در پاییز ۲۰۲۵ مجموعه‌ای گسترده از اسناد و نمونه‌های عملیاتی مرتبط با یک بازیگر تهدید سایبری (APT) ایرانی منتشر شد که به‌سرعت در جامعه امنیت سایبری و رسانه‌ها موجی از واکنش‌ها ایجاد کرد. این مجموعه، که تحت عنوان «CharmingKitten» توسط گروه یا حسابی با اسم KittenBusters منتشر شد، که شامل فایل‌های درونی، گزارش‌های روزانه، کدهای منبع، لاگ‌های سرور، و اسکرین‌شات‌های گفتگوهای داخلی می‌شود. اسنادی که در مجموع ساختار، روش‌ها و حوزه عمل یک واحد سایبری وابسته به سازمان اطلاعات سپاه پاسداران (IRGC-IO) را آشکار می‌سازند و مشهورترین یگان سایبری ایران، دایره ۴۰، واحد ۱۵۰۰ یا آن طور که جهان آن را می‌شناسد: «بچه‌گربه ملوس».

گزارش‌های بیشتر

ReportFA

سیاست‌گذاری و نگاشت نهادی «نظارت و تجسس» شهروندان در جمهوری اسلامی ایرانسیاست‌گذاری نظارت و شنود

ReportFA

سامانه «اشراف بر فضای مجازی»سیاست‌گذاری نظارت و شنود

یکی از اسناد به‌دست آمده در این افشاگری ویدیویی از نسخه ۳.۰.۱ سامانه «کاشف» متعلق به سازمان اطلاعات سپاه است که در خرداد ۱۴۰۱ توسعه‌پیدا کرده‌ بود. این سامانه یک نرم‌افزار تحت وب برای جست‌وجو و تجمیع داده‌های هویتی و ارتباطی شهروندان دسترسی داشته است. اپراتور تنها با وارد کردن بخشی از یک شماره تلفن، نام صاحبان احتمالی خطوط، شماره شناسنامه، تاریخ تولد، نام پدر، نشانی، کدپستی و هزاران رکورد تماس و پیامک را مشاهده می‌کند و سپس شبکه ارتباطات فرد را به‌شکل گراف درمی‌آورد.

کاشف با عنوان رسمی «سامانه کشف و شناسایی افراد» معرفی شده است. آنچه این سامانه را مهم می‌کند، توانایی متصل کردن اطلاعات پراکنده‌ای است که از منابع مختلف جمع‌آوری شده‌اند و می‌توانند زندگی، رفت‌وآمد و شبکه روابط یک شهروند را به یک پرونده اطلاعاتی تبدیل کنند.

کاشف؛ ابزار حرفه‌ای سپاه برای جاسوسی شهروندان

فراتر از عملیات‌های نظارتی منفرد، یکی از پیامدهای بنیادین راهبرد کنترل دیجیتال جمهوری اسلامی، تمرکز بر تجمیع داده است. به‌جای اتکا صرف به شنودهای موردی یا جاسوسی هدفمند، دولت به‌طور فزاینده‌ای جمع‌آوری نظام‌مند، همبسته‌سازی و تحلیل داده‌های کاربران را در میان سکوها، خدمات و شناسه‌های مختلف در اولویت قرار داده است. در این الگو، قدرت نظارتی نه از یک نقطه داده منفرد، بلکه از توانایی ادغام مجموعه‌های ناهمگون داده در قالب پروفایل‌های رفتاری منسجم ناشی می‌شود.

افشاگری‌های مرتبط با عملیات چارمینگ کیتن این منطق را در عمل نشان می‌دهد. زیرساخت این گروه صرفا به توزیع بدافزار یا تصاحب حساب محدود نبود، بلکه به‌عنوان یک خط لوله داده عمل می‌کرد. اطلاعات گردآوری‌شده شامل اعتبارنامه‌ها، توکن‌های نشست، فراداده‌ها، شبکه‌های ارتباطی و آرشیوهای محتوایی، در طول زمان ذخیره، نمایه‌سازی و با یکدیگر تطبیق داده می‌شدند. این فرآیند امکان ساخت نقشه‌های هویت به رفتار را فراهم می‌کرد که فراتر از رویدادهای منفرد بوده و اهداف پایش بلندمدت را پشتیبانی می‌کردند.

