De Verenigde Staten hebben nieuwe sancties aangekondigd tegen Iran-gerelateerde cyberactoren. Volgens het Amerikaanse ministerie van Financiën past dit in een bredere, “whole-of-government” economische campagne om zowel digitale als financiële verbindingen die het Iraanse regime ondersteunen te doorbreken.
De actie kreeg de codenaam Operation Economic Outcast. Naast het afsnijden van geldstromen richt de maatregel zich ook op partijen die worden gelinkt aan cyberactiviteiten tegen infrastructuur in de VS en daarbuiten.
Wat betekenen de nieuwe sancties voor Iran-linked hackers?
Volgens de Treasury is het doel om Iran, en de Islamic Revolutionary Guard Corps (IRGC), te isoleren van zogenoemde financiële ‘lifelines’. Daarbij noemt de overheid niet alleen nucleaire, missile- en olie-gerelateerde netwerken, maar ook sectoren rond cyber en digitale activa.
In totaal zijn bijna 60 entiteiten, personen en schepen aangewezen. Daarmee willen de VS de ruimte verkleinen waarin Iran-linked hackers en aanverwante actoren opereren, financiering ontvangen of transacties kunnen laten lopen.
De rol van MOIS en een Malicious cyber group
De Amerikaanse overheid stelt dat een kwaadaardige cybergroep die wordt geassocieerd met het Ministry of Intelligence and Security (MOIS) achter omvangrijke compromitteringen van Amerikaanse kritieke infrastructuur zit. In de beschrijving komt een patroon naar voren van offensieve activiteiten die zowel gericht zijn op spionage als op financieel gedreven diefstal.
De Treasury wijst er bovendien op dat de MOIS-directie meerdere netwerken zou aansturen die zich bezighouden met cyberespionage, inclusief het schaden van burgers. Tegelijkertijd wordt ook aangegeven dat sommige deelnemers zwaar gemotiveerd zijn door persoonlijke verrijking, waardoor prioriteiten kunnen verschuiven naar eigen winst in plaats van taken voor MOIS.
Mabna Institute: namen en beschuldigingen
Onder de gesanctioneerde personen bevinden zich vijf individuen die eerder door het Amerikaanse ministerie van Justitie waren aangeklaagd. Zij worden gelinkt aan de Tehran-based Mabna Institute.
De genoemde namen zijn:
- Behzad Mesri
- Mojtaba Ghal’eh-Kuhi
- Keyvan Fayyaz Ghareh Blagh
- Saber Shahbazi Balujeh
- Mohammad Reza Kadkhoda’i
- Arman Kahzadian
In de beschrijving uit de sanctiecontext wordt gesteld dat met name Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh en Mohammad Reza Kadkhoda’i een groot deel van de compromise-activiteiten zouden hebben uitgevoerd. Daarbij zouden sinds ten minste eind 2023 meerdere organisaties in vitale sectoren zijn benaderd.
Die sectoren omvatten onder andere energiebedrijven, defensiecontractors, zorginstellingen, informatie technologie en financiële instellingen. Ook wordt genoemd dat hierbij data zou zijn verzameld en exfiltratie zou hebben plaatsgevonden.
Van overheidskantoren tot utilities: breder patroon
De bredere activiteiten zouden niet beperkt blijven tot één type doelwit. In de zomer van 2024 wordt verondersteld dat de threat actors verschillende lokale, staats- en federale overheidskantoren hebben doorbroken. Een jaar later zouden Mojtaba Ghal’eh-Kuhi en Saber Shahbazi Balujeh zich hebben gericht op een Iraans telecombedrijf, inclusief het exfiltreren van data.
Ook komt er een financieel profiel naar voren. Zo zou Arman Kahzadian zich vooral hebben gericht op cryptocurrency-heists, waarbij controle over een wallet met naar verluidt meer dan $30.000 aan Bitcoin in 2023 zou zijn verkregen.
On-chain bedragen en het digital assets spoor
TRM Labs zou analyses hebben gedaan op 30 wallets die gelinkt worden aan de vijf Mabna Institute-leden. Daaruit volgt een totaal van ongeveer $16,8 miljoen aan ontvangen gelden.
Verder wordt genoemd dat Keyvan Fayyaz Ghareh Blagh onder meer 10 adressen zou hebben die samen een groot deel van de on-chain volume zouden vertegenwoordigen: 15,5 miljoen tussen 6 januari 2018 en 20 augustus 2026, goed voor ongeveer 92% van het netwerkvolume.
Voor Behzad Mesri worden eveneens cijfers genoemd: meerdere adressen met in totaal $1,2 miljoen in een periode tussen 12 juli 2019 en 22 augustus 2026. De restsaldo’s over alle adressen samen zouden rond de $202.662 liggen.
Waarom dit telt: de VS koppelt deze gegevens expliciet aan isolatie op “on- en off-chain” niveau. Daarmee wordt het digital assets domein niet gezien als bijzaak, maar als een belangrijk onderdeel van de operatie.
Financiële façade’s en operational financing
Naast de sancties rond personen en wallets wordt ook gewezen op frontbedrijven die zouden helpen bij operational financing. Eerder werd in januari gerapporteerd over twee in het Verenigd Koninkrijk gevestigde bedrijven, Zedcex en Zedxion, die volgens analyses betalingen zouden faciliteren.
