آیا می‌دانستید که بیش از ۱۵۰ زیرساخت حیاتی آب و فاضلاب در ایالات متحده تنها در سال گذشته هدف حملات سایبری قرار گرفته‌اند؟ این آمار جنجالی تنها نوک یخberg یک تهدید است که اکنون سطح جدیدی از خطرناکی را تجربه می‌کند. دولت آمریکا در یک مشاوره امنیتی به‌روزرسانی‌شده، صراحتاً اعلام کرد که هکرهای وابسته به سپاه پاسداران انقلاب اسلامی ایران (IRGC) در حال سوءاستفاده از آسیب‌پذیری‌های سیستمی در ارائه‌دهندگان آب و انرژی هستند. این خبر در ۲۳ ژوئیه ۲۰۲۶ منتشر شد و بلافاصله زنگ خطر را برای مدیران زیرساخت‌های حیاتی در سراسر جهان به صدا در آورد.

چرا این حمله متفاوت است؟ برخلاف حملات رانسوموِیر معمول که به دنبال سود مالی هستند، این عملیات نشانه‌ای از جنگ سایبری الحكومية است که مستقیماً به امنیت ملی و سلامت عمومی هدف می‌گیرد. در ادامه، جزئیات کامل این تهدید، پیشینه آن، و تحلیل‌های عمیق ما از پیامدهای آن را بررسی می‌کنیم.

پیشینه و تاریخچه: از استاکس‌نت تا حملات واحدترین

حمله به زیرساخت‌های حیاتی در ایران سابقه‌ای طولانی دارد. در سال ۲۰۱۰، ویروس استاکس‌نت (Stuxnet) — که به طور گسترده به اسرائیل و آمریکا نسبت داده می‌شود — سانتریفیوژهای غنی‌سازی اورانیوم در نطنز را هدف قرار داد و پارادایم امنیت سایبری را به طور کامل تغییر داد. ایران در پاسخ، ظرفیت‌های سایبری خود را به شدت تقویت کرد و واحدهای تخصصی در سپاه پاسداران و وزارت اطلاعات تشکیل داد.

در سال ۲۰۲۳، حملات به موسسه آب و فاضلاب علیقوپا (Aliquippa) در پنسیلوانیا توجه جهانی را به خود جلب کرد. هکرهای گروهی به نام «سایبر آوانگارد ۳۱۳» کنترلرهای منطقی برنامه‌ریزی (PLC) ساخته شده توسط شرکت اسرائیلی یونیترونیکس (Unitronics) را هدف قرار دادند و پیام‌های ضداسرائیلی روی صفحه نمایش دستگاه‌ها نمایش دادند. این حمله الگوئی شد که اکنون در مقیاس وسیع‌تر تکرار می‌شود.

تحولات اخیر نشان می‌دهد که هکرهای وابسته به ایران از تکنیک‌های ساده اما موثری استفاده می‌کنند: اسکن اینترنت برای یافتن دستگاه‌های با رمز پیش‌فرض. بر اساس گزارش‌های CISA، FBI، EPA و وزارت انرژی آمریکا، هزاران دستگاه PLC همچنان با نام کاربری و رمزعبور پیش‌فرض کار می‌کنند — یک خطای امنیتی ابتدایی که عواقب ویرانگر دارد.

جزئیات کامل خبر: مشاوره مشترک آژانس‌های امنیتی آمریکا

در ۲۳ ژوئیه ۲۰۲۶، آژانس امنیت سایبری و زیرساخت‌ها (CISA)، مكتب تحقيقات فيدرال (FBI)، سازمان حفاظت محیط زیست (EPA) و وزارت انرژی (DOE) یک مشاوره مشترک منتشر کردند که در آن به صراحت از «فعالیت‌های مخرب سایبری به توسط بازیگران تهدید وابسته به حکومت ایران» خبر داده شده است.

مکانیزم حمله: هدف‌گیری کنترلرهای PLC یونیترونیکس

طبق مشاوره، هکرها به دنبال کنترلرهای منطقی برنامه‌ریزی (PLC) مدل Vision Series شرکت یونیترونیکس می‌گردند که مستقیماً به اینترنت متصل هستند. این دستگاه‌ها در محوطه‌های تصفیه آب، پمپاژ برق، و سیستم‌های انرژی استفاده می‌شوند. نکته حیاتی این است که بیش از ۹۰٪ دستگاه‌های شناسایی‌شده همچنان از رمزهای پیش‌فرض کارخانه استفاده می‌کنند.

