تحقيقات تكشف وقوف الاستخبارات الإيرانية وراء اختراق مترو لوس أنجلوس

مقدمة تحليلية

في تصعيد سيبراني جديد يعكس تداخل الملفات الجيوسياسية مع أمن البنى التحتية المدنية، كشفت تقارير استخباراتية وفنية حديثة صدرت في مايو 2026 عن وقوف جهات سيادية إيرانية وراء الهجوم الرقمي الواسع الذي شل حركة هيئة النقل بمقاطعة لوس أنجلوس (LACMTA) في مارس الماضي. الهجوم الذي استغرق تعافي الأنظمة منه عدة أسابيع كاملة، تم تبنيه في البداية من قبل جماعة هجينة تطلق على نفسها اسم 'أبابيل من ميناب' (Ababil of Minab)، كجزء من تكتيك التمويه وحرب الوكالة الرقمية.

التحقيقات الأمنية التي قادتها شركة الأمن السيبراني الإسرائيلية (Gambit Security) ونشرت تفاصيلها وكالة رويترز، أشارت بوضوح إلى أن هذه الجماعة ليست كياناً مستقلاً لنشطاء 'الهكتفيزم' (Hacktivism) كما روجت لنفسها، بل هي واجهة تشغيلية مباشرة تابعة لوزارة الاستخبارات والأمن الوطني الإيرانية (MOIS). يمثل هذا الاختراق نقطة تحول مقلقة في طبيعة الاستهدافات الجيوسياسية، حيث لم يعد الهدف مجرد التجسس أو جمع المعلومات الاستخباراتية، بل تعطيل الخدمات الحيوية اليومية للمواطنين في المدن الكبرى.

يأتي هذا الإعلان في سياق تزايد حدة الصراع العسكري والسياسي في الشرق الأوسط ومشاركة الولايات المتحدة في توجيه ضربات لعمق الأراضي الإيرانية في وقت سابق من هذا العام. تظهر هذه العملية كيف تحولت الشبكات الخدمية ومترو الأنفاق في المدن الغربية الكبرى إلى ساحة ردود فعل انتقامية غير متكافئة، تُستخدم فيها أسلحة المسح والتخريب الرقمي لإنتاج آثار مادية واقتصادية ملموسة دون التسبب في مواجهة عسكرية مباشرة.

التحليل التقني

تعتمد المجموعات التابعة لوزارة الاستخبارات الإيرانية (MOIS) على منهجية فنية معقدة في تنفيذ عمليات 'الراية المزيفة' (False Flag). تبدأ الهجمات عادة باختراق الشبكات الطرفية للمؤسسات المستهدفة، تليها عمليات استطلاع واسعة النطاق لامتيازات النظام للوصول إلى خوادم النسخ الاحتياطي والتحكم الأساسي بالأنظمة التشغيلية. في حالة هيئة نقل لوس أنجلوس (LACMTA)، تضمن الهجوم مسحاً كاملاً لقواعد البيانات الحيوية لضمان تعطيل القدرة على استعادة النظام بشكل سريع ومستقر.

على الرغم من أن تفاصيل الثغرات الأمنية المحددة أو أرقام (CVEs) التي استُغلت في الاختراق الأولي وتفاصيل الفدية تعتبر حالياً بيانات غير متوفرة في التقرير الفني المتاح، إلا أن أسلوب التسلل وحذف البيانات يتبع نمطاً متكرراً تم رصده في حملات إيرانية سابقة. تضمنت الأدلة الجنائية الرقمية التي فحصتها (Gambit Security) بالتعاون مع المديرية الوطنية للأمن السيبراني في إسرائيل النقاط الفنية التالية:

• تشابه البنية التحتية للخوادم والتحكم (C2 Servers) المستخدمة من قبل 'أبابيل من ميناب' مع حملات تخريبية سابقة تم ربطها بوزارة الاستخبارات الإيرانية.
• استخدام برمجيات مسح متطورة (Wipers) قادرة على إتلاف سجلات الإقلاع الرئيسية (MBR) وحذف النسخ الاحتياطية الظلية لويندوز لمنع الاسترجاع السهل للبيانات والملفات الممسوحة.
• توجيه العمليات التخريبية بناءً على قائمة أهداف شملت شركات وبنى تحتية حيوية في دول مثل إسرائيل والمملكة العربية السعودية وتركيا، باستخدام نفس التكتيكات البرمجية المسجلة لدى الأجهزة الاستخباراتية.

