في يوليو 2026، أدى حادث سيبراني، بحسب تقارير، إلى فرض إغلاق تشغيلي لمدة أربعة أيام لمنشأة توليد كهرباء صغيرة الحجم في المملكة المتحدة. وأكدت السلطات البريطانية لاحقاً أن مولداً صغيراً غير مسمى قد تأثر بحادث سيبراني، لكنها شددت على أنه لم يكن هناك أي خطر على الإطلاق على نظام الكهرباء الأوسع في المملكة المتحدة، أو استقرار الشبكة الأوسع، أو المشغلين الخاضعين للتنظيم لمحطات الطاقة الكبرى (وزارة أمن الطاقة والحياد المناخي DESNZ، والمركز الوطني للأمن السيبراني NCSC عبر تقارير أولية).

وتنسب صحيفة The Telegraph الهجوم إلى قراصنة مرتبطين بإيران، مستشهدة بتزامن التوقيت مع حملة موثقة ترعاها الدولة الإيرانية تستهدف أنظمة التحكم الصناعي (ICS) المعرضة للإنترنت في البنية التحتية الحيوية الغربية (تحذيرات وكالة الأمن السيبراني وأمن البنية التحتية CISA، ومكتب التحقيقات الفيدرالي FBI). ولم تؤكد الحكومة البريطانية أو تنفِ علناً هذه النسبة. 

إن مدة الانقطاع التشغيلي — أربعة أيام — تعتبر ذات أهمية استراتيجية، على الرغم من أن سببها الفني لا يزال غير معروف. وهي تمثل حدثاً إشارياً مهماً، يظهر قدرة واضحة من جانب جهة فاعلة معادية على تحويل اختراق سيبراني إلى عواقب تشغيلية مستمرة في أحد أصول الطاقة في المملكة المتحدة.

لا يوجد أي دليل على حدوث أضرار مادية أو خطر على الأفراد. ولا تزال التفاصيل الفنية الحيوية المتعلقة بالوصول الأولي، أو الانتقال الجانبي من تكنولوجيا المعلومات (IT) إلى التكنولوجيا التشغيلية (OT)، أو آلية توقف المولد غير معروفة وقت كتابة هذا التقرير. يسلط هذا الحادث الضوء على المخاطر الإجمالية المتزايدة الناتجة عن أصول التوليد الموزعة والصغيرة التي قد تقع خارج التعريفات التنظيمية التقليدية للبنية التحتية الحيوية ولكنها تظل متصلة بمساحة الهجوم الإجمالية للشبكة.

ما نعرفه فعلياً: مصفوفة الحقائق والأدلة

تفصل المصفوفة التالية بصرامة بين التأكيدات الرسمية والادعاءات الإعلامية والتقييمات المنطقية لمنع تقديم التكهنات على أنها حقائق.

أبرز المجاهيل الفنية (من الضروري تمييزها عن الحقائق)

• ناقل الوصول الأولي: على سبيل المثال، التصيد الاحتيالي، أو استغلال شبكة VPN، أو استغلال مباشر لأجهزة PLC، أو الانتقال المحوري من تكنولوجيا المعلومات IT.

• الحركة داخل الشبكة الداخلية: هل تضمن الهجوم اختراق شبكة تكنولوجيا المعلومات IT أم كان وصولاً مباشراً إلى التكنولوجيا التشغيلية OT؟

• الآلية التشغيلية للإغلاق: هل تضمن الهجوم التلاعب بالمنطق البرمجي (Logic)، أو أمر نظام SCADA، أو فقدان التحكم الإشرافي، أو إغلاقاً يدوياً وقائياً؟

• مستوى خبرة OT المطلوبة: هل كان هذا استخداماً لأدوات النظام الأصلية (Living-off-the-Land) باستخدام أوامر أصلية، أم برمجيات خبيثة متطورة مخصصة لأنظمة التحكم الصناعي ICS؟

الخط الزمني للحادث

تمت إعادة بناء التواريخ حيثما سمح السياق العام بذلك، ولكن الأوقات الدقيقة تظل غير معروفة.

