Quando a guerra entre Israel e Hamas começou em 7 de outubro de 2023, grupos cibernéticos iranianos imediatamente surgiram para apoiar o Hamas. Esses atores apoiados pelo Irã e afiliados ao Irã combinaram campanhas de influência com hacks disruptivos, um método que a Microsoft chama de “operações de influência cibernética” – que se tornou uma estratégia fundamental do Irã.

Embora a atividade inicial tenha parecido reativa e oportunista, esses esforços se tornaram mais sofisticados e complexos à medida que o conflito continua. As ações tomadas por grupos individuais se tornaram mais coordenadas, e o alcance dessas atividades se ampliou internacionalmente, contribuindo para a confusão e falta de confiança nas informações provenientes da região.

Para atingir seus objetivos, os grupos iranianos empregam quatro táticas-chave de influência, técnicas e procedimentos (TTPs). Como e quando eles usam cada abordagem oferece insights sobre as estratégias em uso. Compreender essa mentalidade pode ajudar os defensores a se preparar e se adaptar ao contínuo bombardeio de informações enganosas.

A abordagem do Irã nas operações de influência é projetada para atingir múltiplos objetivos de intimidação, desestabilização e retaliação, além de minar o apoio internacional a Israel. Suas TTPs incluem a personificação, a ativação de públicos-alvo; mensagens de texto e e-mails; e o uso da mídia estatal para aumentar sua influência. Analisar essas atividades individualmente revela como elas também funcionam em conjunto para reforçar a campanha.

O Irã desenvolveu uma série de personas cada vez mais convincentes usadas nessas operações online. Usando essas identidades falsas, grupos apoiados pelo Irã e adjacentes espalham histórias enganosas e ameaças nas mídias sociais, e-mails e mensagens de texto. Essas personificações estão se tornando cada vez mais convincentes com o tempo, o que permite aos grupos criar falsas personas ativistas em ambos os lados do espectro político. No entanto, não está inteiramente claro se estão trabalhando diretamente com o Hamas ou estritamente para seus próprios fins.

Um motivo repetido para grupos iranianos é recrutar indivíduos direcionados para ajudar a espalhar as mensagens falsas. Isso confere uma aparência de verdade à campanha, já que amigos e vizinhos agora veem pessoas que conhecem promovendo as fabricações como legítimas.

Embora as mídias sociais sejam cruciais para a disseminação da propaganda e informações falsas dos grupos, o envio em massa de mensagens de texto e e-mails está se tornando mais central para seus esforços. Um grupo iraniano, Cotton Sandstorm, tem usado essa técnica desde 2022, aprimorando ao longo do tempo suas capacidades. As mensagens muitas vezes assumem a responsabilidade por ataques cibernéticos que realmente não ocorreram ou alertam falsamente os destinatários sobre incursões físicas por combatentes do Hamas. Além das falsas identidades, em pelo menos um caso, eles usaram uma conta comprometida para aumentar a autenticidade das mensagens.

Quando os grupos afiliados ao Irã fazem declarações falsas sobre ataques cibernéticos e atualizações de guerra, a mídia afiliada ao Corpo de Guardas Revolucionários Islâmicos (IRGC) às vezes espalha e exagera ainda mais essas histórias. Muitas vezes, citam fontes de notícias inexistentes para apoiar a reivindicação. Outras saídas iranianas e alinhadas ao Irã amplificam ainda mais a história, tornando-a mais plausível apesar da falta de evidências.

Desde o início da guerra, começamos a ver colaboração entre grupos afiliados ao Irã. Isso permite que cada grupo contribua com capacidades existentes e elimina a necessidade de um único grupo desenvolver um espectro completo de ferramentas ou conhecimentos técnicos. Em meados de novembro, as operações de influência cibernética do Irã relacionadas à guerra se estenderam além de Israel para países e organizações que o Irã considera como apoiadores de Israel, incluindo Bahrein, os Emirados Árabes Unidos e os EUA. Um ataque contra controladores lógicos programáveis construídos por Israel na Pensilvânia desligou uma autoridade de água em novembro. Em dezembro, uma persona que a Microsoft Threat Intelligence acredita ser um grupo afiliado ao Irã afirmou que dados foram vazados de duas empresas americanas. O grupo assumiu a responsabilidade por ataques de exclusão de dados contra essas empresas um mês antes.

Os grupos iranianos usam uma série de métodos de influência cibernética para atingir seus objetivos. A Microsoft Threat Intelligence observou que o grupo IRGC chamado Cotton Sandstorm usou até 10 personas online para executar vários métodos ao longo do segundo semestre de 2023, muitas vezes adotando mais de uma dessas rotas simultaneamente.

Enquanto o conflito continuar, as operações de influência cibernética do Irã provavelmente não apenas crescerão, mas também se tornarão mais cooperativas e destrutivas. Embora esses grupos continuem a explorar oportunidades, suas táticas estão cada vez mais calculadas e coordenadas. Uma compreensão aprofundada dessas técnicas, fortalecida por uma ameaça abrangente inteligência, pode dar aos defensores uma vantagem na identificação e mitigação desses ataques onde quer que apareçam.