تحليل سلوك جماعة 'أبابيل من ميناب' يربطها مباشرة بمجموعات تخريبية أخرى مدعومة حكومياً مثل 'Handala'. هذه المجموعة الأخيرة استهدفت في مارس 2026 عملاق الأجهزة والتقنيات الطبية الأمريكي (Stryker)، حيث قامت بمسح آلاف الأجهزة والأنظمة التشغيلية للموظفين، مما استدعى تدخل وزارة العدل الأمريكية ومكتب التحقيقات الفيدرالي (FBI) لضبط خوادمها وإصدار بيانات اتهام رسمية للحكومة الإيرانية بتشغيل هذه الكيانات الوهمية لتجنب التبعات القانونية الدولية.

السياق وتأثير السوق

لا يمكن قراءة هجوم لوس أنجلوس بمعزل عن التصعيد العسكري والسياسي العام بين واشنطن وطهران. فقد حذر ائتلاف من الوكالات الأمنية الأمريكية في أبريل الماضي من أن القراصنة الإيرانيين كثفوا جهودهم بشكل منهجي لاستهداف البنية التحتية الأمريكية الحيوية، بما في ذلك قطاعات النقل، والمياه، والطاقة، والرعاية الصحية. ويمثل هذا التوجه مرحلة جديدة من الحروب الهجينة حيث تصبح الأنظمة الرقمية الخدمية أهدافاً استراتيجية مشروعة في نظر الدول المعادية.

بالنسبة لسوق الأمن السيبراني العالمي، فإن هذا الاختراق والتحول نحو الهجمات التدميرية يعيد صياغة أولويات الاستثمار الدفاعي للشركات والمؤسسات الحكومية:

• نمو الطلب على حلول حماية البنية التشغيلية (OT Security): تزايد استهداف شبكات التحكم الصناعي ونظم النقل يدفع نحو استثمارات ضخمة لتأمين شبكات التشغيل وفصلها مادياً عن شبكات تقنية المعلومات التقليدية (IT).
• إعادة تقييم استراتيجيات التعافي من الكوارث (Disaster Recovery): مع زيادة استخدام برمجيات المسح (Wiper Malware) التي لا تهدف لطلب الفدية بل للتدمير المطلق، أصبح وجود نسخ احتياطية معزولة تماماً وغير قابلة للتعديل (Immutable Backups) ركيزة أساسية لأي مؤسسة حيوية.
• أهمية استخبارات التهديدات السيبرانية (Cyber Threat Intelligence): تصاعد دور شركات الاستخبارات السيبرانية الخاصة في كشف الهويات الرقمية وفك شفرات الجماعات الوهمية، مما يساعد المؤسسات في الاستعداد الاستباقي للتهديدات المرتبطة بالدول.

رؤية Glitch4Techs

في منبرنا التحليلي بـ Glitch4Techs، نرى أن هذا الهجوم يبعث برسالة واضحة مفادها أن استراتيجيات الردع السيبراني التقليدية لم تعد كافية لحماية الأصول المدنية الحيوية. إن استخدام الحكومات لواجهات 'الهكتفيزم' الوهمية مثل 'أبابيل من ميناب' يمنحها هامشاً من الإنكار الدبلوماسي، بينما تقع الأضرار التشغيلية والمالية الكارثية على كاهل دافعي الضرائب والمدن المحلية التي تعاني أصلاً من تقادم بنيتها التحتية الرقمية.

تكمن المشكلة الجوهرية في أن أنظمة النقل العام الكبرى مثل (LACMTA) تعتمد على مزيج معقد من البرمجيات القديمة (Legacy Systems) والأنظمة الحديثة المتصلة بالإنترنت لتوفير خدمات فورية للركاب. هذا المزيج يخلق مساحات شاسعة من الثغرات الأمنية التي يسهل على المهاجمين المدعومين من الدول استغلالها. نتوقع في Glitch4Techs أن تشهد الفترة المقبلة موجة من الهجمات المماثلة التي تستهدف المجالس المحلية والبلديات الصغيرة والمتوسطة في الولايات المتحدة وأوروبا، حيث تفتقر هذه الجهات للميزانيات الضخمة والكوادر المتخصصة اللازمة لمقاومة هجمات ترعاها أجهزة استخبارات دولية تمتلك موارد غير محدودة.