مقام‌های امنیتی اسرائیل از شناسایی موج تازه‌ای از تلاش‌های فیشینگ علیه خبرنگاران و چهره‌های رسانه‌ای این رژیم خبر داده‌اند و مدعی شده‌اند این عملیات از سوی عوامل اطلاعاتی ایران هدایت می‌شود.

بر اساس بیانیه مشترک شاباک و اداره ملی سایبری اسرائیل، مهاجمان از طریق WhatsApp و Telegram با خبرنگاران تماس گرفته و با جعل هویت افراد شناخته‌شده، پیشنهاد مصاحبه، همکاری یا ارائه محتوای اختصاصی، آنها را به سمت لینک‌ها و فایل‌هایی هدایت کرده‌اند که می‌توانست برای سرقت اطلاعات حساب‌ها یا دسترسی به دستگاه‌های آنها مورد استفاده قرار گیرد.

با توجه به ماهیت ادعای مطرح‌شده، در حال حاضر نمی‌توان انتساب این کارزار به ایران را بدون شواهد فنی مستقل قطعی دانست؛ با این حال، جزئیاتی که مقام‌های اسرائیلی درباره روش عملیات ارائه کرده‌اند، تصویر قابل توجهی از یک الگوی مهندسی اجتماعی و جمع‌آوری اطلاعات هدفمند ارائه می‌کند.

هدف فقط «هک گوشی» نیست

عبارت «هک تلفن خبرنگاران» که در برخی گزارش‌های فارسی استفاده شده، بخش مهمی از ماجرا را پنهان می‌کند.

اگر روایت مقام‌های اسرائیلی درست باشد، ارزش اصلی این عملیات احتمالاً خود تلفن همراه نیست؛ بلکه اطلاعاتی است که از طریق تلفن همراه قابل دسترسی خواهد بود.

خبرنگاران حوزه سیاسی و امنیتی معمولاً به شبکه‌ای از منابع، مقام‌ها، تحلیلگران و افراد مطلع دسترسی دارند.

در نتیجه یک حساب یا دستگاه در معرض نفوذ می‌تواند به مهاجم امکان دسترسی به مجموعه‌ای از:

• مکاتبات

• اسناد کاری

• منابع خبری

• ارتباطات سیاسی

• اطلاعات مربوط به تحولات امنیتی

• فایل‌های منتشرنشده

• و شبکه ارتباطی افراد مرتبط

را بدهد.

از این منظر، خبرنگار می‌تواند برای یک عملیات اطلاعاتی، یک نقطه جمع‌آوری داده با ارزش بالا باشد.

سناریوی حمله؛ از یک پیام عادی تا دسترسی اطلاعاتی

بر اساس جزئیاتی که Haaretz از این پرونده منتشر کرده، عملیات با برقراری ارتباط در پیام‌رسان آغاز می‌شود.

مهاجم خود را جای فردی آشنا یا چهره‌ای معتبر معرفی می‌کند و پیام را متناسب با حوزه فعالیت خبرنگار تنظیم می‌کند.

این مرحله اهمیت زیادی دارد.

چرا که مهاجم به جای ارسال یک پیام عمومی مانند «حساب شما مسدود شده است»، از یک سناریوی کاملاً مرتبط با کار قربانی استفاده می‌کند:

مصاحبه، همکاری رسانه‌ای، محتوای اختصاصی یا اطلاعات مربوط به یک رویداد امنیتی.

در یکی از نمونه‌های گزارش‌شده، خبرنگاران Haaretz با پیشنهاد دریافت ویدئو یا اطلاعات اختصاصی درباره حملات در خلیج فارس و تنگه هرمز مواجه شده‌اند.

لینک ارائه‌شده ظاهراً به Google Drive مربوط بوده، اما در واقع کاربر را به وب‌سایتی هدایت می‌کرده که برای سرقت اطلاعات ورود طراحی شده بود.

در نمونه‌های دیگر نیز لینک‌هایی که ظاهراً مربوط به جلسه آنلاین بودند، قربانی را به صفحات جعلی ورود به Google هدایت می‌کردند.

