جيش الظل الإيراني الذي ينقل الحرب إلى قلب أوروبا

لم تعد الحروب السيبرانية تقتصر على اختراق الحسابات وسرقة البيانات أو تعطيل المواقع الإلكترونية، بل امتدت إلى استهداف المنشآت الحيوية والأجهزة المتصلة بالإنترنت، بما فيها أنظمة التبريد في المتاجر الكبرى.

وفي تطور لافت، وجدت فرنسا نفسها أمام هجوم إلكتروني واسع طال مئات المتاجر، وتسبب في إتلاف كميات ضخمة من المواد الغذائية، وسط اتهامات رسمية إيرانية المنشأ وضعت الحرس الثوري في دائرة المسؤولية، وأعادت تسليط الضوء على مجموعة قرصنة غامضة تعرف باسم "شهيد كاوه"، وتُعد إحدى أبرز الأذرع السيبرانية المرتبطة بالنظام الإيراني.

وفي تحقيق نشرته صحيفة لوفيغارو الفرنسية، الاثنين 9 نوفمبر/تشرين الثاني 2026، كشفت الصحيفة تفاصيل المجموعة المعروفة أيضا باسم سايبر أفندجرز/CyberAv3ngers وإنتلجنس تيم 13/Intelligence Team 13.

واستندت الصحيفة في ذلك إلى تقارير استخباراتية وأبحاث متخصصة في الأمن السيبراني، لتعرض طبيعة هيكلها التنظيمي وصلاتها بالحرس الثوري، فضلا عن سجل عملياتها التي امتدت من منشآت المياه والطاقة إلى أنظمة التبريد في أوروبا.

وأوضحت لوفيغارو تعرض نحو 700 منشأة تجارية فرنسية لهجوم إلكتروني يومي 11 و12 أكتوبر/تشرين الأول الماضي، استهدف أنظمة التبريد المتصلة بالإنترنت، وتسبب في إتلاف أطنان من الأغذية، فضلا عن تسجيل حوادث وُصفت بأنها "بدايات حرائق".

ولم تقتصر الهجمات على فرنسا، بل طالت دولا أوروبية أخرى، بينها بريطانيا وألمانيا وإيطاليا والبرتغال وهولندا.

وفي 9 نوفمبر/تشرين الثاني، أعلن وزير الخارجية الفرنسي جان نويل بارو أن السلطات باتت قادرة على تأكيد مسؤولية الحرس الثوري الإيراني عن الهجوم، قائلا: "إنها هجمة ذات نطاق غير مسبوق وعدوانية غير مسبوقة"، مضيفا أن باريس ستعمل على فرض عقوبات أوروبية على المسؤولين عنها.

كما أكد مكتب المدعي العام في باريس، الذي يتولى التحقيق عبر قسم الجرائم السيبرانية، الاشتباه في المجموعة الإيرانية، معلنا فتح تحقيق قضائي بشأن قائد مجموعة "شهيد كاوه".

ارتباط بالحرس الثوري
وتصف مؤسسة دومين تولز إنفستيغيشن/DomainTools Investigations المجموعة بأنها "واحدة من أكثر الوحدات عدوانية على المستوى العملياتي، والأكثر رسوخا من الناحية الأيديولوجية ضمن الترسانة السيبرانية للحرس الثوري الإيراني".

ودومين تولز إنفستيغيشن (DTI)، هي مبادرة بحثية مجتمعية تشرف عليها شركة دومين تولز/DomainTools وتركز على منع الهجمات القائمة على النطاقات ونظام أسماء النطاقات (DNS) والتخفيف من آثارها والتحقيق فيها.

أما وكالة الأمن السيبراني الأميركية CISA، فتضع شهيد كاوة ضمن فئة "التهديدات المستمرة المتقدمة"، وهي تسمية تطلق على الجهات المنظمة التي تمتلك قدرات تقنية متطورة وتستهدف البنى التحتية الحيوية للدول والمنظمات.

وتشير المعلومات التي أوردها التحقيق إلى أن المجموعة تخضع لإشراف حميد رضا لشغريان، المسؤول عن قيادة الحرب السيبرانية والإلكترونية في إيران وأحد قادة فيلق القدس، الذراع الخارجية للحرس الثوري.

وتنقسم المجموعة إلى جناحين رئيسيين: الأول هو إنتلحنس تيم 13، بقيادة رضا سالاروند، ويتولى جمع المعلومات وتحديد المنشآت الغربية المكشوفة على الإنترنت، ورصد الثغرات الأمنية في البرامج والحسابات المؤسسية.

أما الجناح الثاني، سايبر أفندجرز، فيمثل الذراع التنفيذية، ويتولى شن الهجمات الإلكترونية والإعلان عنها عبر تطبيق تليغرام، إلى جانب نشر مواد دعائية تمجد النظام الإيراني.

أيديولوجيا دينية وحرب نفسية
ولا تقتصر أهداف المجموعة على إلحاق أضرار تقنية بالخصوم، إذ تشير التقارير إلى اعتمادها إستراتيجية تجمع بين التخريب الإلكتروني والحرب النفسية، من خلال نشر صور الأضرار التي تتسبب بها، واستعراض عمليات اختراق الأنظمة، وإطلاق تهديدات قبل تنفيذ الهجمات.

