حمله سایبری منتسب به ایران؛ یک نیروگاه در بریتانیا ۴ روز از کار افتاد
گزارشها از حمله سایبری منتسب به ایران به یک تأسیسات کوچک انرژی بریتانیا خبر میدهند؛ این نیروگاه ۴ روز از کار افتاد اما شبکه برق آسیب ندید.
گزارش تازه رسانههای بریتانیایی از یک حمله سایبری منتسب به ایران خبر میدهد که طی آن یک تأسیسات کوچک تولید انرژی در بریتانیا برای چهار روز از مدار خارج شده است؛ حادثهای که اگرچه هیچ اثری بر شبکه سراسری برق این کشور نداشت، اما از یک تغییر مهم در ماهیت تهدیدهای سایبری علیه زیرساختهای غربی خبر میدهد.
بر اساس گزارشی که ابتدا توسط رسانه بریتانیایی The Telegraph منتشر شد و سپس رسانههای دیگری آن را بازتاب دادند، یک تأسیسات کوچک تولید برق در بریتانیا در ماه گذشته هدف حملهای قرار گرفت که به هکرهای مرتبط با ایران نسبت داده شده است.
در پی این حمله، فعالیت تأسیسات برای چهار روز متوقف شد و کارکنان برای بازگرداندن سامانهها به وضعیت عادی تلاش کردند.
با این حال، برخلاف برخی تیترهای رسانهای، شبکه برق بریتانیا خاموش نشد و هیچ اختلال گستردهای در تأمین برق کشور به وجود نیامد.
مقامهای بریتانیایی تأکید کردهاند که تأسیسات هدف بسیار کوچک بوده و حادثه هیچ تهدیدی برای سیستم انرژی گسترده این کشور ایجاد نکرده است. نام این تأسیسات نیز به دلایل امنیتی اعلام نشده است.
حملهای که بیشتر از «خاموشی»، پیام داشت
اهمیت این پرونده در میزان برق از دسترفته نیست.
اگر هدف یک نیروگاه کوچک باشد و حادثه هم به شبکه ملی سرایت نکند، اثر مستقیم آن بر زندگی مردم بریتانیا بسیار محدود خواهد بود.
اما مسئله امنیت سایبری در سطح دیگری قرار دارد.
در این حادثه، بر اساس گزارشهای منتشرشده، یک بازیگر منتسب به ایران توانسته است به سامانههای یک تأسیسات انرژی دسترسی پیدا کند و فعالیت عملیاتی آن را برای چند روز مختل کند.
این تفاوت مهمی است.
سرقت اطلاعات یک چیز است؛ ایجاد اختلال در یک فرایند فیزیکی چیز دیگری.
در حملات معمول سایبری، مهاجم ممکن است اطلاعات را سرقت کند، حسابهای کاربری را تصاحب کند یا فایلها را رمزگذاری کند. اما در زیرساختهای صنعتی، دسترسی به سامانههای کنترل میتواند در شرایط خاص به توقف واقعی یک فرایند فیزیکی منجر شود.
همین نقطه است که حادثه بریتانیا را از یک خبر معمول هکری جدا میکند.
آیا ایران واقعاً برق بریتانیا را قطع کرد؟
خیر؛ چنین برداشتی دقیق نیست.
گزارشهای منتشرشده درباره از کار افتادن یک تأسیسات کوچک انرژی صحبت میکنند، نه خاموشی شبکه برق بریتانیا.
مقامهای این کشور نیز گفتهاند هیچ خطری متوجه شبکه گسترده انرژی نبوده است. یک گزارش، تأسیسات هدف را آنقدر کوچک توصیف کرده که ظرفیت آن در مقایسه با کل شبکه بریتانیا عملاً ناچیز بوده است.
بنابراین عبارتهایی مانند «ایران برق بریتانیا را قطع کرد» یا «ایران شبکه برق انگلیس را هک کرد» از نظر فنی دقیق نیستند.
اما این واقعیت نیز نباید باعث شود اصل حادثه کماهمیت جلوه داده شود:
گزارشها میگویند یک واحد واقعی تولید انرژی برای چهار روز از فعالیت بازمانده است.
چرا این اتفاق برای امنیت سایبری مهم است؟
زیرساخت انرژی مدرن فقط مجموعهای از ژنراتورها و کابلها نیست.
نیروگاهها و تأسیسات انرژی امروزی به شبکهای از تجهیزات دیجیتال، سیستمهای کنترل صنعتی، حسگرها، رابطهای مدیریتی و سامانههای نظارت و کنترل متکی هستند.
این فناوریها در حوزهای قرار میگیرند که با عنوان Operational Technology یا OT شناخته میشود.
در محیط IT، هدف مهاجم ممکن است داده باشد.
در محیط OT، هدف میتواند خود فرایند فیزیکی باشد.
برای همین، حتی یک حمله محدود به یک تأسیسات کوچک میتواند از دید متخصصان امنیت زیرساخت مهم باشد؛ زیرا نشان میدهد مسیر میان دسترسی دیجیتال و اثر فیزیکی در حال کوتاهتر شدن است.
