مجموعة مرتبطة بالصين استهدفت أربعة من مراكز التحكم الإقليمية الخمسة في شبكة الكهرباء الهندية. لم يثبت أحد أنها أطفأت أنوار مومباي.

في صباح الاثنين 12 أكتوبر 2020، بعد العاشرة بقليل، انطفأت الأنوار في أنحاء مومباي. أدى عطل في الشبكة إلى انقطاع الكهرباء عن مدينة يبلغ عدد سكانها نحو 20 مليون نسمة وعن الضواحي المحيطة بها، وكان ذلك أول انقطاع من نوعه فيها منذ أكثر من عامين، بحسب Gulf News. توقفت قطارات الضواحي على السكك. وأعادت السكك الحديدية المركزية تشغيل أولى رحلاتها عند 10:55. وواصلت بورصة الأوراق المالية الوطنية وبورصة بومباي والمطار الدولي العمل، وأمر رئيس الوزراء المحلي لولاية ماهاراشترا أودهاف ثاكري بفتح تحقيق فوري، وطلب من المسؤولين إبقاء المستشفيات مزودة بالكهرباء، وكان كثير منها يعالج مرضى كوفيد-19. وقالت Tata Power إنها أعادت التيار إلى المدينة نحو الظهر.

كانت التفسيرات الأولى عادية. فقد أشارت التقارير الأولى إلى “تعطل في مركز توزيع الأحمال في بادغا بمنطقة ثين”، كما لخصتها TechTarget لاحقا، ومركز توزيع الأحمال هو غرفة تحكم توازن بين إمدادات الكهرباء والطلب عليها في منطقة ما. ونقلت Gulf News عن وزير الطاقة أنه عزا الانقطاع إلى “مشكلات فنية” أثناء أعمال صيانة.

بعد أربعة أشهر ونصف، في 28 فبراير 2021، أصدرت شركة أمريكية تُدعى Recorded Future تقريرا بعنوان “China-linked Group RedEcho Targets the Indian Power Sector Amid Heightened Border Tensions”. وخلال أيام، كان وزراء في مومباي ودلهي يقدمون للجمهور إجابات متعاكسة عن معناه.

عشرة أهداف وباب خلفي

قالت مجموعة Insikt Group، وهي الذراع البحثية لشركة Recorded Future، إنها حددت 10 مؤسسات هندية متميزة في قطاع الكهرباء كأهداف لما وصفته بحملة منسقة. وكانت أربع منها مراكز إقليمية لتوزيع الأحمال، أي أربع من غرف التحكم الخمس التي تدير الشبكة الوطنية بحسب المنطقة. وكان اثنان من الأهداف ميناءين هنديين. ولم يسمّ التقرير أيا من الضحايا.

كان دليل الشركة هو حركة الشبكة. فقد رصدت عناوين إنترنت تعود إلى جهات هندية في البنية التحتية الحيوية تتصل على مدى عدة أشهر بمجموعة متميزة من الخوادم تستخدمها المجموعة التي أسمتها RedEcho. وقالت Recorded Future إن هذا النمط يشير إلى حملة موجهة، مع قليل من المؤشرات في بياناتها على استهداف أوسع. وكانت الخوادم خوادم أوامر لبرنامج ShadowPad، وهو برنامج باب خلفي، أي منفذ خفي إلى الحاسوب يتيح للمهاجم أن يرسل إليه التعليمات. وقال التقرير إن ShadowPad “تستخدمه 5 مجموعات صينية متميزة على الأقل”.

ولم تنسب الشركة RedEcho إلى أي واحدة منها. فقد وجدت “تداخلات قوية في البنية التحتية وفي الضحايا المستهدفين” (والمقصود بنمط الضحايا هو من يقع عليهم الاستهداف) مع مجموعتين صينيتين معروفتين باسم APT41، وتسمى أيضا Barium، وTonto Team. وقالت Insikt Group إنها لا تعتقد أن الأدلة كافية لنسب النشاط إلى أي منهما نسبا قاطعا. وعليه فإن وصف “المرتبطة بالصين” هو وصف الشركة نفسها.