تحليل الجهة المهددة

مشهد قدرات استهداف التكنولوجيا التشغيلية (OT) الإيرانية (2026)

تصاعدت التوترات الجيوسياسية بين إيران والغرب بشكل ملحوظ في عام 2026 (مثل الصراعات الإقليمية، والعقوبات، والعمليات الدفاعية من القواعد البريطانية). وقد أظهر المشغلون الذين ترعاهم الدولة الإيرانية دافعاً محدداً واستعداداً لاستهداف التكنولوجيا التشغيلية (OT) في البنية التحتية للطاقة والمرافق كوسيلة للإشارة الاستراتيجية والردع.

أبرز القدرات والمجموعات المعروفة:

• مجموعة Handala: هذه الجهة المهدِدة تابعة لوزارة الاستخبارات والأمن الإيرانية (MOIS) وتعد من أبرز الجهات الفاعلة في مجال التهديدات السيبرانية في الخطوط الأمامية التي تديرها الوزارة. كانت Handala وراء حادثة Stryker قبل بضعة أشهر وحادثة Calwater أيضاً. تمتلك Handala قدرات عالية ومسلحة بترسانة من الأدوات والتقنيات لاستهداف مشغلي البنية التحتية الحيوية.

• CyberAv3ngers (التابعة للحرس الثوري الإيراني): ركزت تاريخياً على استهداف أجهزة ICS المصنعة في إسرائيل (أجهزة Unitronics PLC)، وتفرعت لاحقاً إلى بنية تحتية حيوية أوسع. هناك تداخل محتمل مع حملات عام 2026، ولكن لم يتم تأكيده في حادثة المملكة المتحدة.

• APT35 / Magic Hound (المرتبطة بالحرس الثوري الإيراني): نشطة منذ عام 2014، وتستهدف شركات الطاقة الغربية لأغراض التجسس والتخطيط التخريبي. تشمل أساليبهم وتقنياتهم وإجراءاتهم (TTPs) التصيد المكثف لبيانات الاعتماد وإساءة استخدام الحسابات الصالحة. الارتباط بها محتمل بناءً على قطاع الاستهداف، لكنه غير مؤكد.

• الحملة الحكومية الإيرانية المتزامنة (تحديث CISA يوليو 2026): قدرة موثقة على استهداف أجهزة PLC المتصلة بالإنترنت (Rockwell Automation، Schneider Electric، Siemens) باستخدام بنية تحتية أجنبية للاستضافة وبرامج الجهة المصنعة للاتصال وتعديل ملفات المشاريع أو التلاعب بشاشات HMI/SCADA، مما يؤدي إلى اضطراب تشغيلي. تم تقييمها باعتبارها الملف التعريفي للتهديد السياقي الأكثر احتمالاً لهذا الحادث.

طيف الجهات الفاعلة الإيرانية من الحكومية إلى الإجرامية

من الضروري التمييز بين نوع الإسناد الإيراني المذكور.

الإسناد المحتمل

• الإسناد إلى الحكومة الإيرانية/الحرس الثوري/وزارة الاستخبارات: يعني عملاً عدائياً مباشراً من الدولة. لم يتم تقديم أي دليل علني.

• جهة فاعلة ترعاها الدولة الإيرانية: تعني مجموعة (مثل CyberAv3ngers) تتلقى تكليفات أو بنية تحتية من الدولة. تم تقييمها كأمر معقول نظراً لتحذيرات CISA ومكتب التحقيقات الفيدرالي.

• مخترق نشط (Hacktivist) أو وكيل متحالف مع إيران: مثل Handala. يعبر هذا عن مجموعة تعمل بشكل شبه مستقل، متحالفة مع الدولة، وربما بدون تكليف مباشر من الدولة ولكنها تستغل البنية التحتية أو التوجيهات الحكومية.