وتوضح "دومين تولز" أن منشورات المجموعة تتضمن إشارات إلى "القومية الدينية" و"الشهداء" وخطابا مناهضا لإسرائيل، مما يعزز ارتباط عملياتها بالخطاب الأيديولوجي للحرس الثوري.

وحتى اسم شهيد كاوه يحمل دلالة رمزية، فهو مستوحى من محمد كاوه، أحد قادة الحرس الثوري الذين قتلوا خلال الحرب العراقية الإيرانية عام 1986، وكان يبلغ 25 عاما.

وبحسب المؤسسة البحثية، فإن استحضار مفهوم الشهادة يجعل المجموعة تقدم عملياتها السيبرانية باعتبارها امتدادا لمعركة تاريخية وروحية، وليس مجرد مهام تقنية.

من محطات المياه إلى ثلاجات فرنسا
وتعود أبرز الوثائق التي كشفت طبيعة نشاط المجموعة إلى عام 2021، عندما حصلت قناة "سكاي نيوز" البريطانية على 57 صفحة من تقارير أعدها فريق الاستخبارات التابع لها.

وتضمنت الوثائق دراسات تقنية عن شركة "فاغو/Wago" الألمانية المتخصصة في المكونات الكهربائية، وأنظمة التحكم في إضاءة المباني وتهويتها وتدفئتها، فضلا عن أنظمة الملاحة والاتصالات المستخدمة في النقل البحري.

وكانت التقارير تحمل تصنيف "سري للغاية"، في مؤشر على اهتمام المجموعة المبكر بالبنية التحتية الصناعية، وليس فقط بالشبكات المعلوماتية التقليدية.

ومنذ ظهورها عام 2020، أعلنت المجموعة مسؤوليتها عن هجمات استهدفت خوادم مرتبطة بشبكة السكك الحديدية الإسرائيلية، كما زعمت السيطرة على منشأة مائية إسرائيلية والتلاعب بإعداداتها.

وفي نوفمبر/تشرين الثاني 2023، اخترق قراصنتها نظاما للتحكم في مضخة مياه بمدينة أليكيبا في ولاية بنسلفانيا الأميركية، مما أدى إلى تعطيلها. وبين نوفمبر/تشرين الثاني 2023 ويناير/كانون الثاني 2024، جرى اختراق 75 جهازا في الولايات المتحدة، بينها 34 جهازا مرتبطا بقطاع معالجة المياه، وفقا لمكتب التحقيقات الفدرالي الأميركي (أف بي آي).

وامتدت العمليات إلى محطات الوقود والمنشآت المائية في دول عدة، كما كشفت شركة كلاروتي/ Claroty عام 2024 عن برمجية خبيثة إيرانية تحمل اسم آي أو كونترول/IOControl، صُممت لاستهداف الأجهزة المتصلة بالإنترنت، ومنها أجهزة التوجيه والكاميرات وأنظمة التحكم الصناعية وإدارة الوقود.

الذكاء الاصطناعي في خدمة القرصنة
ومن المؤشرات اللافتة على تطور نشاط المجموعة، وفقا للوفيغارو، استخدامها أدوات الذكاء الاصطناعي في دعم عملياتها التقنية.

ففي عام 2024، أعلنت شركة أوبن أي آي/ OpenAI حظر حسابات مرتبطة بمجموعة سايبر أفندجرز، بعدما تبين أنها استخدمت نماذجها في البحث عن الثغرات الأمنية، وتصحيح الأكواد البرمجية، وطلب المساعدة في كتابة النصوص البرمجية.

وقالت الشركة آنذاك إن الحسابات التابعة لهذا الطرف الخبيث استخدمت نماذجها لأغراض مرتبطة بتطوير قدراتها التقنية في مجال الاختراق.

وخلال العام الحالي، تصاعدت أنشطة المجموعة، بحسب التحقيق، لتشمل شركات صناعية كبرى مثل روكويل/Rockwell وشنايدر إلكتريكس/Schneider Electric وسيمنس/Siemens، فضلا عن منشآت غذائية وعسكرية أمريكية شهدت أعطالا في أنظمة التبريد خلال أغسطس/آب الماضي.

كما أشار التحقيق إلى احتمال استهداف مؤسسة الدم الفرنسية في 3 نوفمبر/تشرين الثاني، بعدما شهدت بعض معدات التبريد التابعة لها ارتفاعا حادا في درجات الحرارة.

وتكشف الوقائع التي استعرضتها لوفيغارو أن الهجوم على ثلاجات المتاجر الفرنسية لا يمكن النظر إليه باعتباره حادثة تقنية معزولة، بل يمثل نموذجا لتطور طبيعة التهديدات السيبرانية التي تستهدف الحياة اليومية والبنية التحتية المدنية.

فالمجموعة التي يُشتبه في ارتباطها بالحرس الثوري لا تسعى فقط إلى اختراق الأنظمة وسرقة المعلومات، وإنما إلى إحداث أضرار مادية مباشرة وإثارة القلق وإظهار هشاشة المنشآت الحيوية أمام الهجمات الرقمية.

وبينما تتجه فرنسا إلى المساءلة القضائية والعقوبات الأوروبية، تبرز القضية باعتبارها اختبارا جديدا لقدرة الدول الغربية على حماية منشآتها المدنية من حروب خفية لم تعد ساحاتها محصورة خلف شاشات الحواسيب، بل باتت تمتد إلى المتاجر ومحطات المياه ومرافق الطاقة والغذاء.