كان التوقيت جزءا من حجة التقرير. ففي 15 يونيو 2020 اشتبك جنود الجيشين في وادي غالوان في لداخ. وتحصي لجنة المراجعة الاقتصادية والأمنية بين الولايات المتحدة والصين، وهي هيئة أنشأها الكونغرس الأمريكي، 20 قتيلا هنديا على الأقل، وتقول إنها المرة الأولى منذ عام 1975 التي يموت فيها جنود من أي من الجانبين على تلك الحدود. ورصدت Recorded Future ارتفاعا حادا في البنية التحتية لنشاط المجموعة منذ منتصف عام 2020 فصاعدا.

وهذا هو نص تقييمها للغرض: “استهداف البنية التحتية الحيوية في الهند يتيح فرصا محدودة للتجسس الاقتصادي، غير أننا نقدّر أنه يثير مخاوف كبيرة من احتمال التمركز المسبق للوصول إلى الشبكات دعما لأهداف صينية استراتيجية.”

التمركز المسبق يعني الدخول إلى نظام ما والبقاء فيه بحيث يكون الوصول جاهزا إن احتيج إليه يوما. وذكر التقرير ما قد يُحتاج إليه من أجله: “قد يدعم التمركز المسبق في منشآت الطاقة عدة نتائج محتملة، منها إرسال إشارات جيوستراتيجية في أوقات التوتر الثنائي المتصاعد، أو دعم عمليات التأثير، أو التمهيد لتصعيد عسكري مباشر.” وقالت Recorded Future أيضا إنها أبلغت الجهات الحكومية الهندية المعنية قبل النشر، كي تتمكن المؤسسات المتضررة من التحقيق.

ما لم تقله Recorded Future

لم يدّع التقرير أنه عثر على سبب انقطاع الكهرباء. ونقلت TechTarget موقف الشركة: “في الوقت الحالي لا نستطيع أن نؤكد أن مجموعة النشاط RedEcho ولا هذه الحملة مرتبطتان بانقطاعات الكهرباء التي شهدتها منطقة مومباي في أكتوبر 2020.”

وقد نُقل عن كريستوفر أهلبرغ، الرئيس التنفيذي لشركة Recorded Future، في التقرير نفسه قوله: “النشاط يعرّض البنية التحتية المدنية الحيوية للخطر ولا ينبغي القيام به”.

وضعت صحف في الهند وخارجها الخبرين جنبا إلى جنب خلال يوم واحد. ويسجل ما نشرته The Quint عن التغطية أن حكومة ماهاراشترا أخذت علما بالدراسة وأن إدارتها السيبرانية قدمت نتائج تشير إلى احتمال التخريب. وقال نيتين راوت، وزير الطاقة في الولاية، إن ماهاراشترا شكلت ثلاث لجان للنظر في الانقطاع، وأبلغ الصحفيين بأنه يعتقد أن في الأمر أكثر من مجرد خلل فني.

وثمة تفصيل يسهل أن يفوت القارئ. فقد نقلت Business Today أن الإدارة السيبرانية في الولاية تتبعت برمجية خبيثة مشتبها بها إلى مركز توزيع الأحمال التابع للولاية في بادغا، وهو المكان نفسه الذي ذكرته التقارير الأولى عن الانقطاع. وبادغا مركز تابع للولاية. أما المراكز المذكورة في تقرير Recorded Future فكانت مراكز إقليمية، ولم يذكر التقرير أي مؤسسات هي.

