آمریکا برای جنگ با ایران آماده است، اما با هکرهای ایرانی نه | چرا ثروتمندترین کشور جهان قادر به دفاع از زیرساخت‌های حیاتی خود نیست؟

در ماه مارس، دونالد ترامپ تهدید کرد تأسیسات آب‌شیرین‌کن ایران را «به‌طور کامل نابود کند؛ شاید همه آنها را». این تأسیسات برای زندگی در استان‌های خشک جنوبی ایران حیاتی‌اند. ایران می‌گوید یکی از این تأسیسات در جزیره قشم بمباران شده است. بحرین، کویت و امارات متحده عربی نیز گفته‌اند تأسیسات آبی‌شان با موشک‌هایی که گمان می‌رود از سوی ایران شلیک شده باشد، هدف قرار گرفته است.

در چنین شرایطی، حمله به تأسیسات آبی خود آمریکا در تابستان امسال اتفاقی قابل توجه بود، اما نباید غافلگیرکننده تلقی می‌شد.

در ۲۷ ژوئیه، شهر «میپل پلین» در نزدیکی مینیاپولیس وضعیت اضطراری اعلام کرد. همان روز، شرکت آب «کلایتون کانتی» در جورجیا که به ۳۰۰ هزار نفر در جنوب آتلانتا خدمات ارائه می‌دهد، پس از افت فشار و اختلال در شبکه، از مردم خواست آب را پیش از مصرف بجوشانند.

در مجموع، هکرها به تأسیسات آب و فاضلاب در دست‌کم هفت ایالت آمریکا نفوذ کردند؛ برخی گزارش‌ها این رقم را بیش از ۱۲ ایالت اعلام کرده‌اند. مینه‌سوتا بیشترین آسیب را دید و ۳۰ سامانه آب‌رسانی محلی در آن تحت تأثیر قرار گرفتند. ارزیابی‌های اولیه مقام‌های آمریکایی حاکی از آن است که گروه‌های وابسته به ایران مسئول این حملات بوده‌اند.

هک سامانه‌های آب می‌تواند هم جریان آب را مختل کند و هم آن را برای نوشیدن ناامن سازد؛ هرچند تصور نمی‌شود حملات اخیر به چنین سطحی رسیده باشند.

پرسش اینجاست که آیا سیاستمداران آمریکا سرانجام پیش از موج بعدی حملات، برای بازدارندگی هکرها اقدامی جدی خواهند کرد یا نه.

در ۱۳ اوت، ایمی کلوبشار و آدام شیف، دو سناتور دموکرات، «قانون سپر سایبری آب» را ارائه کردند که از جمله اختیارات بیشتری برای آژانس حفاظت از محیط‌زیست آمریکا، EPA، در نظر می‌گیرد. با این حال، سرنوشت این طرح روشن نیست.

بودجه پیشنهادی ترامپ که قرار است سنا در ماه سپتامبر آن را بررسی کند، بزرگ‌ترین منبع مالی EPA برای امنیت سایبری زیرساخت‌های آبی را تقریباً ۹۰ درصد کاهش می‌دهد. چرا شبکه آب آمریکا این‌قدر آسیب‌پذیر است؟

بیشتر بخوانید: آیا ایران پشت حملات سایبری به سامانه‌های آب آمریکاست؟

تأسیسات آب تنها زیرساخت‌های در معرض خطر نیستند، اما نفوذ به آنها به‌ویژه آسان است.

شبکه برق آمریکا موظف به رعایت استانداردهای امنیت سایبری زیر نظر کمیسیون فدرال تنظیم مقررات انرژی است. اما برای تأسیسات آب چنین الزامات سراسری‌ای وجود ندارد.

شرکت‌های برق همچنین بزرگ‌تر، ثروتمندتر و به‌شدت تحت نظارت‌اند. بزرگ‌ترین شرکت‌های برق خصوصی، مانند PG&E در کالیفرنیا و Duke Energy در جنوب‌شرق و غرب میانه آمریکا، به میلیون‌ها خانوار برق‌رسانی می‌کنند.

اما آب، به دلیل وزن بالا و هزینه انتقال، ماهیتی بسیار محلی‌تر دارد. حدود ۹۰ درصد شرکت‌های آب‌رسانی آمریکا، که عمدتاً در مالکیت دولت‌های محلی هستند، هرکدام کمتر از ۱۰ هزار نفر را پوشش می‌دهند.