«بازیگران تهدید ایران‌مرتبط به طور فعال در حال اسکن اینترنت برای شناسایی PLCهای یونیترونیکس با اعتبار پیش‌فرض هستند و با موفقیت به آن‌ها نفوذ می‌کنند،» — مشاوره مشترک CISA/FBI/EPA/DOE، ژوئیه ۲۰۲۶

شواهد فنی و نشانگرهای تهاجم (IOCs)

آژانس‌ها لیستی از نشانگرهای تهاجم (IOCs) منتشر کرده‌اند که شامل آدرس‌های IP، هش‌های فایل، و الگوهای ترافیک شبکه است. هکرها از ابزارهای متن‌باز و اسکریپت‌های ساده پایتون برای خودکارسازی فرآیند کشف و نفوذ استفاده می‌کنند. علاوه بر یونیترونیکس، دستگاه‌های سایر سازندگان PLC نیز در رادار قرار دارند، هرچند تاکید اصلی بر مدل‌های Vision Series است.

مقایسه با حملات قبلی: مقیاس و تهاجمی بودن

حمله علیقوپا ۲۰۲۳ یک رویداد انفرادی بود، اما مشاوره جدید حاکی از حمله منسق و گسترده در چندین ایالت است. منابع آگاه در FBI می‌گویند که تعداد قربانیان تاییدشده در ماه‌های اخیر به بیش از ۱۰ Einrichtung رسیده، هرچند نام‌های دقیق محرمانه باقی مانده‌اند. این نشان‌دهنده تغییر استراتژی از «نشان‌دهی نمادین» به «اختلال عملیاتی» است.

🔍 تحلیل نیکای

این رویداد نقطه عطفی در جنگ سایبری ناهمگام است. ایران ثابت کرده که می‌تواند با منابع محدود و تکنیک‌های ساده، اثرات استراتژیک بر یک ابرقدرت ایجاد کند. استفاده از رمزهای پیش‌فرض نه یک خطای فنی، بلکه یک شکست مدیریت ریسک در سطح کلان است. برای ایران، این حملات دو هدف دارد: بازدارندگی در برابر حملات سایبری دشمن (مانند استاکس‌نت) و نمایش قدرت در مذاکرات ژئوپلیتیکی. برای بازار ایران، پیامدها دوطرفه است: یکسو، شرکت‌های زیرساختی ایرانی باید بلافاصله رمزهای پیش‌فرض را تغییر دهند و جداسازی شبکه (Network Segmentation) را اجرا کنند، چون تکنیک‌های مشابه می‌تواند علیه آن‌ها نیز به کار رود. از سوی دیگر، تحریم‌های سخت‌افزاری و نرم‌افزاری باعث شده بسیاری از زیرساخت‌های ایران از تجهیزات قدیمی و بدون پچ امنیتی استفاده کنند — یک پتانسیل بلایای در انتظار انفجار. در ۳ تا ۶ ماه آینده، انتظار می‌رود حملات به برندهای دیگر PLC (مانند سیمنز، شناider، آلن برادلی) گسترش یابد و گروه‌های هکری ایران‌مرتبط تکنیک‌های پیشرفته‌تر مانند Living-off-the-land را به کار گیرند. رقبای اصلی در این میدان — روسیه، چین، و کره شمالی — به طور قطع این متدها را مورد مطالعه قرار داده و در آرسنال خود ادغام می‌کنند.

💡 نکات کلیدی

• آژانس‌های امنیتی آمریکا (CISA، FBI، EPA، DOE) رسماً هکرهای وابسته به سپاه پاسداران ایران را متهم به نفوذ به سیستم‌های کنترل آب و انرژی کرده‌اند.
• واسعه‌ترین برد حمله، کنترلرهای PLC یونیترونیکس سری Vision با رمزهای پیش‌فرض کارخانه است که مستقیماً به اینترنت متصل‌اند.
• حمله علیقوپا ۲۰۲۳ پیش‌گام الگوهای فعلی بود؛ اکنون حملات منسق، گسترده و با هدف اختلال عملیاتی (نه فقط پیام نمادین) اجرا می‌شوند.
• تغییر فوری رمزهای پیش‌فرض، قطع دسترسی مستقیم اینترنت به PLCها، و اجرای جداسازی شبکه اقدامات حیاتی فوری هستند.
• این رویداد نشان‌دهنده بلوغ جنگ سایبری ناهمگام است: تکنیک‌های ساده، اثرگذاری استراتژیک، و انکارپذیری بالا.

🎯 برای چه کسانی مهم است؟

این مقاله برای مدیران امنیت اطلاعات (CISO) در بخش انرژی و آب، مهندسان کنترل صنعتی (OT/ICS)، مسئولان پیاده‌سازی استانداردهای IEC 62443، تحلیلگران تهدید سایبری، و مقننین و سیاست‌گذاران امنیت ملی ضروری است. همچنین، شرکت‌های ارائه‌دهنده تجهیزات PLC و یکپارچه‌کنندگان سیستم‌های SCADA باید بلافاصله مدل‌های تهدید خود را به‌روزرسانی کنند.

سؤال: آیا سازمان شما برنامه‌ای برای بررسی و امن‌سازی تمام دستگاه‌های کنترل صنعتی متصل به اینترنت در ۷۲ ساعت آینده دارد؟

منبع: TechCrunch - US government says Iran-linked hackers are disrupting American water and energy providers