مومباي قالت تخريب، ودلهي قالت خطأ بشريا

في 1 مارس 2021 قال وزير الداخلية في ماهاراشترا، أنيل ديشموخ، للصحفيين إن تقريرا أوليا من الوحدة السيبرانية في الولاية يشير إلى أن الانقطاع ربما كان تخريبا سيبرانيا. وبحسب وصفه، وجد التقرير 14 حصان طروادة (برامج تتنكر في هيئة برمجيات بريئة) على خوادم شركة الكهرباء التابعة للولاية، و8 غيغابايت من البيانات ربما نُقلت إليها من خادم خارجي، ومحاولة دخول من عنوان IP مدرج في القائمة السوداء. ولم يسمّ ديشموخ أي بلد.

وفي دلهي، قدم وزير الكهرباء في الحكومة الاتحادية، آر. كيه. سينغ، روايته المختلفة بعد أيام. ونقل موقع BOOM المتخصص في تدقيق الأخبار كلامه: “حقق فريقان في انقطاع الكهرباء وأفادا بأن الانقطاع نجم عن خطأ بشري وليس عن هجوم سيبراني”، قال سينغ. وأضاف: “أفاد أحد الفريقين بأن هجمات سيبرانية وقعت فعلا لكنها لم ترتبط بعطل شبكة مومباي.” ونقلت The Quint أنه قال إن الحكومة لا تملك دليلا على أن الصين أو باكستان نفذت الهجمات.

وكشفت وزارة الكهرباء كذلك أن الحكومة كانت قد حُذّرت من عائلة البرمجيات الخبيثة نفسها. وجاء في ردها: “وردت رسالة بريد إلكتروني من CERT-In في 19 نوفمبر 2020 عن خطر برمجية خبيثة تسمى Shadow Pad في بعض مراكز التحكم التابعة لـPOSOCO”. وCERT-In هو فريق الاستجابة الوطني لطوارئ الحاسوب. وPOSOCO شركة مملوكة للدولة تدير غرف التحكم في الشبكة. ويأتي هذا التاريخ بعد نحو خمسة أسابيع من الانقطاع، وقبل أكثر من ثلاثة أشهر من ظهور التقرير الأمريكي.

ورفضت الصين الاتهام. فقد قال المتحدث باسم وزارة خارجيتها، وانغ وينبين، في 1 مارس إن توجيه مثل هذه الاتهامات دون دليل أمر غير مسؤول وينم عن سوء نية، وإن الصين تعارض بحزم الهجمات السيبرانية بكل أنواعها.

صارت هناك الآن ثلاثة مواقف جنبا إلى جنب. قالت الإدارة السيبرانية في ماهاراشترا إن التخريب ربما وقع. وقالت وزارة الكهرباء الاتحادية إن فريقيها المحققين وجدا خطأ بشريا، مع اختراقات منفصلة لم تتسبب في العطل. وقالت Recorded Future إنها لا تستطيع تأكيد أي صلة. ولم نعثر على أي وثيقة علنية تنسب انقطاع 12 أكتوبر إلى جهة معادية، صينية أو غير صينية، ولا على نسخة منشورة من تقرير أي من الفريقين.

ثلاثة ادعاءات وما يسندها

يستند كل موقف من المواقف الثلاثة إلى نوع مختلف من الأدلة. فموقف ماهاراشترا يستند إلى قراءة إدارتها السيبرانية لمواد من خوادم شركة الكهرباء التابعة للولاية نفسها، وقد نُقلت إلى الجمهور في صورة أرقام تلاها وزير: 14 برنامجا، و8 غيغابايت، ومحاولة دخول واحدة. ولم يظهر تقرير الوحدة السيبرانية الكامل في أي من التغطيات التي راجعناها.

أما موقف الوزارة الاتحادية فيستند إلى فريقين محققين لخصت نتائجهما في بضع جمل. وإحدى هذه الجمل تقر بأن هجمات سيبرانية حدثت. والذي تنفيه هو وجود صلة سببية بعطل الشبكة، وهذا ادعاء أضيق من القول إنه لم يحدث أي اختراق.

