Znikające kryptowaluty, blokada banku i brak internetu. To cyberwojna Izraela z Iranem

Wojna między Izraelem a Iranem to nie tylko działania zbrojne. Nie mniej istotnym frontem walki jest dziś przestrzeń wirtualna. Tam atakują wyspecjalizowani hakerzy, którzy przez amerykańskie media bywają nazywani "hiperagresywnymi" i "drapieżnymi".

Cyberwojna między dwoma państwami rozpoczęła się od udziału Izraela w stworzeniu i wdrożeniu złośliwego oprogramowania, które sabotowało irański program nuklearny. 

Predatory Sparrow uchodzi za jedną z najbardziej agresywnych grup hakerów walczących na frontach cyberwojen. Powszechnie uważa się, że jest powiązana z izraelskimi służbami wojskowymi lub wywiadowczymi. 

Od lat grupa przeprowadza starannie zaplanowane ataki na infrastrukturę krytyczną Iranu. M.in. sparaliżowała kolej czy dwukrotnie zablokowała systemy płatności na stacjach benzynowych, wywołując ogólnokrajowe braki paliwa.

Hakerzy przejęli również kontrolę nad systemami przemysłowymi w hucie stali w Chuzestanie leżącym w południowo-zachodnim Iranie i doprowadzili do wylania tysięcy litrów stopionej stali, co wywołało pożar i niemal zabiło pracowników zakładu. 

Nagranie z ataku grupa opublikowała na swoim koncie na YouTube.

W ostatnich dniach członkowie Predatory Sparrow przeprowadzili jeden z najbardziej destrukcyjnych cyberataków w historii – zniszczyli ponad 90 mln dolarów znajdujących się na irańskiej giełdzie kryptowalut Nobitex.

Predatory Sparrow występuje również pod perską nazwą Gonjeshke Darande. Aktywnie prowadzą swój profil na platformie X, gdzie informują o swoich działaniach. Atak na Nobitex tłumaczyli tym, że giełda umożliwia naruszanie sankcji oraz finansowanie terroryzmu na rzecz reżimu w Teheranie.

Cytowana przez WIRED firma zajmująca się analizą kryptowalut Elliptic podkreśla, że to bardzo rzadki przypadek, kiedy to cyberprzestępcy niszczą, a nie kradną kryptowaluty.

Predatory Sparrow zaatakowało również irański bank Sepah. 

Jak twierdzą członkowie grupy, pozbawili bank danych swoich klientów. Wskutek ataku strona internetowa banku jest od kilku dni zablokowana, a obywatele Iranu mają utrudniony dostęp do własnych pieniędzy. 

"Prawie każdy konflikt dziś obejmuje cyberataki – zarówno ze strony hakerów wspieranych przez państwa, jak i aktywistów. Ale pojawienie się w tej wojnie Predatory Sparrow sugeruje, że to dopiero początek. Konsekwencje mogą być poważne. To bardzo poważny i bardzo zdolny gracz [...] Wielu będzie grozić. Oni potrafią te groźby spełniać" – mówił w rozmowie z WIRED John Hultquist, główny analityk w zespole wywiadu zagrożeń Google i wieloletni obserwator działań tej grupy.

Iran nie pozostaje dłużny. 

Państwo sponsoruje działalność jednej z grup hakersko-aktywistycznych CyberAv3ngers. Ich celem są wodociągi, oczyszczalnie ścieków, firmy z branży paliw kopalnych oraz wiele innych elementów infrastruktury krytycznej.

Działalność grupy zagraża nie tylko izraelskiej infrastrukturze cyfrowej, ale też kluczowym systemom w USA i na całym świecie. Rząd Stanów Zjednoczonych wyznaczył nagrodę 10 mln dolarów za informacje prowadzące do ich ujęcia.

Grupa była aktywna od co najmniej 2020 roku, jednak ich działalność nabrała szczególnego znaczenia po ataku Hamasu 7 października 2023 roku. Wówczas CyberAv3ngers uzyskało dostęp do ponad 100 urządzeń izraelskiej firmy Unitronics – systemów sterowania przemysłowego powszechnie stosowanych w zakładach wodociągowych i kanalizacyjnych. 

W czasie ataków zmienili nazwy urządzeń na "Gaza" oraz wyświetlali swoje logo z Gwiazdą Dawida zatapiającą się w cyfrach. Na ekranie pojawiał się komunikat: "Zostaliście zhakowani. Precz z Izraelem".