In de opvolgcontext wordt aangehaald dat exchanges ongeveer $1 miljard zouden verwerken in fondsen die gelinkt worden aan de IRGC. DomainTools zou vervolgens aanwijzingen hebben beschreven die passen bij een financieel façade-ecosysteem.
Ook naast de VS: bondgenoten en bredere campagne
De dreiging stopt volgens de beschrijving niet bij Amerikaanse doelen. De activiteiten zouden ook gericht zijn op bondgenoten, met een incident waarbij wordt gemeld dat vermoedelijk Iran-gerelateerde hackers een kleine energieinstallatie voor enkele dagen zouden hebben stilgezet.
Daarbij benadrukt de Britse overheid dat er geen risico zou zijn geweest voor het bredere energiesysteem. Wel laat dit zien dat Iran-linked hackers mogelijk niet alleen op “grote” systemen mikken, maar ook op kleinere operationele technologie-assets die als springplank kunnen dienen.
In dezelfde context worden ook campagnes genoemd die zich zouden uiten in aanvallen op tientallen water- en afvalwaterutilities in meerdere staten.
Strategisch risico: “access optionality”
Een belangrijke security-conclusie die in de beschrijving terugkomt, is het concept van access optionality: als een aanvaller toegang krijgt tot dezelfde account, dienst of remote-management route, kan die toegang meerdere doelen tegelijk ondersteunen.
Afhankelijk van wat er op dat moment gevraagd wordt, zou diezelfde foothold kunnen worden gebruikt voor informatieverzameling, het voorbereiden van vervolgdoelen of het selectief verstoren van systemen. Met andere woorden: de waarde van een compromis kan veranderen, terwijl de technische ingang hetzelfde blijft.
Hacktivist-ecosysteem en propagatie als versneller
Naast klassieke spionage- en sabotagecampagnes wordt er gesproken over een pro-Iran hacktivistisch (en faketivistisch) ecosysteem. Dat zou bestaan uit een mix van jihadist-aligned collectives, nationalistische actoren en netwerken die dicht bij de staat lijken te staan.
Dit zou werken via Telegram-kanalen en websites, gedeelde targetlijsten, DDoS-for-hire tooling en het hergebruiken van gelekte of gestolen data. Opvallend is dat de beschreven insteek minder draait om langdurige technische aanwezigheid, en meer om een snelle, gesynchroniseerde drukcampagne.
Het effect zou volgens de bron vooral ontstaan door snelheid, zichtbaarheid en framing die direct in het nieuws komt. Daarmee zou cyberactiviteit functioneren als schaalbare informatieoorlog.
Wat betekent dit voor organisaties die kritieke processen draaien?
Ook al zijn sancties primair politiek en financieel, de praktische implicatie is dat de dreiging zich voortzet onder andere vormen van samenwerking en financiering. Voor organisaties betekent dat: ga uit van een wereld waarin toegang snel kan worden hergebruikt en waarin operationele technologie, identiteiten en cloud-diensten elkaar versterken.
Concreet helpt het om niet alleen te focussen op het patchen van kwetsbaarheden, maar ook op het beperken van de impact wanneer er toch iets misgaat. Denk aan strakkere toegangscontrole, monitoring op ongebruikelijke remote-management patronen en het aanscherpen van incidentrespons voor scenario’s waarin data-exfiltratie centraal staat.
Als je kijkt naar AI- en softwareketenrisico’s, zie je bovendien dat dezelfde principes doorwerken: bewijsbaarheid, herleidbaarheid en het beperken van “misbruik van toegang” zijn terugkerende thema’s. Je kunt dit vertalen naar je bredere beveiligingsprogramma. Zie bijvoorbeeld hoe TRACE kan helpen bij het standaardiseren van AI-runtime bewijs.
Daarnaast is het nuttig om te leren van eerdere berichten over geavanceerde exploitatieketens en hoe aanvallers zich toegang verschaffen. Een gerelateerd voorbeeld in de context van software en aanvallen is waarom “silent patches” je verdediging kunnen misleiden.
Rewards for Justice en hogere druk op daders
De Amerikaanse aanpak blijft niet beperkt tot sancties. In dezelfde periode is ook sprake van het Rewards for Justice-programma van het Amerikaanse ministerie van Buitenlandse Zaken, met een beloning tot $10 miljoen voor informatie over individuen die zich bezighouden met kwaadaardige cyberactiviteiten tegen kritieke infrastructuur, op aanwijzing of onder controle van een buitenlandse overheid.
Voor organisaties is dit vooral een signaal: de VS beschouwt cyberaanvallen tegen vitale processen als een dossier met vervolgbare personen en netwerken, niet enkel als een technisch incident.
Conclusie
De aankondiging van nieuwe sancties tegen Iran-linked hackers laat zien dat cyberdreiging en financiële stromen steeds nauwer aan elkaar worden gekoppeld. Met Operation Economic Outcast wil de VS economische druk combineren met het afsluiten van routes die geld, technologie en toegang mogelijk maken.
Voor security teams betekent dit dat alertheid op compromissen in identiteiten, remote beheer en operationele ketens onverminderd belangrijk blijft. En omdat dezelfde toegang meerdere scenario’s kan ondersteunen, is het essentieel om je detectie- en responsaanpak te ontwerpen voor flexibel misbruik, niet alleen voor één specifiek aanvalstype.
Bron: https://thehackernews.com/2026/08/us-sanctions-iran-linked-hackers-behind.html
