الذراع السيبرانية في حرب الظل ضد إيران.. ماذا نعرف عن "العصفور المفترس"؟

تُعدّ مجموعة "العصفور المفترس" (Predatory Sparrow)، من أكثر الكيانات السيبرانية إثارةً للجدل في الشرق الأوسط، إذ نفّذت منذ عام 2021 سلسلة هجمات إلكترونية بالغة التعقيد طالت البنية التحتية الحيوية الإيرانية، وتجاوزت عملياتها حدود التجسس الرقمي التقليدي إلى إحداث أضرار مادية فعلية في قطاعَي الصناعة والطاقة، فضلاً عن تعطيل المنظومة المالية وشبكات النقل، وفي يونيو 2025، صعّدت المجموعة عملياتها باختراق بنك "سبه" الحكومي وتدمير بيانات منصة "نوبيتكس" للعملات الرقمية وسرقة ما يزيد على 90 مليون دولار، ورغم تقديم المجموعة نفسها حركةً معارضة إيرانية، يُرجّح محللون غربيون ارتباطها بجهات استخباراتية إسرائيلية.

أولاً: النشأة والهوية الغامضة

في المشهد الرقمي الراهن، حيث باتت الحروب تُخاض بالبيانات والخوارزميات قبل الأسلحة والمدافع، برزت مجموعة "العصفور المفترس" بوصفها واحدة من أشد الفاعلين السيبرانيين تأثيراً في المواجهة الخفية الدائرة بين القوى الإقليمية في الشرق الأوسط، وتحمل المجموعة اسمها الفارسي "غنجشك درنده- (Gonjeshke Darande"، وتُقدّم نفسها للرأي العام على أنها حركة ناشطين إلكترونيين إيرانيين معارضين للنظام في طهران، غير أن هذه الرواية تصطدم بشكوك جدية لدى أبرز مراكز الأبحاث الأمنية الدولية.

لا تتوفر وثائق تكشف هوية مؤسسيها أو الجغرافيا التي انطلقت منها، بيد أن ظهورها العلني الأول يعود إلى يوليو 2021، حين أعلنت مسؤوليتها عن اختراق شبكة السكك الحديدية الإيرانية وموقع وزارة الطرق والمواصلات، وأطلق المخترقون رسائل استفزازية تنتقد المرشد الأعلى -آنذاك- علي خامنئي عبر اللوحات الإعلانية الرقمية في المحطات، معلنين أن هدفهم هو "التعبير عن رفضهم للقمع الذي تمارسه الحكومة بحق الشعب الإيراني".

منذ ذلك الحين، اتخذت المجموعة من منصات التواصل الاجتماعي منبراً رئيسياً لتبني عملياتها، إذ تنشر بياناتها باللغة الفارسية بأسلوب سياسي احتجاجي، مما أضفى عليها في البداية صفة "القرصنة الشعبية" أو ما يُعرف بـ "الهاكتيفيزم"، لكن حجم التطور التقني الذي تُظهره عملياتها وطبيعة الأهداف التي تنتقيها أوحيا تدريجياً بأن ثمة ما هو أكبر من مجرد ناشطين إلكترونيين مستقلين.

لماذا يرصدها المجتمع الاستخباراتي؟

• قدرات تتجاوز مستوى المجموعات المستقلة: ما يميز "العصفور المفترس" جوهرياً عن سائر مجموعات الاختراق الإلكتروني هو أنها لا تقتصر على سرقة البيانات أو تعطيل المواقع الإلكترونية، وهي أدوات شائعة في ترسانة القرصنة التقليدية، بل تتجاوز ذلك إلى إحداث أضرار مادية حقيقية وملموسة في منشآت صناعية وبنى تحتية بالغة الحساسية، ويتطلب هذا النوع من العمليات معرفة عميقة بأنظمة التحكم الصناعي (ICS/SCADA)، وهي خبرة لا تتوفر عادةً إلا لدى فرق تمتلك دعماً مؤسسياً أو حكومياً.

وقد كشف تحليل البرمجيات الخبيثة المستخدمة في بعض عملياتها عن مستوى متقدم من التخطيط والتنظيم؛ ففي هجوم السكة الحديد مثلاً، اكتشف باحثون وجود سكريبت برمجي مُدمج في الشيفرة الخبيثة يتحقق من اسم الجهاز المضيف ويُوقف الهجوم تلقائياً إذا تطابق مع أنظمة لوحات عرض الركاب، مما يضمن ظهور الرسائل الاستفزازية أمام الجمهور بصورة سليمة؛ هذا المستوى من الدقة والتفاصيل التقنية يشير إلى تخطيط احترافي مسبق يفوق قدرات المجموعات غير الحكومية.