این رویکرد مبتنی بر تجمیع، شباهت نزدیکی به رویه‌های نظارتی دولت در سکوهای داخلی دارد. دسترسی پشتیبان به خدمات ایرانی مانند پیام‌رسان‌ها، بازارهای آنلاین، ابزارهای مسیریابی و سامانه‌های پرداخت، به نهادهای حکومتی اجازه می‌دهد سیگنال‌های رفتاری را در حوزه‌های مختلف به یکدیگر پیوند دهند: الگوهای ارتباطی، داده‌های مکانی، سوابق تراکنش و روابط اجتماعی. ترکیب این داده‌ها سطحی از دیدپذیری ایجاد می‌کند که به‌مراتب فراتر از شنود قانونی متعارف است.

نکته کلیدی آن است که تجمیع داده مرز میان نظارت هدفمند و نظارت فراگیر را از میان برمی‌دارد. حتی زمانی که دسترسی از منابع گسسته آغاز می‌شود، داده‌های حاصل به‌صورت افقی گسترش می‌یابند و جمعیت‌ها را، نه صرفا افراد را، در بر می‌گیرند. این معماری، داده‌های جانبی تولیدشده در فعالیت‌های روزمره دیجیتال را به دارایی اطلاعاتی تبدیل می‌کند و امکان تحلیل پیش‌بینانه، ترسیم گراف‌های اجتماعی و تحقیقات پسینی را بدون نیاز به شنود فعال مداوم فراهم می‌سازد.

در این چارچوب، چارمینگ کیتن را باید نمونه‌ای عملی از نظارت داده‌محور تلقی کرد. روش‌های این گروه نشان می‌دهد چگونه جمع‌آوری غیرمتمرکز می‌تواند به تحلیل متمرکز تغذیه شود و راهبردی دولتی را تقویت کند که داده کاربران را به منبعی راهبردی بدل می‌سازد. همگرایی سکوهای مورد حمایت دولت، دسترسی‌های پشتیبان ممتاز و برداشت داده از منابع بیرونی، به شکل‌گیری معماری نظارتی یکپارچه‌تری اشاره دارد که در آن خودِ تجمیع، به سازوکار اصلی کنترل تبدیل می‌شود.

یکی از افشاگرانه‌ترین یافته‌ها درباره اکوسیستم نظارت پنهان جمهوری اسلامی ایران، افشای سامانه‌ای با نام کاشف است؛ یک سیستم اطلاعاتی متمرکز که برای تجمیع، همبستگی و عملیاتی‌سازی حجم عظیمی از داده‌های شخصی طراحی شده‌است. برخلاف ابزارهای نظارتی بررسی‌شده در بخش‌های پیشین، کاشف متکی به نصب بدافزار، شبیه‌سازی پلتفرم‌ها یا تعامل مستقیم با کاربر نیست. این سامانه در عوض به‌عنوان یک موتور همجوشی اطلاعاتی در لایه پشتی عمل می‌کند که داده‌های پراکنده را به نقشه‌های رفتاری و شبکه‌ای قابل استفاده تبدیل می‌کند.

سامانه کاشف زیر ذره‌بین رازنت؛ سازوکار شناسایی و ردیابی کاربران

بررسی‌ها نشان می‌دهد کاشف به اپراتورها امکان می‌دهد با وارد کردن هویت یک فرد هدف، شبکه‌ای ساخت‌یافته از ارتباطات او را استخراج کنند؛ از جمله اعضای خانواده، تماس‌های پرتکرار، سابقه سفر و الگوهای حضور مکانی. این سامانه داده‌های فراداده‌ای از منابع مختلف مانند ریز اطلاعات تلفن همراه، داده‌های مکان‌یابی، فهرست‌های پروازی و پایگاه‌های داده افشا یا استخراج‌شده در عملیات‌های سایبری را با یکدیگر همبسته می‌کند. نتیجه این فرآیند، تولید یک گراف پویا از روابط است که می‌توان آن را بر اساس نیازهای اطلاعاتی یا عملیاتی جست‌وجو، گسترش یا پالایش کرد.