یعنی پول کمتری برای امن‌سازی سامانه‌های رایانه‌ای غالباً قدیمی خود در اختیار دارند.

در واقع، زیرساخت آب آمریکا پیش از این هم نشان داده بود که آمادگی کافی برای دفع حملات ندارد.

در سال ۲۰۱۳، هکرهای ایرانی به سامانه کنترل یک سد کوچک در نیویورک نفوذ کردند؛ حادثه‌ای که تقریباً سه سال گزارش نشد. در سال ۲۰۲۳ نیز هکرها کنترل یک پمپ در تأسیسات آب ایالت پنسیلوانیا را در دست گرفتند. ایران، چین و حتی کارمند مست

بیشتر بخوانید: از باروت تا باینری؛ تولد جنگ در بعد پنجم | خشن‌تر، بی‌چهره‌تر، غیرانسانی‌تر

اکونومیست مدعی است که هکرهای ایرانی بسیار فعال‌اند. در ۱۸ اوت، دادستان‌های فدرال آمریکا ۱۷ ایرانی را به حمله به سامانه‌های دانشگاه‌ها و شرکت‌ها با هدف سرقت تحقیقات و مالکیت فکری متهم کردند.

هم‌زمان، یک کارزار گسترده چینی با نام «Volt Typhoon» تلاش کرده در زیرساخت‌های حیاتی آمریکا نفوذ کند تا در صورت لزوم برای عملیات خرابکارانه آماده باشد.

اما برای نفوذ به برخی از این سامانه‌ها حتی به مهارت زیادی هم نیاز نیست.

در سال ۲۰۱۹، یک کارمند سابق یک منطقه آب‌رسانی در ناحیه‌ای روستایی در کانزاس، با استفاده از اطلاعات ورود قدیمی خود وارد یک نرم‌افزار شد و فرایندهای پاکسازی را متوقف کرد.

او مدعی شد هنگام انجام این کار مست بوده است؛ موضوعی که اگر درست باشد، شاهد دیگری بر آسان بودن نفوذ به سامانه‌های آب است.

دو سال بعد، هکرها کنترل یک تأسیسات آب در «اولدزمار» فلوریدا را در دست گرفتند و تلاش کردند با افزایش میزان «سدیم هیدروکسید» ــ ماده‌ای که در پاک‌کننده‌های لوله فاضلاب استفاده می‌شود ــ آب را مسموم کنند.

این تلاش شکست خورد، اما هکرها به‌سادگی توانسته بودند وارد سامانه شوند؛ چراکه رایانه یکی از اپراتورها نرم‌افزار TeamViewer را اجرا می‌کرد؛ ابزار رایج شرکتی که امکان دسترسی از راه دور برای پشتیبانی فناوری اطلاعات را فراهم می‌کند. نفوذهای اخیر پیچیده نبودند

نشریه اکونومیست می نویسد: حملات اخیر نیز نسبتاً ساده بودند.

هکرها به سامانه‌های «فناوری عملیاتی» یا Operational Technology نفوذ کردند؛ سامانه‌هایی که واسط میان شبکه رایانه‌ای و تجهیزات فیزیکی هستند.

برای چنین حمله‌ای هیچ نبوغ فنی خاصی لازم نبود. این سامانه‌ها اغلب از طریق شبکه‌های تلفن همراه به اینترنت عمومی متصل‌اند و اگر اصلاً رمز عبوری داشته باشند، گاهی از رمزهای بسیار ضعیف استفاده می‌کنند.

در ۳۰ ژوئیه، FBI از شرکت‌های آب‌رسانی خواست سامانه‌های حیاتی را از اینترنت جدا کنند و رمزهای عبور سخت و غیرقابل حدس انتخاب کنند. تلاش‌های قبلی برای قانون‌گذاری شکست خورد

تلاش‌های قبلی برای تحمیل استانداردهای امنیت سایبری بر این شبکه پراکنده، عمدتاً شکست خورده‌اند.

در دوران دولت جو بایدن، EPA تلاش کرد ایالت‌ها را وادار کند تهدیدهای سایبری علیه سامانه‌های آب را بررسی و گزارش کنند.