• جهة فاعلة إجرامية تدعي الانتماء لإيران: أمر محتمل ولكنه أقل احتمالاً نظراً لنوع الهدف (توليد الطاقة) وعدم الإبلاغ عن طلب فدية.

إعادة بناء مسار الهجوم ومصفوفة الثقة

في غياب الأدلة الجنائية الرقمية، نقوم بإعادة بناء مسارات الهجوم الفني المحتملة وتصنيفها حسب قوة الأدلة × المعقولية التشغيلية في بيئة توليد الطاقة.

مصفوفة الثقة في مسار الهجوم

كيف يمكن لهجوم سيبراني إيقاف تشغيل مولد؟ (ميكانيكيات OT)

يجب علينا تحديد الآليات الفنية المطلوبة بدقة لتحويل اختراق سيبراني إلى توقف مادي-سيبراني. تتطلب الآليات المختلفة مستويات متفاوتة بشكل كبير من التعقيد.

الآليات الفنية المحتملة

• التلاعب بأوامر HMI/SCADA: يستخدم المهاجم بيانات اعتماد مشغل صالحة لإصدار أمر إيقاف تشغيل أصلي يعادل دور المشغل عبر واجهة المستخدم الرسومية. يتطلب ذلك وصولاً إلى الهوية أو محطة عمل نشطة، ولكنه ذو تعقيد منخفض نسبياً بمجرد تحقيقه.

• التلاعب بالمنطق البرمجي للتحكم (استخدام أدوات النظام الأصلية): يتصل المهاجم بمحطة عمل هندسية أو مباشرة بجهاز PLC/RTU (المسار ب) ويستخدم برمجيات الشركة المصنعة الأصلية (مثل Studio 5000 أو TIA Portal) لإيقاف "STOP" جهاز التحكم أو تعديل تدفق البرنامج لإلغاء إذن التشغيل.

• التفاعل مع ريلاي الحماية / الفصل عن بعد: يكتشف نظام الحماية عطلاً في المولد ويفصل الوحدة للحفاظ على المعدات. يمكن لهجوم سيبراني، من الناحية النظرية، تعديل نقاط ضبط الحماية عبر محطة عمل هندسية لجعل المولد يفصل بشكل مبتسر في ظل الأحمال العادية، أو التلاعب بالمدخلات لخدع الريلاي للاعتقاد بحدوث عطل. لا تفترض حدوث ذلك دون تأكيد رسمي.

• فقدان الاتصالات / الاضطراب غير المباشر: تتطلب مولدات الطاقة قفل أمان دقيق (Interlocks). يمكن لهجوم سيبراني إغراق الشبكة (هجوم حجب الخدمة DoS)، مما يعطل الاتصال بين أنظمة السلامة أو يمنع خادم SCADA من رؤية حالة المعدات المساعدة (مثل مضخات التشحيم). في بيئة مولد صغير، فإن النتيجة التشغيلية الأكثر احتمالاً لهذه الحالة هي تراجع المشغل إلى الإيقاف اليدوي أو تنفيذ نظام التحكم لفصل وقائي بسبب فقدان الرؤية.

التحليل الجنائي الرقمي

يتطلب تحديد مسار الهجوم ربطاً دقيقاً بين آثار تكنولوجيا المعلومات IT والتكنولوجيا التشغيلية OT. نحدد البصمات الجنائية الرقمية المطلوبة لتمييز الحدث السيبراني الحقيقي عن فشل العمليات التقليدي.

تمييز الآثار: الفشل السيبراني مقابل فشل العمليات

مخطط إطار MITRE ATT&CK لأنظمة التحكم الصناعي (ICS)

بافتراض المسار ب أو المسار ج، نقوم بوضع مخطط لتقنيات الترشيح المقيمة المعقولة لسياق جهة فاعلة إيرانية تستهدف أصولاً بريطانية صغيرة الحجم.

تحليل الأثر

يجب أن نحدد بدقة الفرق بين تأثير القدرة الكهربائية وتأثير إظهار نضج الجهة المهددة.