• توقيت العمليات وارتباطها بالتوترات السياسية: يُلاحظ خبراء الأمن السيبراني أن توقيت العمليات الكبرى للمجموعة يتزامن بصورة لافتة مع محطات التصعيد العسكري والسياسي بين إيران وإسرائيل؛ فهجوم ديسمبر 2023 على شبكة الوقود جاء في خضم الأزمة الإقليمية المشتعلة عقب أحداث غزة، فيما جاءت هجمات يونيو 2025 المتزامنة على بنك "سبه" ومنصة "نوبيتكس" في الأيام التالية مباشرة للضربات الجوية الإسرائيلية على إيران، هذا التناسق الزمني الدقيق يُشكّل أحد أبرز الأدلة الظرفية على وجود تنسيق مع جهات أمنية أو استخباراتية.

وقد أوردت صحيفة "نيويورك تايمز" أن مسؤولَين دفاعيَين أمريكيَّين طلبا عدم الكشف عن هويتهما نسبا هجوم الوقود عام 2021 إلى إسرائيل، بينما أصدر وزير الدفاع الإسرائيلي -آنذاك- بيني غانتس أوامر بفتح تحقيق في التسريبات التي أفضت إلى تقارير تربط المجموعة بالحكومة الإسرائيلية، وهو ما اعتبره بعض المحللين تأكيداً ضمنياً لوجود الصلة لا نفياً لها.

السجل العملياتي.. من سكك الحديد إلى المصارف

أولا: شلل شبكة السكك الحديدية (يوليو 2021)

في يوليو 2021، أسدل الستار عن مجموعة "العصفور المفترس" للمرة الأولى على الملأ، حين أعلنت مسؤوليتها عن هجوم إلكتروني واسع النطاق أصاب شبكة السكك الحديدية الإيرانية في مقتل، حيث تعطّلت جداول الرحلات، وارتبك المسافرون في أرجاء البلاد، وظهرت على شاشات المحطات الإلكترونية رسائل استفزازية تحمل أرقام هاتف مكتب المرشد الأعلى، في مشهد أراد المهاجمون من خلاله إيصال رسالة سياسية بالغة الدلالة. كما أفلح الهجوم في تعطيل الموقع الإلكتروني لوزارة الطرق والمواصلات، مما أضاف بُعداً مزدوجاً للعملية.

وكشف تحليل البرمجيات المستخدمة في هذا الهجوم لاحقاً عن تطور لافت؛ إذ تضمنت الشيفرة الخبيثة آلية انتقائية تتجنب إصابة أنظمة عرض معلومات الركاب (PIS)، وهو ما يعني أن المهاجمين كانوا يسعون إلى إيصال رسائلهم للجمهور عبر تلك الشاشات بدلاً من تعطيلها، مما يكشف عن بُعد نفسي ودعائي مقصود في تصميم الهجوم.

ثانيا: ضرب شريان الوقود الوطني (أكتوبر 2021)

بعد أشهر قليلة من هجوم السكة الحديد، عادت المجموعة بعملية أوسع أثراً وأكثر إيلاماً للمواطن الإيراني العادي؛ إذ اخترقت منظومة توزيع الوقود الوطنية في أكتوبر 2021، وأخرجت آلاف محطات البنزين عن الخدمة في وقت واحد، وشلّت قدرة الإيرانيين على التزود بالوقود في مختلف المحافظات، واستولى المهاجمون أيضاً على اللوحات الإعلانية الرقمية على الطرق السريعة لعرض رسائل تنتقد خامنئي مباشرة.

وصفت وسائل الإعلام الدولية العملية حينها بأنها من أشد الهجمات الإلكترونية التي استهدفت البنية التحتية الإيرانية وطأةً على الحياة اليومية للمواطنين، لا سيما أن آثارها امتدت لأيام وأربكت المشهد المعيشي في مدن إيرانية عدة، ونسب مسؤولان أمريكيان ناميان الهجومَ لاحقاً إلى إسرائيل وفق ما أوردته صحيفة "نيويورك تايمز".

 ثالثا: ضربة مصانع الصلب (يونيو 2022)

في يونيو 2022 ارتقت المجموعة إلى مستوى غير مسبوق في تاريخ الحرب السيبرانية؛ إذ نفّذت هجوماً أصاب أنظمة التحكم الصناعي في عدد من مصانع الصلب الإيرانية، أبرزها مصنع خوزستان للصلب، مما تسبب في خلل حاد أدى إلى انسكاب المعادن المنصهرة واندلاع حريق داخل المنشأة، ونشرت المجموعة لاحقاً تسجيلات مصورة توثق الحادثة، تُظهر العمال يفرّون بصعوبة من الحمم المنصهرة على أرضية المصنع.