وأما موقف Recorded Future فيستند إلى حركة شبكية رُصدت من خارج الشبكات. وهذا النوع من البيانات يبيّن أي العناوين تحدثت إلى أي الخوادم، ولكم من الوقت. وتصريح الشركة العلني عن مومباي هو الجملة الوحيدة المقتبسة أعلاه، أما ملاحظة أهلبرغ عن البنية التحتية المدنية فقد وُجهت إلى عمليات الاختراق نفسها.

لداخ، 2022

في 6 أبريل 2022 نشرت Recorded Future تقريرا ثانيا، هذه المرة عن مجموعة أسمتها TAG-38 ووصفتها بأنها على الأرجح مجموعة ترعاها الدولة الصينية. وقالت إنها وجدت سبعة مراكز على الأقل لتوزيع الأحمال على مستوى الولايات في شمال الهند، قرب الحدود المتنازع عليها في لداخ، بين الأهداف. وشملت القائمة أيضا نظام الاستجابة الوطنية للطوارئ في الهند والفرع الهندي لشركة لوجستية متعددة الجنسيات.

كانت الأداة ShadowPad مرة أخرى. وهذه المرة مرر المهاجمون قناة الأوامر عبر أجهزة DVR وكاميرات IP مخترقة، وهي الصناديق التي تخزن تسجيلات كاميرات المراقبة والكاميرات الشبكية التي تغذيها. ووصف التقرير أيضا أداة تسمى FastReverseProxy، تعيد توجيه الحركة عبر جهاز مخترق. وكتبت Recorded Future: “لم نحدد دليلا تقنيا يتيح لنا نسبه إلى RedEcho”. ووصفت النشاط بأنه “تمركز مسبق لنشاط مستقبلي”. ولم يدّع التقرير أن أي انقطاع للكهرباء قد وقع.

ورد آر. كيه. سينغ يوم الخميس 7 أبريل، وهذه المرة استخدم هو نفسه عبارة “القراصنة الصينيين”. وقال: “جرت محاولتان من قراصنة صينيين لاستهداف مراكز توزيع الكهرباء قرب لداخ لكنهما لم تنجحا”، كما نقلت The Quint. وأضاف: “لقد عززنا بالفعل منظومة دفاعنا لمواجهة هذه الهجمات السيبرانية.”

الروايتان لا تتطابقان رقما برقم. فقد أحصت Recorded Future سبعة مراكز على الأقل، وعدّ الوزير محاولتين. وكان تقريرها عن مراكز توزيع الأحمال، أي غرف التحكم التي توازن بين العرض والطلب، بينما تحدث الوزير عن مراكز توزيع. وتصريح الوزير مسجل رسميا بوصفه إقرارا حكوميا بمحاولات صينية قرب لداخ، مع نفي نجاحها.

آدهار وصحيفة وقوة شرطة

كانت الشبكة هدفا واحدا بين عدة أهداف. ففي سبتمبر 2021 نشرت Bloomberg عن نتيجة توصلت إليها Recorded Future بشأن مجموعة أخرى، تتبعتها الشركة باسم TAG-28 وتستخدم عائلة برمجيات خبيثة تسمى Winnti. وشملت ضحاياها هيئة التعريف الفريد للهند التي تدير آدهار، وشركة الإعلام Bennett Coleman، وشرطة ولاية ماديا براديش.

وبحسب Bloomberg، خرج نحو 500 ميغابايت من البيانات من شركة الإعلام بين فبراير وأغسطس. وفقدت إدارة الشرطة نحو 5 ميغابايت. وكان اختراق UIDAI أصغر من ذلك، إذ نُزّل نحو 10 ميغابايت ورُفع نحو 30. وقالت Recorded Future إنها رصدت ارتفاعا بنسبة 261 في المئة في العمليات الصينية المشتبه في رعاية الدولة لها ضد مؤسسات هندية في عام 2021 حتى ذلك الحين، مقارنة بعام 2020 كله. وأشارت Bloomberg إلى أن السلطات الصينية دأبت على نفي تورطها في القرصنة المدعومة من الدولة.