آیا این حمله به CyberAv3ngers مربوط است؟
در حال حاضر هیچ مدرک عمومی کافی برای نسبت دادن این حادثه بریتانیا به CyberAv3ngers منتشر نشده است.
این نکته باید جدی گرفته شود.
CyberAv3ngers یک گروه/هویت سایبری منتسب به ایران است که سابقه هدف قرار دادن تجهیزات کنترل صنعتی را دارد. در یک هشدار مشترک، CISA و دیگر نهادهای آمریکایی این بازیگران را به فعالیت علیه PLCها و HMIهای مورد استفاده در بخشهایی مانند آب، فاضلاب و انرژی مرتبط دانستهاند. همان هشدار همچنین به هدف قرار گرفتن PLCهایی در بریتانیا اشاره میکند.
اما این سابقه بهتنهایی ثابت نمیکند که همان گروه در حمله اخیر به تأسیسات انرژی بریتانیا نقش داشته است.
بنابراین در این گزارش از عبارت «هکرهای منتسب به ایران» استفاده میکنیم و نه نام بردن قطعی از یک گروه مشخص.
یک سابقه مهم: هشدارهای قبلی درباره زیرساختهای بریتانیا
این حادثه در شرایطی منتشر شده که خود بریتانیا طی ماههای گذشته بارها درباره تهدید بازیگران دولتی علیه زیرساختهای حیاتی هشدار داده است.
ریچارد هورن، مدیرعامل مرکز ملی امنیت سایبری بریتانیا، در ژوئن ۲۰۲۶ اعلام کرد که NCSC طی یک سال بیش از ۲۰۰ حادثه سایبری را در سازمانهای مرتبط با زیرساخت حیاتی و اکوسیستم پشتیبان آنها مدیریت کرده است.
حدود ۷۵ درصد این حوادث به بازیگران دولتی نسبت داده شدهاند.
NCSC در میان تهدیدهای اصلی، روسیه، چین و ایران را نام برده است.
این آمار نشان میدهد که حتی پیش از انتشار خبر مربوط به نیروگاه، زیرساختهای بریتانیا در معرض حجم قابل توجهی از فعالیتهای سایبری دولتمحور قرار داشتهاند.
بریتانیا خودش از قبل برای چنین حملاتی آماده میشد
نکته قابل توجه دیگر این است که بریتانیا پیش از انتشار این خبر، برنامه تقویت امنیت سایبری بخش انرژی خود را نیز توسعه داده بود.
دولت بریتانیا در ماه مه ۲۰۲۶ یک راهبرد امنیت سایبری بخش انرژی منتشر کرد که هدف آن افزایش توان پیشگیری، شناسایی، پاسخ و بازیابی در برابر حملات سایبری پیچیده علیه سیستم انرژی این کشور است.
این برنامه همچنین بر ایجاد تواناییهای جدید برای شناسایی مهاجمان، آزمایش دفاع سایبری و افزایش تابآوری شرکتهای انرژی تأکید دارد.
در ۵ اوت نیز دولت بریتانیا اعلام کرد که در حال پیشبرد الزامات پایه امنیت سایبری برای شرکتهای فعال در بخش گاز و برق است.
به عبارت دیگر، خبر اخیر در شرایطی منتشر شده که خود لندن نیز در حال بازنگری در مدل دفاع سایبری زیرساخت انرژی خود است.
همزمانی با حملات زیرساختی در آمریکا
یکی از بخشهای قابل توجه گزارش، همزمانی این حادثه با مجموعهای از حملات سایبری علیه زیرساختهای آب و فاضلاب آمریکا است.
گزارشهای منتشرشده از حملاتی علیه تأسیسات آب در ۱۲ ایالت آمریکا خبر دادهاند؛ حملاتی که در برخی موارد باعث اختلال عملیاتی، کاهش فشار آب و صدور هشدارهای مربوط به آب آشامیدنی شدند.
این فعالیتها نیز به بازیگران مرتبط با ایران نسبت داده شدهاند.
در اینجا باید میان همزمانی و هماهنگی قطعی تفاوت گذاشت.
در حال حاضر نمیتوان با اطمینان گفت که حمله بریتانیا و حملات آمریکا بخشی از یک عملیات واحد بودهاند.
اما قرار گرفتن آنها در یک بازه زمانی مشابه، همراه با سابقه فعالیت بازیگران منتسب به ایران علیه فناوریهای OT، ارزش بررسی بیشتری دارد.
ایران و میدان نبرد جدید؛ زیرساختهای دیجیتال
در سالهای اخیر، فضای سایبری به یکی از میدانهای مهم تقابل میان دولتها تبدیل شده است.
مزیت چنین عملیاتهایی برای یک بازیگر دولتی روشن است: هزینه ورود به میدان سایبری میتواند بسیار کمتر از عملیات نظامی مستقیم باشد و در عین حال امکان ایجاد اختلال، ارسال پیام بازدارنده یا نمایش توانایی وجود دارد.
در مورد حادثه بریتانیا نیز هنوز مشخص نیست هدف نهایی مهاجمان چه بوده است.
ممکن است هدف، ایجاد خسارت واقعی بوده باشد.