• المستوى 1 — الأثر المادي: غير معروف. أكدت السلطات البريطانية حدوث اضطراب ولكن ليس أضراراً مادية. لا تلمح إلى تدمير المعدات.

• المستوى 2 — الأثر التشغيلي: فقدان قدرة التوليد من المولد الصغير المتأثر لمدة أربعة أيام. هذا خسارة ملموسة، حتى وإن لم تكن مؤثرة على الشبكة بأكملها.

• المستوى 3 — الأثر على السلامة: غير معروف. لا يوجد دليل علني على وجود خطر على الأفراد. قد تكون أنظمة السلامة قد عملت كما هو مصمم لها لإحداث التوقف الوقائي.

• المستوى 4 — الأثر على نظام الطاقة:

  • قدرة التوليد: فقدان مولد صغير واحد.

  • الجهد، الموازنة، النقل، التوزيع: تم تقييم أثر الشبكة على أنه غير مثبت بالدليل.أشارت البيانات الاستباقية لـ DESNZ صراحة إلى عدم وجود تهديد للنظام الأوسع. من المرجح أن تكاليف موازنة مشغل النظام كانت ضئيلة نظراً لصغر حجم الأصل المتأثر.

• المستوى 5 — الأثر الاقتصادي: خسارة مالية للمشغل المتأثر (خسارة إيرادات التوليد).

• المستوى 6 — الأثر الاستراتيجي/الجيوسياسي: قيمة إشارية عالية، توضح أن جهة فاعلة معادية قد أثبتت برهاناً على القدرة على تحقيق عواقب تشغيلية مستمرة داخل أصل طاقة غربي خلال فترة تصاعد الصراع الإقليمي.

جوانب هامة أخرى

ركزت التقارير السائدة على تأثير الشبكة أو الإسناد، متجاهلة التحولات التنظيمية والمعمارية الحاسمة للأمن السيبراني التي سلط هذا الحادث الضوء عليها.

المخاطر الإجمالية للمولدات الصغيرة (التقييم: هام)

المولدات الصغيرة الفردية ليست ذات أهمية كهربائية كبيرة. ومع ذلك، فإن نظام الطاقة في المملكة المتحدة يتجه بنشاط نحو التوليد اللامركزي والموزع (سياق الطاقة النظيفة 2030). تخلق الثغرات الأمنية المتراكمة لمولدات متعددة صغيرة إلى متوسطة الحجم تستخدم تقنيات مشتركة مواجهة للإنترنت خطراً نظامياً على الشبكة يقع خارج التصنيفات التنظيمية التقليدية لـ "البنية التحتية الحيوية" (على سبيل المثال، محطات الطاقة الكبرى فقط). ويؤكد سياق عدم تلقي NCSC لتقارير عن انقطاعات تشمل محطات كبرى هذه الفجوة. قد يمثل استهداف مولد صغير اختباراً للوصول في بيئة ذات مراقبة منخفضة.

وصول الموردين والصيانة (التقييم: هام)

غالباً ما تعتمد المولدات الصغيرة بشكل كبير على الموردين والمراقبة عن بعد واتصالات الصيانة الخارجية. تخلق هذه الاتصالات مع أطراف خارجية مساحة هجوم واسعة وغير مخططة تتجاوز تجزئة تكنولوجيا المعلومات التقليدية للمؤسسات. قد يكون تأمين البنية التحتية للوصول عن بعد أكثر أهمية من تأمين ثغرة أمنية في جهاز PLC مباشرة.

المصطلحات: هل كان هذا "هجوماً على أنظمة التحكم الصناعي ICS"؟

غالباً ما يساء استخدام هذا المصطلح. لتصنيف هذا بشكل قانوني كهجوم سيبراني مباشر على ICS/OT (مما يظهر نضجاً متطوراً)، ستكون هناك حاجة إلى أدلة جنائية رقمية تظهر أن المهاجم:

• قام بالمصادقة على خادم قفز، أو واجهة HMI، أو محطة SCADA.