وكان رد UIDAI قصيرا. فقد قالت إنها لا تعلم بوقوع “خرق بالطبيعة الموصوفة”. ويستند ما نشرته Bloomberg إلى نتائج Recorded Future، ونفي الهيئة هو الرد الرسمي الوحيد الذي أوردته.

تطبيقات محظورة وموردون موثوقون وكاميرات معتمدة

لم تنتظر إجابات الهند الأولى عن أزمة الحدود أي تقرير عن الشبكة. ففي 29 يونيو 2020، بعد 14 يوما من غالوان، حجبت الحكومة 59 تطبيقا صينيا، منها TikTok، بموجب المادة 69A من قانون تقنية المعلومات. وقالت الوزارة إنها تلقت تقارير عن تطبيقات تنقل بيانات المستخدمين دون إذن إلى خوادم خارج الهند، وإن التطبيقات تمارس أنشطة “تضر بسيادة الهند وسلامة أراضيها ودفاع الهند وأمن الدولة والنظام العام”.

وفي قطاع الاتصالات، دخل تعديل أجرته وزارة الاتصالات على تراخيص المشغلين حيز التنفيذ في 15 يونيو 2021. فمنذ ذلك التاريخ لم يعد بوسع المشغلين نشر سوى معدات من “المصادر الموثوقة” (Trusted Sources) التي أخطر بها منسق الأمن السيبراني الوطني، وكان أي شيء خارج القائمة يحتاج إلى إذن خاص. ولاحظت MediaNama أن التغيير فُهم على نطاق واسع بأنه موجه إلى موردين صينيين مثل Huawei وZTE. وأُعفيت صيانة المعدات المركبة بالفعل.

وجاءت الكاميرات أخيرا. فمنذ 9 أبريل 2025 تحتاج كل معدات كاميرات المراقبة المتصلة بالإنترنت المباعة في الهند إلى شهادة من مديرية الاختبار والتوحيد القياسي وشهادات الجودة، المعروفة باسم STQC. وقد تطلب العملية من الشركة المصنعة أن تسلم الشيفرة المصدرية، وتقبل تدقيقا في المصنع، وتخضع أجهزتها للاختبار في مختبرات حكومية. وقال مسؤول كبير لوكالة Reuters إن “الصين جزء من القلق”. وقالت Xiaomi للوكالة إن المختبرات الهندية طلبت من مصنعيها المتعاقدين في الصين وثائق إضافية، مستندة إلى “إرشادات داخلية” تخص شركات من بلدان تشترك مع الهند في حدود برية.

يوصف كل من Hikvision وDahua، وهما شركتان صينيتان لصناعة الكاميرات، على نطاق واسع بأنهما محظورتان. وهذا غير دقيق. فقد نقلت PTC News في 1 أبريل 2026 أن المسؤولين يحجبون الموافقات عن أجهزتهما وعن الأجهزة التي تستخدم شرائح من أصل صيني، وهو ما يمنع بيع هذه المنتجات قانونيا دون صدور أمر حظر. ولم نعثر على أي أمر رسمي بحظر أي من الشركتين.

ما زالوا يواصلون في 2026

في 28 يونيو 2026 نسبت وحدة أبحاث التهديدات في Acronis حملة جديدة ضد الهند إلى Mustang Panda، وهي مجموعة صينية، بدرجة ثقة عالية. وكان أساس النسبة تداخلات في الأساليب وفي شيفرة البرمجيات الخبيثة وفي البنية التحتية للخوادم مع نشاط سابق لـMustang Panda. وكانت الأهداف قطاع الطاقة الكهرومائية في الهند وهيئات حكومية لديها اتفاقات تعاون مع تايوان.