اما دادستان‌های کل جمهوری‌خواه ایالت‌های میزوری، آرکانزاس و آیووا همراه با «انجمن آثار آب آمریکا» و «انجمن ملی آب روستایی» از دولت شکایت کردند و این اقدام را دخالت بیش از حد دولت فدرال دانستند.

پس از آنکه یک دادگاه فدرال اجرای طرح EPA را متوقف کرد، این نهاد عقب‌نشینی کرد.

وقتی کنگره نیز وارد عمل شده، اقدامات محدود و بسیار کند بوده‌اند.

«قانون گزارش حوادث سایبری برای زیرساخت‌های حیاتی» در سال ۲۰۲۲ تصویب شد و سازمان‌ها در بخش‌های مهم را ملزم می‌کرد حملات سایبری بزرگ را ظرف ۷۲ ساعت گزارش کنند.

اما مقررات اجرایی آن قرار است در سپتامبر نهایی شود؛ بیش از چهار سال پس از تصویب قانون. آیا این بار واشنگتن جدی‌تر عمل می‌کند؟

اکنون شاید انگیزه بیشتری برای اقدام وجود داشته باشد.

این ماه، گروه DEF CON Franklin، متشکل از هکرهایی با رویکرد مدنی، با انجمن ملی آب روستایی همکاری کرد تا «مرکز Water Watch» را راه‌اندازی کند؛ ابتکاری برای ارائه پشتیبانی امنیت سایبری بخش خصوصی به شرکت‌های کوچک آب‌رسانی.

طرح کلوبشار و شیف نیز تنها پیشنهاد موجود نیست.

در ۵ اوت، انجمن AWWA که با پیشنهادهای دولت بایدن مخالفت کرده بود، از «قانون تأسیس سازمان ریسک و تاب‌آوری آب» حمایت کرد؛ طرحی که ریک کرافورد، نماینده جمهوری‌خواه آرکانزاس، ارائه کرده است.

این طرح یک نهاد مستقل ایجاد می‌کند که زیر نظر EPA حداقل استانداردهای امنیت سایبری را تعیین خواهد کرد؛ تقریباً مشابه الزامات موجود برای شرکت‌های برق.

در همان روز، تام کاتن، سناتور جمهوری‌خواه، در نامه‌ای به اسکات بسنت، وزیر خزانه‌داری، خواستار تغییرات مالیاتی و مقرراتی شد تا تأسیسات آب به سرمایه‌گذاری بیشتر در امنیت تشویق شوند. بودجه جنگ بالا می‌رود، بودجه دفاع از آب نه

اینکه واشنگتن با چه سرعتی حرکت کند، تا حد زیادی به ترامپ بستگی دارد. رئیس‌جمهور می‌خواهد بودجه وزارت جنگ را ۴۴ درصد افزایش دهد و به ۱.۵ تریلیون دلار برساند. این بودجه شامل هزینه‌های جنگ ایران و سامانه پیشرفته «گنبد طلایی» برای دفاع از آمریکا در برابر موشک‌هاست.

اما ترامپ علاقه بسیار کمتری به دفاع از آب آمریکا نشان داده است.

او در ماه ژوئیه تلویحاً مسئولیت حمله مینه‌سوتا را متوجه تیم والز، فرماندار «فاسد» این ایالت، دانست و حتی اصل ایرانی بودن حمله را زیر سؤال برد.

ترامپ گفت: «ایران مشکلات بزرگ‌تری دارد تا اینکه نگران مینه‌سوتا باشد.»

آژانس امنیت سایبری و امنیت زیرساخت‌ها، CISA، که اصلی‌ترین نهاد فدرال مسئول دفاع سایبری است، از زمان بازگشت ترامپ به کاخ سفید با آشفتگی مدیریتی روبه‌رو بوده و یک‌سوم نیروی انسانی خود را از دست داده است.

سنا ممکن است پس از بازگشت از تعطیلات و هنگام بررسی پیشنهادهای بودجه‌ای گسترده‌تر ترامپ در سپتامبر، او را برای اقدامات بیشتر تحت فشار قرار دهد.

اما هکرها احتمالاً منتظر تصمیم واشنگتن نخواهند ماند.