اعتبر خبراء الأمن السيبراني هذه العملية من أكثر الأمثلة وضوحاً في العالم على ما يُعرف بـ "الهجمات الإلكترونية ذات التأثير الجسدي" (Cyber-Physical Attacks)، وهي نقلة نوعية في عالم الحرب الرقمية تُعيد رسم خريطة المخاطر المحتملة لأنظمة البنية التحتية الحيوية، وقد كشفت المجموعة أيضاً عن عشرات الآلاف من الوثائق والمراسلات المسرّبة من شركات الصلب الإيرانية، مدّعيةً أنها تُثبت ارتباط هذه الشركات بالمؤسسة العسكرية الإيرانية.

وأشارت تقارير لاحقة إلى أن المجموعة تعمدت تنسيق الهجوم بما يضمن إخلاء أرضية المصنع من العمال قبيل التنفيذ، غير أن تحقيق مجلة "وايرد (Wired)" كشف أن عدداً من العمال كادوا يُصابون جراء انسكاب الصهارة المعدنية.

رابعا: العودة إلى الوقود (ديسمبر 2023)

في الثامن عشر من ديسمبر 2023، كرّرت المجموعة سيناريو هجومها على منظومة الوقود الوطنية بالمنهجية ذاتها التي اعتمدتها عام 2021، مما أفضى إلى شلل واسع طال نسبة كبيرة من محطات التزود بالوقود في أنحاء إيران، وأصدرت المجموعة بياناً صريحاً أعلنت فيه أن العملية جاءت "رداً على عدوان الجمهورية الإسلامية ووكلائها في المنطقة"، في إشارة واضحة إلى الأزمة الإقليمية المشتعلة في أعقاب أحداث غزة، وامتداد النفوذ الإيراني عبر الفصائل المسلحة الحليفة في لبنان واليمن والعراق.

خامسا: التصعيد إلى المنظومة المالية (يونيو 2025)

في السابع عشر من يونيو 2025، وبعد ساعات قليلة من تنفيذ إسرائيل ضرباتها الجوية على إيران، أعلنت "العصفور المفترس" مسؤوليتها عن اختراق بنك "سبه"، أحد أعرق المصارف الحكومية الإيرانية وأكبرها حجماً، وادّعت المجموعة أنها أتت على حذف وإتلاف قواعد بيانات البنك بالكامل، مبرّرةً ذلك باتهام البنك بتقديم خدمات مالية لأعضاء في الحرس الثوري الإيراني (IRGC).

وسارعت وكالة أنباء "فارس" الإيرانية الموالية للدولة إلى التحذير من احتمال تأثر الخدمات المصرفية في محطات الوقود، وأفاد مصدر في طهران لشبكة "CNN" بأنه جال على نحو عشرة أجهزة صراف آلي وجدها جميعاً إما معطلة أو مُنهكة الرصيد، كما أعلن موقع بورصة طهران توقف التداول، فيما أقدمت الحكومة الإيرانية على تخفيض سرعة الإنترنت في محاولة للحد من تداعيات الهجمات الإلكترونية المتتالية.

في اليوم التالي، الثامن عشر من يونيو 2025، أعلنت المجموعة شنّها هجوماً على منصة "نوبيتكس"، أكبر منصة لتداول العملات الرقمية في إيران، وأكدت أنها سحبت ما يزيد على 90 مليون دولار من أصول مشفرة، ثم أحرقتها عمداً بتحويلها إلى عناوين رقمية يستحيل الوصول إليها أو استرداد ما أُودع فيها.

وأكدت شركة "إيليبتيك" لتحليل شبكات "البلوك تشين" أن الأموال المسروقة حُوّلت إلى ما يُعرف بـ "عناوين الغرور" (Vanity Addresses)، وهي عناوين رقمية تحمل عبارات ذات دلالة سياسية صريحة تُدين الحرس الثوري الإيراني، وهو ما يجعل استرداد الأموال مستحيلاً تقنياً، وأوضحت الشركة أن إنشاء مثل هذه العناوين يستلزم طاقة حوسبية هائلة عبر أساليب القوة العمياء (Brute Force)، مما يعني أن المهاجمين لا يمتلكون المفاتيح الخاصة لهذه العناوين وقد أحرقوا الأموال طوعاً لإيصال رسالة سياسية.

سادسا: تعرض 4 بنوك إيرانية كبرى لهجوم سيبراني (يونيو 2026)

 يوم الثلاثاء، 23 يونيو الحالي، تعرض كل من: بنك تنمية الصادرات الإيراني، وبنك "ملي "، وبنك صادرات إيران، وبنك التجارة، لهجوم سيبراني يوم أمس الثلاثاء، اتجهت أنظار خبراء ومصادر استخباراتية إلى احتمال ضلوع إسرائيل، خصوصا أن الهجوم جاء بعد أيام من سماح الولايات المتحدة لطهران بالوصول إلى جزء من أموال نفطية مجمدة في قطر.