بر اساس گزارش‌های موجود، کاشف توسط واحدهای امنیتی و اطلاعاتی برای شناسایی شبکه‌های اجتماعی، ردیابی ارتباطات غیرمستقیم و کشف پیوندهای پنهان میان افراد و مکان‌ها به کار گرفته می‌شود. این سامانه به‌جای شنود لحظه‌ای ارتباطات، الگوهای زندگی را به‌صورت پسینی بازسازی می‌کند و به نهادهای حکومتی امکان می‌دهد روابط اعتماد، هماهنگی‌های لجستیکی و مسیرهای تردد را استنباط کنند. همین ویژگی، کاشف را به ابزاری کلیدی برای پلیس اطلاعات‌محور، سرکوب اعتراضات و حتی هدف‌گیری فرامرزی تبدیل کرده‌است.

نکته مهم آن است که کاشف ظاهرا به‌عنوان مصرف‌کننده نهایی داده‌هایی عمل می‌کند که از سایر سازوکارهای نظارتی توصیف‌شده در این گزارش به دست آمده‌اند. اطلاعات گردآوری‌شده از طریق جاسوس‌افزارها، دسترسی‌های اداری به سکوهای داخلی، سامانه‌های شنود قانونی و نفوذهای سایبری، می‌توانند وارد کاشف شوند و در آن‌جا یکسان‌سازی و تطبیق داده شوند. از این منظر، کاشف نقطه تلاقی پشته نظارتی جمهوری اسلامی است؛ جایی که شنود، دسترسی به داده و پایش رفتاری در یک چارچوب تحلیلی واحد ادغام می‌شوند.

معماری و کارکرد کاشف نشان‌دهنده گذار از نظارت پراکنده به تولید یکپارچه اطلاعات است. جمهوری اسلامی به‌جای اتکا به داده‌های منفرد یا ابزارهای تک‌منظوره، به سمت سامانه‌هایی حرکت کرده که امکان پروفایل‌سازی بلندمدت و استنتاج پیش‌بینانه را فراهم می‌کنند. این الگو مرز میان نظارت داخلی و عملیات اطلاعاتی را محو می‌کند و اجازه می‌دهد داده‌های غیرنظامی بدون شفافیت قضایی یا نظارت معنادار، برای اهداف امنیتی بازاستفاده شوند.

به این ترتیب، کاشف نمونه‌ای روشن از بلوغ حکمرانی نظارتی در جمهوری اسلامی است؛ گذار از پایش ارتباطات به نقشه‌برداری از جامعه. این سامانه با تبدیل ردپاهای دیجیتال به اطلاعات رابطه‌ای، داده‌های شخصی را به ابزار کنترل بدل می‌کند و دامنه نظارت حکومتی را فراتر از پلتفرم‌های منفرد، به ساختار زندگی اجتماعی گسترش می‌دهد.

۱) ورود داده‌ها

کاشف در عمل یک سکوی تجمیع و پیوند داده‌ (Data Fusion) است که میان اطلاعات ظاهراً نامرتبط، ارتباط پیدا می‌کند. این سامانه لزوماً خودش داده‌ها را تولید نمی‌کند. هر منبع فقط قطعه‌ای از زندگی فرد را نگه می‌دارد: اپراتور تلفن همراه، سامانه‌های ثبت هویت، رفت‌وآمدهای خارجی و داده‌های حاصل از حملات سایبری. این قطعات وقتی جدا از هم باشند، ممکن است صرفاً سوابق اداری به نظر برسند، اما کاشف آن‌ها را کنار هم می‌گذارد تا از یک نام یا شماره تلفن، تصویری از هویت، ارتباطات، رفت‌وآمدها و شبکه اجتماعی فرد بسازد.

