تحذير أمريكي من تهديد نشط مدعوم بالذكاء الاصطناعي يستهدف وحدات تحكم Siemens S7

حذرت خمس وكالات أمريكية من تهديد سيبراني نشط يستهدف وحدات التحكم المنطقية القابلة للبرمجة من سلسلة Siemens S7، وهي حواسيب صناعية تُستخدم لمراقبة العمليات المادية والتحكم فيها. وقال التحذير إن جهات مجهولة تنفذ عمليات استطلاع وتطوّر قدرات ضد منشآت داخل الولايات المتحدة، بما في ذلك أنظمة المياه والطاقة والتصنيع والكيماويات والغذاء والزراعة والمنشآت التجارية. 1

لكن التفصيل الأهم هو أن الوكالات وصفت النشاط بأنه مستمر، من دون أن تنسبه علنًا إلى إيران. كما أن التحذير لا يثبت أن هذا النشاط تسبب في الاضطرابات التي أُبلغ عنها مؤخرًا في أنظمة المياه المحلية.

ماذا قالت الجهات الأمريكية؟

أصدرت التحذير كل من وكالة الأمن القومي الأمريكية (NSA)، ووكالة الأمن السيبراني وأمن البنية التحتية (CISA)، ومكتب التحقيقات الفيدرالي (FBI)، ووزارة الطاقة، ووكالة حماية البيئة. وحذرت الوكالات من أن المهاجمين يستخدمون خدمات فحص الإنترنت للعثور على وحدات Siemens S7 المتصلة مباشرة بالشبكة العامة، أو التي لا تفصلها إجراءات عزل كافية عن الإنترنت. وقد يزيد استخدام البرمجيات القديمة وبيانات الدخول الضعيفة أو الافتراضية من مستوى الخطر. 1

وتشمل القطاعات المذكورة في التحذير:

• المياه والصرف الصحي
• التصنيع الحيوي أو الحرج
• الطاقة
• المنشآت الكيميائية
• الغذاء والزراعة
• المنشآت التجارية
• وربما القاعدة الصناعية الدفاعية 1

ويبدو أن النشاط الموصوف يركز في مرحلته الحالية على العثور على الأنظمة الضعيفة، وفهم طريقة إعدادها، وبناء أدوات قد تدعم عمليات اختراق أو تعطيل لاحقة. وحتى في حال عدم وقوع انقطاع ظاهر، تظل عمليات الاستطلاع خطيرة لأنها تمنح المهاجمين المعلومات اللازمة لاختيار الأهداف والإعداد لعملية أوسع.

كيف دخل الذكاء الاصطناعي على الخط؟

بحسب التحذير، استخدم المهاجمون أدوات مساعدة للذكاء الاصطناعي إلى جانب معلومات تقنية متاحة للعامة، لإنشاء نصوص استغلال لأنظمة Siemens S7 وتحسينها. ولا يتمثل القلق في أن الذكاء الاصطناعي اكتشف ثغرة جديدة في معدات Siemens، بل في أنه قد يقلل الوقت والخبرة اللازمين لتحويل المعلومات المنشورة إلى أدوات هجومية قابلة للاستخدام. 1

وقالت الوكالات إن النصوص اعتمدت على مكتبات snap7 المتاحة للعامة، وصُممت لتبدو شبيهة بأدوات مشروعة لمراقبة أنظمة التشغيل والتقنيات الصناعية. ويمكن لهذه الأدوات، وفق التحذير، التفاعل مع ذاكرة وحدات التحكم وإعداداتها ومنطق السلم البرمجي عبر بروتوكول S7comm. 1

وتكمن أهمية ذلك في أن وحدات التحكم المنطقي القابلة للبرمجة تقع قريبًا من العمليات المادية التي تديرها. فقد تساعد قراءة البيانات المهاجم على رسم خريطة للمنشأة والتحضير لهجوم، بينما قد يتيح تعديل البيانات أو منطق السلم تغيير طريقة عمل المعدات وإعدادات التشغيل والإنذارات وبعض وظائف السلامة. ومع ذلك، فإن وصف هذه القدرات لا يثبت وحده أن كل إجراء ذُكر نُفذ في كل منشأة مستهدفة.

ما الذي قد يحدث عند اختراق وحدة التحكم؟

قد تتجاوز آثار اختراق وحدة تحكم صناعية سرقة البيانات. وبحسب تصميم المنشأة ومستوى الوصول الذي يحصل عليه المهاجم، يمكن أن يؤدي التلاعب إلى:

• تعطيل الإنتاج أو الخدمات العامة
• تغيير إعدادات العمليات أو تسلسل تشغيل المعدات
• التدخل في أنظمة الإيقاف والإنذارات وحواجز السلامة
• تشغيل المعدات خارج الحدود المصممة لها
• كشف معلومات تشغيلية حساسة
• إحداث آثار متتابعة في أنظمة التحكم المتصلة 1

ويختلف الخطر العملي من منشأة إلى أخرى، تبعًا لتصميم المصنع، وتقسيم الشبكات، وبنية السلامة، ومستوى الصلاحيات التي يتمكن المهاجم من الوصول إليها. فعملية فحص أو محاولة دخول فاشلة لا تعادل السيطرة على منشأة، لكن وحدة التحكم المكشوفة تمنح المهاجم طريقًا أكثر مباشرة إلى البيئة التشغيلية مقارنة باختراق نظام مكتبي تقليدي.