ممکن است عملیات برای اثبات دسترسی و توانایی انجام شده باشد.
یا حتی ممکن است این حادثه بخشی از عملیات گستردهتر شناسایی و دسترسی به زیرساختهای غربی بوده باشد.
تا زمانی که شواهد فنی بیشتری منتشر نشود، هیچکدام از این سناریوها را نمیتوان قطعی دانست.
اما یک واقعیت از گزارش فعلی باقی میماند: یک تأسیسات انرژی کوچک در بریتانیا طبق گزارشها توانسته نشده است بهصورت عادی کار کند و بازیگران مرتبط با ایران در مظان اتهام قرار گرفتهاند.
چرا تأسیسات کوچک هم اهمیت دارند؟
کوچک بودن تأسیسات به معنی بیاهمیت بودن آن از منظر امنیت سایبری نیست.
برای یک مهاجم، یک تأسیسات کوچک میتواند محیط مناسبی برای آزمودن روشهای نفوذ، شناسایی فناوریهای مورد استفاده یا اثبات توانایی عملیاتی باشد.
از سوی دیگر، مدافعان نیز میتوانند از چنین حوادثی برای شناسایی نقاط ضعف استفاده کنند.
به همین دلیل، ارزش اصلی این پرونده ممکن است نه در چهار روز توقف یک واحد کوچک، بلکه در اطلاعاتی باشد که مهاجم یا مدافع از این حادثه به دست آورده است.
یک نکته مهم درباره ادعاهای رسانههای غربی
بخش قابل توجهی از اطلاعات فعلی این پرونده از رسانهها منتشر شده و هنوز گزارش فنی عمومی درباره مسیر نفوذ، بدافزار، تجهیزات هدف یا شاخصهای فنی حمله ارائه نشده است.
NCSC نیز درباره خود حادثه اظهارنظر مشخصی نکرده است.
بنابراین در شرایط فعلی، میان سه سطح باید تفاوت گذاشت:
| سطح | وضعیت |
|---|---|
| وقوع اختلال در یک تأسیسات کوچک انرژی | 🟠 گزارششده |
| ارتباط مهاجمان با ایران | 🟠 گزارش رسانهای |
| انتساب فنی قطعی به یک گروه ایرانی | 🔴 تأیید نشده |
| خاموشی شبکه ملی بریتانیا | ❌ رخ نداده |
| آسیب به تأمین برق عمومی | ❌ گزارش نشده |
| اثرگذاری عملیاتی روی یک تأسیسات | 🟠 گزارششده |
این تفکیک برای جلوگیری از بزرگنمایی خبر اهمیت زیادی دارد.
آیا این یک موفقیت بزرگ سایبری برای ایران است؟
از نظر مقیاس عملیاتی، خیر.
یک تأسیسات کوچک که چهار روز از مدار خارج شده، نمیتواند با حمله به شبکه ملی برق قابل مقایسه باشد.
اما از نظر اثبات قابلیت دسترسی و ایجاد اثر عملیاتی، این پرونده میتواند مهم باشد.
اگر جزئیات فنی در آینده ارتباط مهاجمان با ایران را تأیید کند، این حادثه میتواند نمونهای قابل توجه از توانایی یک بازیگر منتسب به ایران برای عبور از مرز میان فضای سایبری و عملیات فیزیکی باشد.
این دقیقاً همان بخشی است که باید مورد توجه مدیران امنیت زیرساخت قرار گیرد.
جمعبندی؛ ایران برق بریتانیا را خاموش نکرد، اما زنگ هشدار را به صدا درآورد
گزارش تازه درباره حمله سایبری منتسب به ایران به یک تأسیسات انرژی بریتانیا، برخلاف برخی تیترهای هیجانی، به معنی خاموش شدن شبکه برق این کشور نیست.
یک تأسیسات کوچک هدف قرار گرفته و طبق گزارشها چهار روز از مدار خارج شده است.
شبکه ملی برق بریتانیا تحت تأثیر قرار نگرفته و دولت این کشور نیز گفته است که خطری متوجه سیستم گسترده انرژی نبوده است.
اما از منظر امنیت سایبری، همین حادثه یک پیام مهم دارد:
مهاجمان دولتی دیگر فقط به دنبال سرقت اطلاعات نیستند؛ زیرساختهای فیزیکی نیز به بخشی از میدان رقابت سایبری تبدیل شدهاند.
و برای ایران نیز این پرونده از زاویه دیگری اهمیت دارد؛ زیرا نشان میدهد فعالیتهای سایبری منتسب به بازیگران ایرانی در روایت رسانههای غربی اکنون بیش از گذشته با موضوع زیرساخت حیاتی، OT و توان ایجاد اختلال عملیاتی گره خورده است.
با این حال، تا زمان انتشار شواهد فنی و تأیید رسمی، بهتر است از تبدیل این گزارش به ادعای قطعی درباره عامل حمله خودداری شود.
فعلاً چیزی که میدانیم این است: یک تأسیسات انرژی کوچک در بریتانیا برای چهار روز از کار افتاده؛ و رسانههای بریتانیایی، مهاجمان را به ایران مرتبط میدانند.