وكان الطُعم ملفي zip باسمي “Hydropower Cooperation Project Proposal.zip” و”MOU USI-INDSR TAIWAN.zip”. واستخدمت البرمجية الخبيثة التي سمتها Acronis ZOHOMURK خدمة Zoho WorkDrive، وهي خدمة تخزين سحابي من شركة البرمجيات الهندية Zoho، لتلقي الأوامر ونقل البيانات المسروقة إلى الخارج. ووصفت Acronis الخدمة بأنها شائعة الاستخدام في الحكومة الهندية، مما يجعل الحركة تبدو عادية. أما الزرع الثاني، MINIRECON، فمشتق من عائلة برمجيات خبيثة تسمى Toneshell. ومن القرائن التي ذكرتها Acronis لنسبتها أخطاء إملائية متكررة في الشيفرة، منها “RunOnece”، إلى جانب أوجه تشابه في الشيفرة مع أدوات Mustang Panda الموثقة سابقا.

وفي مايو 2026 نقل موقع The Hacker News أن Trend Micro حددت مجموعة أسمتها SHADOW-EARTH-053، نشطة منذ ديسمبر 2024 على الأقل. وكانت الهند من أهدافها، إلى جانب باكستان وتايلاند وماليزيا وميانمار وسريلانكا وتايوان وبولندا. ودخلت المجموعة عبر ثغرات معروفة في خوادم Microsoft Exchange وIIS المتصلة بالإنترنت، وزرعت web shells، وهي برامج صغيرة تمنح المهاجم تحكما عن بعد في الخادم، وكان أحدها يسمى Godzilla. ثم جهزت ShadowPad، وهو الباب الخلفي نفسه الذي وجدته Recorded Future في شبكة الكهرباء الهندية عام 2021.

ويظهر قطاع الاتصالات أيضا في السجل، لكن بدرجة أقل من اليقين. ففي فبراير 2025 أفادت Recorded Future بأن “أكثر من نصف أجهزة Cisco المستهدفة كانت في الولايات المتحدة وأمريكا الجنوبية والهند”، وذلك في حملة نفذتها المجموعة المعروفة باسم Salt Typhoon. ولا يسمّي ما نشرته Cybersecurity Dive عن ذلك التقرير أي شركة اتصالات هندية بين الضحايا المؤكدين.

ما لن تقوله الهند

يأتي كل ما سبق تقريبا من شركات أمن أجنبية، مع ردود الوزراء إلى جانبه. فشركات Recorded Future وTrend Micro وAcronis تنشر نتائجها. أما الوكالة الهندية المكلفة بحماية أكثر أنظمة البلاد حساسية فقد قالت إنها لا تنشر.

أُنشئ المركز الوطني لحماية البنية التحتية الحيوية للمعلومات، أو NCIIPC، بموجب المادة 70A من قانون تقنية المعلومات بإخطار صدر في 16 يناير 2014، ويعمل تحت مظلة المنظمة الوطنية للبحوث التقنية. وعندما سأل البرلمان عن الهجمات على البنية التحتية الحيوية، نقل الرد الكتابي للحكومة موقف الوكالة: أن الكشف عن تفاصيل الاختراقات الأمنية السيبرانية للبنية التحتية الحيوية لا يخدم مصلحة الأمن القومي.

ويسرد الرد نفسه الآليات الموجودة فعلا. فقد عُيّن CERT-In بموجب المادة 70B من القانون الوكالة الوطنية للاستجابة لحوادث الأمن السيبراني. ويعمل منسق وطني للأمن السيبراني في أمانة مجلس الأمن القومي، ويعمل مركز التنسيق السيبراني الوطني الذي يديره CERT-In بوصفه غرفة تحكم تمسح الفضاء السيبراني الهندي بحثا عن التهديدات. ويذكر الرد أيضا مخصصات قدرها 782 كرور روبية لمشروعات الأمن السيبراني في الميزانية الاتحادية لعام 2025.

نشر مكتب معلومات الصحافة هذا الرد في 26 مارس 2025.