Quando a guerra entre Israel e o Hamas teve início, grupos cibernéticos iranianos logo se mobilizaram para apoiar o Hamas. Esses atores apoiados e afiliados ao Irã combinaram campanhas de influência com hacks disruptivos, um método que a Microsoft chama de “operações de influência habilitadas por ciber” – que se tornou a estratégia chave do Irã.

Enquanto a atividade inicial parecia ser reativa e oportunista, esses esforços se tornaram mais sofisticados e complexos à medida que o conflito continua. As ações tomadas por grupos individuais se tornaram mais coordenadas e o escopo dessas atividades se ampliou internacionalmente, contribuindo para a confusão e a falta de confiança nas informações provenientes da região.

Para alcançar seus objetivos, os grupos iranianos empregam quatro táticas-chave de influência. Entender como e quando cada abordagem é utilizada oferece insights sobre as estratégias em curso. Compreender essa mentalidade pode ajudar os defensores a se prepararem e se adaptarem ao contínuo ataque de informações enganosas.

A abordagem do Irã para as operações de influência é projetada para alcançar múltiplos objetivos de intimidação, desestabilização e retaliação, juntamente com minar o apoio internacional a Israel. Suas táticas incluem a impostação, a ativação de públicos-alvo, mensagens de texto e e-mails, e o uso da mídia estatal para aumentar sua influência. Analisar essas atividades individualmente revela como elas também funcionam em conjunto para reforçar a campanha.

O Irã desenvolveu várias personas cada vez mais convincentes usadas nessas operações online. Usando essas identidades falsas, grupos apoiados pelo Irã espalham histórias e ameaças enganosas nas mídias sociais, e-mails e mensagens de texto. Essas impostações estão se tornando mais convincentes com o tempo, o que permite aos grupos criar personas ativistas falsas em ambos os lados do espectro político. No entanto, não está totalmente claro se estão trabalhando diretamente com o Hamas ou estritamente para seus próprios propósitos.

Um motivo repetido para os grupos iranianos é recrutar indivíduos-alvo para ajudar a disseminar as mensagens falsas. Isso confere uma aparência de verdade à campanha, já que agora amigos e vizinhos veem pessoas conhecidas promovendo as fabricações como legítimas.

Embora as redes sociais sejam cruciais para disseminar a propaganda e informações falsas dos grupos, os envios em massa de mensagens de texto e e-mails estão se tornando mais centrais em seus esforços. Um grupo iraniano, Sandstorm Cotton, utiliza essa técnica desde 2022, aprimorando suas habilidades ao longo do tempo. As mensagens frequentemente se atribuem a ciberataques que na verdade não ocorreram ou alertam falsamente os destinatários sobre invasões físicas por combatentes do Hamas. Além das identidades falsas, em pelo menos um caso, eles utilizaram uma conta comprometida para aumentar a autenticidade das mensagens.

Quando grupos afiliados ao Irã fazem declarações falsas sobre ciberataques e atualizações de guerra, a mídia afiliada ao Corpo de Guardiões da Revolução Islâmica (IRGC) às vezes espalha e exagera ainda mais essas histórias. Muitas vezes, citam fontes de notícias inexistentes para apoiar a alegação. Outros meios de comunicação iranianos e alinhados ao Irã amplificam ainda mais a história, tornando-a mais plausível, apesar da falta de evidências.

A inteligência de ameaças da Microsoft identificou uma outra preocupação, que vem surgindo desde o início das hostilidades em outubro: o uso de inteligência artificial (IA). Imagens e vídeos gerados por IA disseminam histórias de notícias falsas ou criam imagens negativas direcionadas a figuras públicas importantes. Espera-se que essa tática continue ganhando importância à medida que as operações de influência habilitadas por ciber do Irã se expandem.

Desde o início da guerra, observamos uma colaboração entre grupos afiliados ao Irã. Isso permite que cada grupo contribua com capacidades existentes e elimina a necessidade de um grupo único desenvolver uma gama completa de ferramentas ou técnicas. Em meados de novembro, as operações de influência habilitadas por ciber do Irã relacionadas à guerra se estenderam além de Israel para países e organizações que o Irã considera apoiadores de Israel, incluindo Bahrein, Emirados Árabes Unidos e EUA. Um ataque contra controladores lógicos programáveis (PLCs) construídos por Israel na Pensilvânia tirou uma autoridade de água do ar em novembro. Em dezembro, uma pessoa que a inteligência de ameaças da Microsoft acredita ser um grupo afiliado ao Irã disse que dados foram vazados de duas empresas americanas. O grupo assumiu a autoria de ataques de exclusão de dados contra essas empresas um mês antes.

Os grupos iranianos utilizam diversos métodos de influência habilitados por ciber para atingir seus objetivos. A inteligência de ameaças da Microsoft observou que o grupo IRGC chamado Sandstorm Cotton usou até 10 personas onlines para executar diversos métodos ao longo do segundo semestre de 2023, muitas vezes adotando mais de uma dessas rotas simultaneamente.

Enquanto o conflito continuar, as operações de influência habilitadas por ciber do Irã provavelmente não apenas crescerão, mas também se tornarão mais cooperativas e destrutivas. Embora esses grupos continuem a explorar oportunidades, suas táticas são cada vez mais calculadas e coordenadas. Um entendimento completo dessas técnicas, aliado a uma inteligência de ameaças abrangente, pode dar aos defensores uma vantagem na identificação e mitigação desses ataques, onde quer que apareçam.