بنابراین زنجیره عملیات را می‌توان به شکل زیر خلاصه کرد:

شناسایی هدف → جعل هویت → ایجاد ارتباط → پیشنهاد رسانه‌ای → ارسال محتوای جذاب → هدایت به لینک → سرقت اعتبارنامه یا دسترسی به دستگاه → جمع‌آوری اطلاعات

چرا «خبر اختصاصی» می‌تواند به ابزار عملیات سایبری تبدیل شود؟

این قسمت از پرونده از نظر اطلاعاتی اهمیت ویژه‌ای دارد.

خبرنگار اساساً برای دریافت اطلاعات جدید، ارتباط با منابع و دسترسی به محتوای اختصاصی فعالیت می‌کند.

بنابراین مهاجم می‌تواند از همان رفتار حرفه‌ای برای ایجاد اعتماد استفاده کند.

در این سناریو، محتوای جذاب خودش بخشی از مهندسی اجتماعی است.

یک فایل درباره یک حمله نظامی، یک ویدئوی اختصاصی، دعوت به مصاحبه با یک مقام یا پیشنهاد همکاری رسانه‌ای، همگی می‌توانند بهانه‌ای برای هدایت قربانی به مرحله بعدی عملیات باشند.

در واقع مهاجم تلاش نمی‌کند قربانی را مجبور کند؛ بلکه تلاش می‌کند کاری کند که قربانی تصور کند خودش انتخاب کرده است.

چرا خبرنگاران اسرائیلی؟

این سؤال را باید از منظر Intelligence Collection بررسی کرد.

در شرایطی که موضوعات امنیتی و سیاسی در مرکز تنش‌های منطقه‌ای قرار دارند، خبرنگاران حوزه امنیتی و سیاسی می‌توانند در نزدیکی جریان اطلاعات قرار داشته باشند.

آنها ممکن است با:

منابع امنیتی → مقام‌های دولتی → نظامیان → تحلیلگران → خبرنگاران دیگر

در ارتباط باشند.

به همین دلیل، دسترسی به یک خبرنگار الزاماً به معنای دسترسی به یک فرد نیست؛ بلکه می‌تواند امکان شناخت بخشی از شبکه اطلاعاتی پیرامون یک موضوع را ایجاد کند.

در چنین عملیاتی، حتی اطلاعاتی که از نظر خبرنگار معمولی یا کم‌اهمیت به نظر می‌رسد، ممکن است زمانی که در کنار داده‌های دیگر قرار می‌گیرد، ارزش اطلاعاتی پیدا کند.

عملیات سایبری بدون شلیک یک گلوله

این پرونده نمونه خوبی از تفاوت میان Cyberattack و Cyber-enabled Intelligence Operation است.

در یک حمله تخریبی، مهاجم ممکن است به دنبال اختلال، حذف داده یا از کار انداختن سامانه باشد.

اما در عملیات اطلاعاتی، هدف اصلی می‌تواند کاملاً متفاوت باشد:

داده جمع کن، ارتباطات را بشناس، منابع را شناسایی کن و اطلاعات را برای تحلیل‌های بعدی استخراج کن.

به همین دلیل، اگر ادعای مطرح‌شده درباره این کارزار درست باشد، ارزش آن بیشتر در بخش جمع‌آوری اطلاعات است تا تخریب سایبری.

این الگو برای نخستین بار دیده نمی‌شود

هدف قرار دادن خبرنگاران و چهره‌های سیاسی از طریق مهندسی اجتماعی، موضوع جدیدی در پرونده‌های منتسب به بازیگران ایرانی نیست.

Haaretz به یک کارزار فیشینگ در ژوئن ۲۰۲۵ اشاره کرده که در آن ده‌ها خبرنگار و چهره عمومی اسرائیلی هدف قرار گرفته بودند.

در آن عملیات، مهاجمان خود را جای چهره‌های شناخته‌شده اسرائیلی معرفی کرده و اهداف را برای حضور در یک تماس ویدئویی دعوت کرده بودند؛ لینکی که در ادامه به صفحه فیشینگ منتهی می‌شد.

این شباهت مهم است.

چرا که نشان می‌دهد در صورت صحت انتساب، عملیات فعلی را می‌توان بخشی از یک الگوی مستمر هدف‌گیری افراد دارای ارزش اطلاعاتی دانست، نه یک اتفاق کاملاً منفرد.