هل تقف إسرائيل خلف الستار؟

يظل السؤال الأكثر إثارةً في ملف "العصفور المفترس" معلّقاً دون إجابة رسمية: هل تقف إسرائيل فعلاً وراء هذه المجموعة؟

 لم تُقرّ الحكومة الإسرائيلية علناً بأي صلة بالمجموعة، وتمسّكت بالصمت المعهود الذي تلتزمه في شؤون الحرب السرية، غير أن جملة من الأدلة الظرفية والقرائن التحليلية تشير إلى اتجاه واحد:

• مستوى التعقيد التقني لعمليات المجموعة، ولا سيما قدرتها على اختراق أنظمة التحكم الصناعي وتنفيذ هجمات ذات أثر جسدي، يضعها في مصافّ القدرات التي يمتلكها عادةً الفاعلون المدعومون من دول، لا مجموعات القرصنة المستقلة. 
• التزامن الدقيق بين عملياتها ومحطات التوتر العسكري في المواجهة الإسرائيلية الإيرانية. 
• تقارير مسؤولين أمريكيين نسبت صراحةً بعض هجماتها إلى الاستخبارات الإسرائيلية. 
• التحقيق الذي فتحه وزير الدفاع الإسرائيلي في تسريبات ربطت المجموعة بالجيش الإسرائيلي، وهو ما اعتبره بعض المحللين دليلاً على صحة هذه الصلة لا دحضاً لها.

أبعاد الحرب السيبرانية في ضوء تجربة "العصفور المفترس"

تُشكّل مجموعة "العصفور المفترس" نموذجاً كاشفاً لمرحلة جديدة في تطور الصراعات المسلحة الحديثة؛ مرحلة تتلاشى فيها الحدود الفاصلة بين الحرب والتجسس والعمل العسكري التقليدي، فما كان يستلزم في الماضي قوات برية أو طائرات حربية لاستهداف محطات الوقود أو مصانع الصلب، بات اليوم قابلاً للتنفيذ عن بُعد عبر شيفرات برمجية تُحقن في أنظمة التحكم الصناعي.

تكشف التجربة المتراكمة للمجموعة عن ثلاث سمات جوهرية تميزها: أولها، الإصرار على التأثير الاقتصادي والاجتماعي في مقابل التأثير العسكري المباشر؛ إذ تستهدف عملياتها القطاعات الحيوية التي تمس حياة المواطن اليومية كالوقود والنقل والمصارف، وثانيها، توظيف البُعد الدعائي بمهارة، من خلال نشر رسائل استفزازية على شاشات المحطات والطرق، وإعلانات تتهم المؤسسات المستهدفة بتمويل الإرهاب، وثالثها، اعتماد مبدأ التدمير بدلاً من الاستغلال المادي، كما يتجلى في إحراق 90 مليون دولار من العملات الرقمية بدلاً من الاحتفاظ بها.

ويرى محللون متخصصون أن هذه المواجهة السيبرانية باتت تُشكّل امتداداً رقمياً لما يُسمى "حرب الظل"، حيث تُلحق كلٌّ من الدولتين الأذى بالأخرى دون أن تُعلن الحرب رسمياً أو تتحمل تبعاتها الدبلوماسية الكاملة، وفي هذا السياق، تُتيح الطبيعة الغامضة لمجموعة مثل "العصفور المفترس" هامشاً من الإنكار المعقول الذي لا يتوفر في العمليات العسكرية التقليدية.

"العصفور" الذي يرسم خريطة حروب الغد

منذ ظهورها عام 2021 وحتى هجماتها المزدوجة في يونيو 2026، رسّخت مجموعة "العصفور المفترس" مكانتها بوصفها أحد أبرز الفاعلين في المواجهة غير المعلنة بين إيران وإسرائيل، بل ربما في تاريخ الحرب السيبرانية الحديثة برمّته، وتحوّلت من مجموعة مجهولة ادّعت انتماءها للمعارضة الإيرانية إلى ظاهرة استخباراتية تستأثر باهتمام الحكومات والمراكز البحثية وشركات الأمن السيبراني حول العالم.

ويطرح ملفها أسئلة لا تزال عالقة بلا إجابات حاسمة: من يموّلها؟ من يوجّهها؟ وإلى أي مدى تعكس عملياتها توجهات سياسية حكومية مقصودة؟ لكن في غياب الإجابات، تظل الوقائع الموثقة كافية للتأكيد بأن ما تمثله هذه المجموعة ليس مجرد نشاط قرصنة إلكترونية، بل نموذج ناضج وخطير لحروب الجيل القادم، تلك الحروب التي تُخاض في الخفاء، وتُقاس نتائجها بمعايير اقتصادية وأمنية وسياسية، بعيداً عن ساحات المعارك التقليدية.