• تفاعل مباشرة مع بروتوكولات التحكم (مثل EtherNet/IP، Modbus).

• نفّذ وظيفة لتعديل المنطق البرمجي لجهاز التحكم أو إصدار أمر يدوي (المسار ب/د).

إذا كان المهاجم قد نفذ مجرد المسار أ (اختراق المؤسسة) أو المسار هـ (الاعتمادية على تكنولوجيا المعلومات)، وتراجع المشغل يدوياً إلى إيقاف التشغيل الوقائي للسلامة لأنه فقد الرؤية (الاضطراب غير المباشر)، فسيكون من الأدق وصف ذلك بأنه اختراق سيبراني في منشأة توليد طاقة ذو عواقب تشغيلية.

قيمة الإغلاق لمدة أربعة أيام

إن مدة الاستعادة التي بلغت أربعة أيام تعتبر مهمة للغاية. وهي لا تعني تلقائياً التعقيد والتطور. الأسباب المحتملة:

• متطلبات جمع الأدلة الجنائية الرقمية أخرت عملية الاسترداد.

• عدم وجود إجراءات تراجع يدوية في الموقع تطلب إعادة بناء التكوين من نسخة احتياطية "سليمة تماماً" (فجوة في المرونة والقدرة على الصمود).

• وقت الانتظار لوصول فنيي المورد فعلياً إلى الموقع لاستبدال أو إعادة برمجة المنطق البرمجي للمعدات التي ربما تم تعديلها أو إتلافها.

قد تفضل جهة فاعلة معادية الإغلاق طويل الأجل على تدمير المعدات لأن القيمة الإشارية السياسية تكون أعلى دون التسبب في تصعيد حركي (Kinetic Escalation).

المقارنة مع النشاط الإيراني السابق في مجال التكنولوجيا التشغيلية (OT)

نحن لا نفترض أن جميع الحملات الإيرانية تتبع نفس المجموعة أو مستوى النضج، ولكننا نقارن قطاعات الاستهداف والقدرات ذات الصلة.

الدروس الدفاعية لمشغلي الطاقة

تعطي الدروس التالية الأولوية لرؤية التكنولوجيا التشغيلية (OT) ومرونة الاسترداد، بدلاً من الدفاع المحيطي العام.

الدروس الفورية إلى قصيرة المدى (0-90 يوماً)

• الرؤية 1 (خوادم قفز OT): مراقبة خوادم القفز، ومجمعات شبكات VPN، ومنافذ الصيانة. التمييز والتدقيق في اتصالات الموردين/الجهات الخارجية الشرعية مقابل عمليات المصادقة غير المعتادة خارج نوافذ الصيانة. تطبيق المصادقة متعددة العوامل (MFA) على جميع عمليات الوصول عن بعد.

• الرؤية 2 (جرد الأصول): الحفاظ على جرد شامل للأصول لجميع أجهزة PLC، وRTU، وشاشات HMI، وخوادم SCADA، ومحطات العمل الهندسية، مع تحديد مواصفات أجهزتها، وإصدارات البرامج الثابتة (Firmware)، وحالة اتصالها بالإنترنت المعروفة.

• تدقيق التجزئة: تدقيق جدار الحماية الفاصل بين تكنولوجيا المعلومات IT والتكنولوجيا التشغيلية OT بشكل رسمي. السماح فقط بحركة مرور خادم بيانات المؤرخ أو الحركة الإشرافية الضرورية، ونقلها عبر منطقة معزولة (DMZ) مؤمنة.

• إغلاق محطات العمل الهندسية: تعتبر محطات العمل الهندسية جسوراً ذات قيمة عالية. تشديد سياسات أنظمة الكشف والاستجابة لنقاط النهاية (EDR) المحلية، ومراقبة تشغيل البرمجيات الهندسية القياسية، والتحكم الصارم في الوصول.