رابط افشاشده دو مرحله را آشکارا از یکدیگر جدا می‌کند: «جست‌وجو» و «ادغام». اپراتور ابتدا تعیین می‌کند کدام منابع بررسی شوند، سپس کاشف نتایج را به یکدیگر متصل می‌کند. به این ترتیب، یک شماره تلفن می‌تواند به مشخصات هویتی، سوابق تماس، شناسه دستگاه، محل تقریبی حضور و افراد مرتبط با صاحب خط برسد. اختصاص یک شناسه مستقل به هر جست‌وجو نیز نشان می‌دهد پرس‌وجوها احتمالاً به‌صورت پرونده‌های قابل ثبت، بازیابی و مدیریت در سامانه نگهداری می‌شوند.

۲) چه پایگاه‌هایی در دسترس کاشف قرار دارند؟

در سمت راست رابط کاربری، منابع داده به تفکیک چند اداره اطلاعاتی نمایش داده می‌شوند: اداره ۱۵۳۰ با عنوان حوزه خلیج فارس، اداره ۱۵۴۰ مرتبط با اسرائیل، اداره ۱۵۵۰ با عنوان آمریکا و اداره ۱۵۶۰ یا «اداره اتباع».

فهرست بازشده اداره اتباع از خود نام اداره مهم‌تر است. در این بخش، منابعی با عناوین زیر دیده می‌شوند:

• سفرهای خارجی ایرانیان
• مالکان خطوط «پرینت ویژه» و رکوردهای پرینت ویژه
• افراد دوتابعیتی
• دارندگان تابعیت دوم ایرانی بر اساس داده‌های وزارت کشور
• دانشجویان خارج از کشور
• تردد افراد و خودروها به اماکن دیپلماتیک
• کارکنان سفارتخانه‌های ایران
• شرکت‌های مرتبط با خارج
• ماموریت خبرنگاران بین‌المللی
• فهرست خبرنگاران بین‌المللی
• شبکه‌های اجتماعی

معماری سامانه نشان می‌دهد این گروه‌ها و رفتارها از ابتدا به‌عنوان دسته‌های قابل جست‌وجو تعریف شده‌اند. به عبارت دیگر، دوتابعیتی بودن، تحصیل در خارج، ارتباط با یک شرکت خارجی، روزنامه‌نگاری یا حتی رفت‌وآمد به یک مکان دیپلماتیک در طراحی کاشف صرفا یک ویژگی اداری نیست؛ یک شاخص اطلاعاتی است.

سامانه همچنین فیلدهای فنی LAC، cell و sector را نمایش می‌دهد. این داده‌ها به ناحیه مکانی، دکل و بخش آنتن تلفن همراه مربوط‌اند و می‌توانند محل تقریبی حضور گوشی هنگام برقراری ارتباط را مشخص کنند. این اطلاعات معادل مختصات دقیق GPS نیستند، اما برای بازسازی محدوده حضور و مسیر حرکت یک تلفن، به‌ویژه در کنار رکوردهای متعدد، ارزش اطلاعاتی بالایی دارند.

۳)‌داده‌هایی که نزدیک به یک دهه نگه داشته شده‌اند

یکی از مهم‌ترین نکاتی که در گزارش اولیه کمتر به آن پرداخته شده، سن داده‌های نمایش‌داده‌شده است. نسخه کاشف در ویدیو متعلق به سال ۱۴۰۱ است، اما برخی از رکوردهای هویتی و ارتباطی موجود در نتایج به سال‌های ۱۳۹۱ و ۱۳۹۲ بازمی‌گردند.

این یعنی سامانه، دست‌کم در نمونه نمایش‌داده‌شده، به داده‌هایی مربوط به حدود یک دهه قبل دسترسی داشته است. کاشف در نتیجه فقط ابزاری برای یافتن موقعیت یا ارتباطات امروز نیست؛ می‌تواند برای بازسازی تاریخی روابط نیز استفاده شود. شماره‌ای که سال‌هاست کنار گذاشته شده، تماسی که مدت‌ها فراموش شده یا نشانی‌ای که دیگر محل زندگی فرد نیست، ممکن است همچنان بخشی از پرونده قابل جست‌وجوی او باقی مانده باشد.

۴) یک کلیک برای تبدیل تماس به رابطه

صفحه «گراف روابط» را باز می‌کند. در مرکز گراف یک شماره تلفن و نام منتسب به صاحب آن قرار دارد و در اطرافش تماس‌های ورودی، تماس‌های خروجی، پیامک‌های دریافتی و پیامک‌های ارسالی دسته‌بندی شده‌اند.