Handala؛ سابقه‌ای که نمی‌توان نادیده گرفت

در بررسی این پرونده، نام Handala نیز مطرح می‌شود؛ گروهی که طی سال‌های گذشته مجموعه‌ای از عملیات سایبری و عملیات نفوذ اطلاعاتی علیه اهداف اسرائیلی را به خود نسبت داده است.

در مارس ۲۰۲۶، وزارت دادگستری آمریکا اعلام کرد که شخصیت‌های عملیاتی مرتبط با Handala و چند هویت پوششی دیگر را به یک شبکه سایبری وابسته به وزارت اطلاعات ایران مرتبط می‌داند.

بر اساس پرونده وزارت دادگستری آمریکا، این شبکه علاوه بر فعالیت‌های سایبری، از انتشار اطلاعات سرقت‌شده و عملیات روانی نیز استفاده کرده است.

با این حال، یک نکته باید کاملاً روشن باشد:

هیچ شواهد عمومی منتشرشده‌ای وجود ندارد که نشان دهد Handala مشخصاً پشت موج جدید فیشینگ علیه خبرنگاران اسرائیلی قرار دارد.

بنابراین ارتباط دادن مستقیم این پرونده به Handala، بدون انتشار IOC یا شواهد فنی جدید، زودهنگام خواهد بود.

آنچه می‌توان گفت این است که الگوی فعلی با سابقه عملیات اطلاعاتی و نفوذ سایبری منتسب به بازیگران ایرانی هم‌پوشانی‌هایی دارد.

سایه سنگین «حنظله» بر زیرساخت‌های اسرائیل؛ تحلیل مخوف‌ترین گروه هکری خاورمیانه در ادامه حتما بخوانید

از فیشینگ تا جمع‌آوری اطلاعات

اگر گزارش شاباک را کنار سابقه عملیات‌های منتسب به ایران قرار دهیم، یک زنجیره مشخص قابل مشاهده است:

مهندسی اجتماعی

↓

جعل هویت

↓

ایجاد اعتماد

↓

دسترسی اولیه

↓

تصاحب حساب یا دستگاه

↓

دسترسی به مکاتبات

↓

شناسایی منابع و ارتباطات

↓

جمع‌آوری اطلاعات

این زنجیره نشان می‌دهد که فیشینگ در چنین عملیاتی لزوماً هدف نهایی نیست.

فیشینگ فقط دروازه ورود است.

ارزش اصلی در داده‌ای است که پس از ورود به دست می‌آید.

چرا این پرونده از منظر جنگ سایبری مهم است؟

جنگ سایبری امروز فقط به نفوذ به سرورها، حمله به زیرساخت یا اجرای بدافزار محدود نیست.

یکی از مهم‌ترین میدان‌های رقابت سایبری، اطلاعات انسانی است.

خبرنگاران، پژوهشگران، تحلیلگران، مقام‌ها و فعالان سیاسی به دلیل شبکه ارتباطی خود می‌توانند ارزش اطلاعاتی بالایی داشته باشند.

در چنین شرایطی، مهاجم می‌تواند به جای حمله مستقیم به یک سازمان، از ضعیف‌ترین حلقه موجود در زنجیره ارتباطات برای رسیدن به اطلاعات استفاده کند.

به همین دلیل، عملیات سایبری و عملیات اطلاعاتی بیش از گذشته در یکدیگر ادغام شده‌اند.

یک نکته مهم درباره ادعای اسرائیل

در تحلیل این خبر باید میان سه سطح از اطلاعات تفاوت گذاشت:

سطح اول؛ واقعیت گزارش‌شده

شاباک و اداره ملی سایبری اسرائیل اعلام کرده‌اند که موج جدیدی از فیشینگ علیه خبرنگاران را شناسایی کرده‌اند.

سطح دوم؛ ادعای انتساب

این نهادها این فعالیت را به عوامل اطلاعاتی ایران نسبت داده‌اند.

سطح سوم؛ اثبات فنی

برای اثبات مستقل این انتساب، انتظار می‌رود اطلاعاتی مانند:

دامنه‌های مخرب، زیرساخت حمله، نمونه فایل، Malware، IOC، الگوی ارتباطی یا شواهد فنی قابل بررسی

منتشر شود.