Administracja Izraela w ostatnich dniach alarmowała, że irańscy hakerzy przejmują prywatne kamery monitoringu na terenie kraju, aby prowadzić działania szpiegowskie.

Rafael Franco, były zastępca dyrektora generalnego izraelskiego Narodowego Dyrektoriatu Cyberbezpieczeństwa ostrzegał na antenie publicznego radia, aby mieszkańcy Izraela zabezpieczyli swoje kamery hasłami lub całkowicie je wyłączyli. 

"Wiemy, że w ciągu ostatnich dwóch–trzech dni Irańczycy próbowali połączyć się z kamerami, by sprawdzić, co się wydarzyło i gdzie trafiły ich rakiety, aby poprawić celność" – mówił.

Gdy cyberwojna toczy się równolegle z tą konwencjonalną, nie potrzeba nawet hakerskich ataków, by internet zaczął działać na korzyść jednej ze stron. Ostatnio pisaliśmy o skali dezinformacji związanej z eskalacją działań na Bliskim Wschodzie. Ta w czasach sztucznej inteligencji jest wyjątkowo groźna – niekiedy niemożliwa do zweryfikowania przez zwykłych użytkowników.

BBC Verified zidentyfikowało dziesiątki fałszywych nagrań, z które zaledwie trzy zebrały łącznie ponad 100 milionów wyświetleń w różnych platformach społecznościowych. Równocześnie konta, które je udostępniają, zyskują setki tysięcy obserwatorów tygodniowo. 

Konta sympatyzujące z Izraelem udostępniają stare nagrania z protestów i zgromadzeń w Iranie. W materiałach błędnie sugerują, że pokazują one rosnący sprzeciw wobec irańskich władz i poparcie społeczeństwa dla izraelskiej ofensywy.

Z kolei sympatycy Iranu starają się przedstawić go jako potęgę militarną. W tym celu udostępniają fałszywe nagrania rzekomo przedstawiające skutki ataków na cele w Izraelu.

W cyberwojnie biorą udział również zwykli obywatele. I choć treści udostępniane w sieci mogą służyć do manipulacji ich poglądami, umożliwiają również organizację zbiorowych działań i manifestacji. Z tego też powodu Iran już kilkukrotnie zdecydował się na całkowite wyłączenie internetu dla ponad 80 mln mieszkańców kraju.

Pierwszy raz wydarzyło się to w 2019 roku. 

Wówczas celem było stłumienie protestów. W 2022 roku odcięto dostęp do WhatsAppa i Instagrama po śmierci 22-letniej Mahsy Amini w areszcie policyjnym. Każde takie odcięcie pozbawia ludzi informacji i wiąże się z ogromnymi stratami ekonomicznymi. 

Teraz Iran znów ogranicza dostęp do sieci, utrudniając obywatelom dostęp do informacji i kontakt z bliskimi, którzy mogą być w niebezpieczeństwie. Ostatnie problemy z łącznością zaczęły się 13 czerwca, kilka godzin po nalotach izraelskich sił powietrznych na cele w Iranie.

Ministerstwo Łączności oświadczyło, że w związku ze "szczególnymi warunkami", jakie panują w kraju, wprowadzono "czasowe ograniczenia". A rząd tłumaczy, że ograniczenia mają chronić przed cyberatakami.

Od tamtej pory w Iranie co kilka dni występują ograniczenia. Największe odnotowano w ubiegłą środę, kiedy łączność internetowa spadła o 90 proc. Ograniczenia obejmują również sieci komórkowe. 

Iran jednocześnie rozwija alternatywną sieć krajową – tzw. Narodową Sieć Informacyjną (NIN), która działa nawet podczas blackoutów, ale zawsze pod kontrolą rządu, który cenzuruje treści i kieruje użytkowników do irańskich aplikacji, powszechnie uznawanych za źle zabezpieczone.

Nie jest to jedyny przypadek, gdy sieć zostaje wyłączana w czasie trwania konfliktu. Takie działania monitoruje organizacja Access Now. Według jej danych liczba incydentów wzrosła drastycznie w trakcie ostatniej dekady. Najwięcej w historii, bo aż 296 takich wyłączeń miało miejsce w 2023 roku, m.in. w Mjanmie, Indiach, Rosji i Białorusi.

Blackouty służą najczęściej zduszaniu protestów, chęci kontroli narracji w czasie konfliktu i ograniczaniu możliwości gromadzenia się i komunikacji.