الدروس متوسطة المدى إلى الاستراتيجية (3-12 شهراً فأكثر)

• مرونة الاسترداد 1 (النسخ الاحتياطية السليمة): يجب أن يكون المشغلون قادرين على استعادة سلامة تكوين OT بسرعة، وتجاوز مشكلات الإتاحة. الاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت وسليمة تماماً ("golden configuration") لجميع أجهزة PLC وقواعد بيانات SCADA. اختبار إجراءات الاسترداد البديلة بانتظام.

• مراقبة سلامة التكوين: تطبيق نظام الكشف في شبكة OT أو المراقبة الخالية من الوكلاء (Agentless Monitoring) لتنبيه الفرق الهندسية بأي تغييرات غير مصرح بها أو غير متوقعة في منطق PLC أو عمليات رفع/تنزيل التكوين.

• حوكمة سلاسل التوريد التابعة لجهات خارجية: تقييم وفرض متطلبات الحد الأدنى من النظافة السيبرانية (Cyber Hygiene) على موردي قطاع الطاقة والشركات المجمعة، مع الإدراك بأن مخاطر المولدات الصغيرة المتراكمة غالباً ما تكمن في طبقة الجهات الخارجية.

• مراجعة العتبة التنظيمية (استراتيجي): يجب على الحكومة البريطانية والجهات التنظيمية الإسراع في مراجعة حدود عتبة لوائح أمن الشبكات والمعلومات NIS (سياق الاستشارات) لمعالجة المخاطر المتراكمة والموزعة واللامركزية الناتجة عن مولدات الطاقة المتجددة وصغيرة الحجم.

إثبات القدرة قبل تخريب الشبكة

ما حدث بالفعل في يوليو 2026 لم يكن اختراقاً للشبكة الوطنية في المملكة المتحدة. بل كان اضطراباً تشغيلياً في مولد واحد صغير الحجم، مما تسبب في فقدان حقيقي — ولكن غير نظامي — للتوليد لمدة أربعة أيام.

ومع ذلك، فإن الاستنتاج التحليلي المركزي هو أن هذا الحادث ذو أهمية استراتيجية. فهو يمثل إثباتاً بارزاً للقدرة على أن جهة فاعلة ترعاها الدولة الإيرانية أو متوافقة معها يمكنها تحويل الوصول السيبراني إلى عواقب تشغيلية مستمرة داخل منشأة طاقة في المملكة المتحدة.

تشير القيمة الإشارية للمدة الطويلة (أربعة أيام) إلى تفضيل استراتيجي للاضطراب التشغيلي عالي الوضوح على التدمير المادي. والأهم من ذلك، أن تحقيق هذه النتيجة قد لا يتطلب برمجيات خبيثة متطورة مخصصة لأنظمة التحكم الصناعي ICS. وتعتبر تقنيات استخدام أدوات النظام الأصلية (Living-off-the-land) التي تستهدف البنية التحتية الضعيفة للوصول عن بعد وتستخدم أوامر HMI/SCADA الأصلية ناقلات سياقية محتملة للغاية. يجب على مشغلي الطاقة الغربيين إعطاء الأولوية للرؤية داخل اتصالات الصيانة عن بعد ومرونة الاسترداد القوية لاستعادة السلامة التشغيلية، بدلاً من الاعتماد فقط على تجزئة الحدود المحيطية للشبكة. كما يجب معالجة المخاطر المتراكمة من أصول التوليد الموزعة التي تقع خارج النطاق التنظيمي الحالي بشكل عاجل.

 يجب على مشغلي الطاقة الغربيين الاستمرار في افتراض ما يلي: تحتفظ الجهات الفاعلة التابعة لدول معادية بالوصول إلى حدود شبكات تكنولوجيا المعلومات تكنولوجيا التشغيل (IT/OT) الخاصة بهم، وقد أثبتت قدرتها على مقاطعة العمليات في الوقت الذي تراه مناسباً عندما تتطلب الإشارات الجيوسياسية التصعيد.

القراءة الموصى بها

معالجة فجوات الأمان المستندة إلى معايير NERC CIP  

تشخيص فجوات الأمان لمعايير NERC CIP