این همان نقطه‌ای است که فراداده (Metadata) به پرونده اطلاعاتی تبدیل می‌شود. مامور لازم نیست بداند در یک تماس چه گفته شده است. دانستن اینکه چه کسی، با چه فردی، در چه تاریخی، چند بار و از کدام محدوده مکانی ارتباط داشته، برای ترسیم شبکه اجتماعی و حرفه‌ای افراد کافی است.

پیامد این قابلیت فقط متوجه فردی نیست که مستقیما هدف قرار گرفته است. هر شخصی که در ریزارتباطات او ظاهر شود، می‌تواند به گره تازه‌ای در گراف تبدیل شود. سپس ارتباطات آن فرد نیز قابل بررسی است. به این ترتیب، دامنه رصد از یک هدف اولیه به دوستان، همکاران، اعضای خانواده، منابع خبری یا حتی ارتباطات اتفاقی گسترش پیدا می‌کند.

۵) داده‌های تازه چگونه وارد کاشف می‌شوند؟

کنار هر منبع داده، علامت افزودن فایل دیده می‌شود. اپراتور می‌تواند یک فایل را انتخاب یا آن را با کشیدن و رها کردن وارد سامانه کند. کاشف نام فایل را با منبع انتخاب‌شده تطبیق می‌دهد، ورود موفق داده را اعلام می‌کند و اگر همان مجموعه قبلا بارگذاری شده باشد، هشدار تکراری بودن می‌دهد.

نتایج جست‌وجو نیز با یک کلیک به فایل سی‌اس‌وی (CSV) قابل خروجی گرفتن‌اند. بنابراین کاشف یک پایگاه بسته و ثابت نیست؛ معماری آن برای ورود مستمر مجموعه‌داده‌های تازه، جست‌وجوی دوباره و انتقال نتایج طراحی شده است. رابط کاربری امکان چنین کاری را تایید می‌کند، هرچند خود ویدیو منشأ فایل‌های بارگذاری‌شده یا میزان موفقیت حملات ادعاشده را اثبات نمی‌کند.

جای کاشف در معماری نظارت جمهوری اسلامی

طبق گزارش پیش‌تر منتشرشده رازنت، سامانه‌هایی مانند شاهکار، همتا و سیام اجزای جداگانه اما به‌هم‌پیوسته زنجیره شناسایی و ردیابی شهروندان را تشکیل می‌دهند: شاهکار شماره تلفن را به هویت رسمی صاحب سیم‌کارت متصل می‌کند، همتا پیوند میان دستگاه و سیم‌کارت را ثبت می‌کند و زیرساخت‌های مخابراتی نیز فراداده ارتباطات و موقعیت شبکه‌ای کاربران را در اختیار این ساختار نظارتی قرار می‌دهند.

پژوهش سیتیزن‌لب درباره سامانه شنود قانونی ایران نیز نشان داده است که ساختار تنظیم مقررات ارتباطی برای دسترسی مستقیم به اطلاعات مشترکان، سوابق تماس و پیامک و داده‌های مصرفی اپراتورها طراحی شده است.

ویدیوی کاشف ارتباط فنی مستقیم آن با سیام، شاهکار یا همتا را نشان نمی‌دهد؛ بنابراین نباید این اتصال را قطعی دانست. بااین‌حال، نوع داده‌های نمایش‌داده‌شده روشن می‌کند کاشف در لایه تحلیل قرار می‌گیرد: سامانه‌های دیگر هویت، دستگاه و ارتباط را ثبت می‌کنند و کاشف می‌تواند این قطعات را به یک پروفایل و گراف روابط تبدیل کند.

خطر اصلی کاشف در داشتن یک پایگاه داده عظیم خلاصه نمی‌شود و خطر آن، در توانایی تبدیل ردپاهای روزمره به یک روایت امنیتی است. روایتی که در آن یک تماس قدیمی، حضور نزدیک یک سفارتخانه یا ارتباط با یک روزنامه‌نگار می‌تواند به نقطه آغاز جست‌وجوی بعدی تبدیل شود.