הערכה: איראן תגיב למהלכים של טראמפ בקמפיין סייבר מסיבי

מחקר של חברת Insikt Group מגלה שאיראן צפויה להפעיל את צבא ההאקרים שלה באופן מוגבר כנגד מטרות מערביות, על רקע פרישת ארה"ב מהסכם הגרעין עמה. המחקר, שנעזר בין השאר בהאקר איראני ששירת ביחידות הסייבר של המדינה, ניתח מדיניות חוץ וביטחון איראנית, אירועי עבר ואסטרטגיות סייבר אפשריות.

על פי דפוסי הפעולה של ההאקרים האיראנים בין 2012 ל-2014, ההערכה היא שהמטרות העיקריות יהיו דומות לאלה שהותקפו אז - בנקים ומוסדות פיננסיים, משרדי ממשלה, תשתיות קריטיות וחברות אנרגיה ונפט.

נשיא ארה"ב, דונלד טראמפ | צילום: רויטרס

אופי פעילות הסייבר של איראן נחשב מאוד שקול; המדינה לא נוהגת לצאת למבצעי סייבר גורפים שיחשפו את היקף היכולות שלה בתחום. הפעמים היחידות בהן שברה את דפוס הפעולה היו ב-2012 ו-2014, כשהפעילו משמרות המהפכה סדרה של תקיפות על סעודיה ומדינות המפרץ כחלק מהתגובה למלחמות האזרחים בתימן ובסוריה.

המבצע הידוע ביותר דאז היה תקיפת חברת הנפט הלאומית של סעודיה והשבתת עשרות אלפי מחשבים תוך שימוש בנוזקות הצפנה וכופר. איראן לא רק מחזיקה יחידות סייבר ייעודיות - כמו רוסיה, היא לא מהססת להשתמש בקבלני משנה עצמאים ובאנשי אקדמיה. למעשה, טהרן החלה לבנות את צבא ההאקרים על בסיס אותם אקדמאים שהוכשרו באוניברסיטאות המקומיות.

איך פועל צבא ההאקרים האיראני?

המדינה מפעילה קבוצה של מתווכים שמנהלים את המבצע בפועל ומאצילים את הביצוע בפועל להאקרים עצמאיים. את המטרות מספקים אנשי מודיעין מטעם משמרות המהפכה והשלטון המרכזי. במקביל, האקדמיה האיראנית מנוצלת לייצור ופיתוח שיטות תקיפה מתוחכמות או על ידי הנדסה לאחור של כלי נשק סייבר ששימשו לתקיפות על המדינה עצמה. הדוגמאות העיקריות הן נוזקת Shamoon ששימשה לתקיפת חברת הנפט הסעודית ולפי הערכות, התבססה על נוזקות שפותחו בארה"ב וישראל ונשלחו לפרוץ מערכות איראניות.

נשיא איראן, חסן רוחאני | צילום: בלומברג

גם נוזקת העל סטקסנט עברה כנראה התאמה לצרכי האיראנים - אם כי היא פחות שימושית לתקיפות כיום בשל איתור הפרצות עליהן נשענה. קבוצת מנהלי המבצעים היא החשובה במבנה הפעולה האיראני; היא מקבלת את המשימות, מפרקת אותם למבצעים ומגייסת את המבצעים בשיטת מכרזים. בגלל הפרנויה של השלטון והמידור הרב ששורר בו, קשה למצוא האקרים שהם גם נאמנים גדולים לשלטון. זו גם אחת הסיבות שהמדינה נאלצת לפנות לקבלני משנה כדי לבצע את התקיפות בפועל. מצד שני, זה מקשה מאוד על הייחוס והגילוי המוקדם של הפעילות.

שוק קשוח ותחרותי

כיום ישנם כ-50 קבוצות האקרים שמתחרות זו בזו על מבצעי הסייבר של טהרן. המצב הזה מתעדף את הטובים ביותר שכן רק הם מצליחים לקבל תשלום על המבצעים ולשרוד בשוק. שדה הגיוס העיקרי של ההאקרים המבצעים הוא לרוב בפורומים של קהילות הסייבר שנפוצו בשנים האחרונות במדינה. אלה לא עוסקים רק בפעילות תקיפת סייבר מסורתית אלא גם מגוונים בתקיפות דיסאינפורמציה שמיועדות לקדם את האג'נדה האיראנית ברשתות החברתיות ובמדיה העולמית.

התחזית: מתקפת סייבר כבדה | איור: ניצן סדן

המוסדות העיקריים שזוהו כחלק ממנגנון הסייבר האיראני הן אוניברסיטת אימאם חוסיין שמנוהלת בידי משמרות המהפכה ועוסקת בפיתוח ומחקר וכן מכון מבנה (Mabna) שמנהל את פעילות הריגול.

ההמלצה של החוקרים היא לשים לב לפעולות שמתבצעות בעולם בהקשר איראני ולצפות שכל פעולה מעין זו תלווה בפעולת תגמול חזקה בעולם הווירטואלי. הקלות בה ניתן להקים כיום תשתית תקיפות סייבר הופכת את המצב לנפיץ ביותר - בעיקר עבור חברות ישראליות ואמריקאיות.