ما علاقة التحذير بهجمات أنظمة المياه؟

صدر تحذير Siemens بعد حوادث سيبرانية طالت أنظمة مياه محلية في عدة ولايات أمريكية. وقالت ولاية مينيسوتا إن أكثر من ٣٠ نظامًا للمياه تعرض لهجوم سيبراني منسق، بينما أفاد مكتب التحقيقات الفيدرالي بأن نشاطًا مرتبطًا أُبلغ عنه في سبع ولايات على الأقل، وأن بعض هذه الأنشطة أدى إلى تراجع كفاءة عمليات المياه. 16

واشتبه محققون وخبراء في الأمن السيبراني بوجود صلة بإيران، لكن التقارير العلنية وصفت هذا الربط بأنه تقييم قيد التحقيق، وليس نسبة رسمية ونهائية للمسؤولية. 16 وفي تصريحات علنية، رفض الرئيس دونالد ترامب نظرية تورط إيران، وألقى اللوم على ولاية مينيسوتا وحاكمها من دون تقديم دليل على هذا الاتهام. 17

وعليه، فإن العلاقة بين الملفين تظل سياقية:

1. كلا النشاطين يتعلق ببنية تحتية حيوية وبيئات للتحكم الصناعي.
2. كلاهما يثير مخاوف بشأن تقنيات تشغيلية مكشوفة على الإنترنت أو ضعيفة الحماية.
3. حذرت جهات أمريكية في وقت سابق من جهات مرتبطة بإيران تستهدف وحدات تحكم قابلة للبرمجة متصلة بالإنترنت، وكان التركيز الأول على معدات Rockwell Automation وAllen-Bradley.
4. وسّع تحديث لاحق نطاق الشركات المصنّعة التي استهدفها النشاط المبلغ عنه ليشمل Siemens وSchneider Electric.

وهذا السياق يفسر سبب جذب تحذير Siemens الاهتمام وسط المخاوف المرتبطة بهجمات أنظمة المياه ونسبتها المحتملة إلى إيران. لكنه لا يثبت أن الجهات المجهولة في تحذير Siemens هي نفسها التي تقف وراء حوادث المياه، ولا أن جميع هذه الحوادث كانت جزءًا من حملة واحدة.

لماذا لم تعلن واشنطن نسبة رسمية إلى إيران؟

تحتاج نسبة الهجوم السيبراني إلى أكثر من تشابه الهدف أو التقنية المستخدمة. فعادةً ما يحتاج المحققون إلى أدلة تقنية واستخباراتية وتشغيلية متقاطعة بدرجة كافية قبل إعلان اسم دولة أو جهة مسؤولة. وفي تحذير Siemens، وصفت الوكالات المهاجمين بأنهم جهات تهديد مجهولة، ولم تذكر إيران. 1

ويعكس السجل العلني لحوادث المياه مستوى مماثلًا من عدم اليقين. فقد بحث محققون اتحاديون ومحليون احتمال وجود صلة بإيران، في حين شككت تصريحات عامة أخرى في هذا التقييم أو عارضته. 1617 لذلك، فإن الاستنتاج الأكثر دقة حاليًا هو أن أنظمة المياه تعرضت لهجمات، وأن صلة بإيران كانت موضع اشتباه، وأن تهديد Siemens S7 نشط، لكن لم تُثبت علنًا وبشكل حاسم وحدة هذه الحوادث أو مصدرها.

ما الذي ينبغي على المشغلين فعله؟

يشير تحذير الوكالات إلى إجراءات أساسية لكنها عاجلة لتعزيز أمن الأنظمة الصناعية. ومن بينها:

• حصر جميع وحدات Siemens S7 وتحديد مدى تعرضها للإنترنت.
• إزالة وحدات التحكم وأجهزة التقنيات التشغيلية الأخرى من الوصول المباشر إلى الإنترنت العام.
• فصل شبكات التحكم عن شبكات الأعمال والشبكات الخارجية.
• تثبيت التحديثات البرمجية لوحدات التحكم عندما يكون ذلك آمنًا من الناحية التشغيلية.
• استبدال بيانات الدخول الافتراضية أو الضعيفة بوسائل مصادقة قوية.
• مراقبة الاتصالات غير المعتادة وتغييرات الإعدادات وتعديلات منطق السلم البرمجي.
• حماية ملفات المشاريع وإعدادات وحدات التحكم ووحدات الشيفرة القابلة لإعادة الاستخدام.
• مراجعة ما إذا كانت أدوات الوصول عن بُعد وبرامج المراقبة قابلة للانتحال أو إساءة الاستخدام. 1

والخلاصة الفورية ليست أن كل وحدة Siemens قد اختُرقت، بل أن الجمع بين الاتصال المكشوف بالإنترنت وضعف ضوابط الوصول وقلة المراقبة قد يحول وحدة تحكم واسعة الانتشار إلى نقطة انطلاق جذابة للاستطلاع، وربما لتعطيل العمليات مستقبلًا.