעה של איראן התקדמו לאט-לאט והפכו לממוקדות, משותפות והרסניות יותר.

התקיפות של הגורמים האיראניים גם הפכו לנועזות יותר, בפרט במתקפת סייבר על בית חולים – ובבדיקת הקווים האדומים של וושינגטון בלי לדאוג לכאורה לגבי ההשלכות. למרות היותן אופורטוניסטיות, המתקפות של ה- IRGC על מערכות בקרת המים בארצות הברית היו ככל הנראה תכסיס חכם כדי לנסות את וושינגטון בטענה שתקיפת ציוד שיוצר בישראל היא לגיטימית.

לקראת הבחירות בארצות הברית בנובמבר 2024, שיתוף הפעולה הגובר בין קבוצות איראניות וקבוצות המזוהות עם איראן מנבא אתגר גדול יותר לגופים הפועלים להגנת הבחירות. צוותי ההגנה לא יכולים עוד לעקוב בשלווה אחר מספר קבוצות. במקום זאת, סביבת האיומים נעשתה מורכבת ומסובכת יותר עקב מספר הולך וגדל של סוכני גישה, קבוצות השפעה וגורמי סייבר.