در حال حاضر بخش قابل توجهی از اطلاعات موجود در سطح اول و دوم قرار دارد.

بنابراین گزارش دقیق نباید از عبارت «ایران قطعاً این حمله را انجام داده است» استفاده کند.

بهراد یوسفی | گزارش تحلیلی ۲۴ نیوز | ۱۷ اوت ۲۰۲۶

آنچه در این پرونده اهمیت دارد، نه صرفاً تلاش برای نفوذ به تلفن چند خبرنگار، بلکه استفاده از یک مدل کلاسیک عملیات اطلاعاتی در بستر دیجیتال است؛ مدلی که در آن «اعتماد» به ابزار دسترسی تبدیل می‌شود.

اگر روایت منتشرشده از سوی نهادهای امنیتی اسرائیلی صحیح باشد، مهاجم تلاش کرده است با قرار گرفتن در نقش یک خبرنگار، منبع، همکار یا فرد آشنا، مرز میان ارتباط واقعی و ارتباط ساختگی را از بین ببرد. این مسئله نشان می‌دهد که در عملیات‌های سایبری مدرن، اطلاعاتی که درباره یک هدف در فضای عمومی وجود دارد، می‌تواند به اندازه یک آسیب‌پذیری نرم‌افزاری برای مهاجم ارزشمند باشد.

نکته مهم‌تر، انتخاب خبرنگاران است. یک خبرنگار امنیتی صرفاً صاحب یک حساب کاربری نیست؛ او ممکن است به شبکه‌ای از منابع، مکاتبات و اطلاعاتی دسترسی داشته باشد که در مجموع برای یک بازیگر اطلاعاتی ارزش بسیار بیشتری از خود دستگاه قربانی دارند.

از این منظر، اگر انتساب مطرح‌شده از سوی اسرائیل صحیح باشد، با یک عملیات صرفاً «هکری» مواجه نیستیم؛ بلکه با یک عملیات جمع‌آوری اطلاعات با استفاده از ابزارهای سایبری روبه‌رو هستیم.

البته برای نسبت دادن قطعی این عملیات به ایران باید منتظر شواهد فنی مستقل ماند. در فضای جنگ سایبری، ادعای یک نهاد امنیتی درباره منشأ حمله، نقطه شروع تحلیل است، نه پایان آن.

جمع‌بندی

موج جدید فیشینگ علیه خبرنگاران اسرائیلی، در صورت صحت جزئیات اعلام‌شده، نمونه‌ای از پیوند میان جاسوسی، مهندسی اجتماعی و عملیات سایبری است.

در این مدل، مهاجم الزاماً به دنبال تخریب نیست؛ بلکه به دنبال داده، ارتباط و شناخت شبکه انسانی هدف است.

استفاده از هویت‌های جعلی، پیشنهاد مصاحبه و همکاری، ارسال محتوای اختصاصی و هدایت قربانی به صفحات جعلی، نشان می‌دهد که عملیات سایبری می‌تواند از یک گفت‌وگوی کاملاً معمولی آغاز شود.

اهمیت پرونده نیز دقیقاً در همین نقطه قرار دارد:

در جنگ سایبری، گاهی مسیر رسیدن به اطلاعات حساس از یک سرور یا مرکز داده عبور نمی‌کند؛ از یک گفت‌وگوی ظاهراً عادی عبور می‌کند.

و اگر ادعای شاباک درباره منشأ این عملیات صحیح باشد، پرونده جدید را باید نه صرفاً به‌عنوان «تلاش برای هک چند خبرنگار»، بلکه به‌عنوان نمونه‌ای دیگر از عملیات اطلاعاتی سایبری منتسب به ایران در میدان رسانه و سیاست اسرائیل بررسی کرد.

منابع اصلی

• گزارش Haaretz درباره کارزار فیشینگ علیه خبرنگاران
• وزارت دادگستری آمریکا – پرونده Handala و عملیات سایبری منتسب به MOIS
• Check Point Research – تحلیل Handala / Void Manticore
• Palo Alto Unit 42 – تحلیل فعالیت‌های Handala و فیشینگ
• Google Safety Center – توضیح Spear Phishing و حفاظت از حساب‌ها