Francja obwinia Iran o sabotaż zamrażarek w supermarketach: 700 placówek, pożary, śledztwo sądowe
Francja formalnie przypisała październikowy sabotaż systemów chłodniczych w około 700 placówkach handlowych irańskiej jednostce cybernetycznej i otworzyła śledztwo sądowe w sprawie tego, co prokuratura opisuje jako sabotaż w służbie obcego mocarstwa. Wielotygodniowy incydent przemysłowy stał się nazwanym oskarżeniem państwowym, z międzynarodowymi nakazami aresztowania i konfrontacją dyplomatyczną w tle.
Ministerstwo Europy i Spraw Zagranicznych wskazało „Shahid Kaveh”, opisywaną jako jednostka ofensywy cybernetycznej powiązana z centrum elektronicznym i cybernetycznym Islamskiej Gwardii Rewolucyjnej. Ocena przyszła przez francuskie centrum koordynacji kryzysów cybernetycznych C4, w którym uczestniczą ANSSI, wojskowe dowództwo cybernetyczne i służby wywiadowcze. Według BleepingComputer CERT‑FR wiąże jednostkę także z personami haktywistycznymi, takimi jak CyberAveng3rs, Soldiers of Solomon i Cyber Isnaad Front.„Francja potępia w najostrzejszych słowach niedopuszczalne cyberataki przeprowadzone na jej terytorium przez Islamską Republikę Iranu przeciwko jej interesom.”
Co stało się w nocy z 11 na 12 października
Napastnicy dotarli do udostępnionych w internecie interfejsów administracyjnych sterowników chłodniczych i zmienili ustawienia odszraniania tak, by cykle działały bez ograniczenia czasowego, podnosząc temperaturę szaf. BleepingComputer podaje, że doszło do kompromitacji sterowników chłodniczych Danfoss, a parametry odszraniania podniesiono do wysokich temperatur. Francuski serwis bezpieczeństwa ZATAZ dodaje, że dotknięty sprzęt obejmował urządzenia Danfoss AK‑SM i AK‑SC oraz sterowniki Dixell/Copeland XWEB, część poza wsparciem lub z przestarzałym firmware, a także że wyłączono alarmy czujników termicznych. Skutki fizyczne były natychmiastowe. BleepingComputer szacuje szkody na co najmniej 15 pożarów, obok dziesiątek milionów euro strat żywności i znaczących szkód materialnych. ZATAZ w głównym tekście podaje „une vingtaine de departs de feu” — około dwudziestu pożarów — podczas gdy późniejszy fragment tego samego artykułu mówi o co najmniej 15. Obie liczby nie zostały publicznie uzgodnione. Lista poszkodowanych jest szeroka i w większości zwyczajna. CERT‑FR wymienia Casino, Leclerc, Coopérative U, Metro, Carrefour i Intermarché oraz mniejsze sklepy mięsne, rzeźnię i spółdzielcze zakłady przetwórstwa spożywczego. Śledczy znaleźli też ataki na sprzęt przemysłowy Schneider Electric w małych elektrowniach wodnych w tym samym okresie, o umiarkowanych skutkach.Śledztwo sądowe i nakazy
9 listopada prokuratura paryska otworzyła formalne śledztwo sądowe w sprawie październikowych ataków, według ZATAZ. Postępowanie prowadzą OFAC, krajowe biuro ds. cyberprzestępczości, oraz DGSI, służba wywiadu wewnętrznego. Prokuratura Laure Beccuau bada nieuprawniony dostęp do systemów informatycznych w grupie zorganizowanej, uszkodzenia mogące zagrozić ludziom oraz działania w służbie obcego mocarstwa. ZATAZ podaje, że wystąpiono o międzynarodowe nakazy aresztowania trzech osób: szefa grupy Shahid Kaveh i dwóch jego zastępców. To wniosek, nie wyrok. Sama atrybucja opiera się na zbieżnych wskaźnikach, a nie jednym dowodzie — sposobie działania grupy, śladach językowych w języku farsi w infrastrukturze atakujących i połączeniach pochodzących z terminali w Iranie.Dlaczego chłodnictwo jest celem o skutku fizycznym
Sprzęt łańcucha chłodniczego jest atrakcyjnym celem dla każdego, kto chce widocznego efektu fizycznego bez dotykania systemu płatności. Sterownik chłodniczy to mały komputer wbudowany z interfejsem webowym, często zainstalowany lata temu przez wykonawcę, rzadko łatany i często osiągalny z publicznego internetu dla wygody zdalnej konserwacji. Nikt nie oczekuje, że będzie granicą bezpieczeństwa, więc zwykle nią nie jest. Nie było żądania okupu ani zgłoszonej kradzieży danych. Skutek był czysto operacyjny: zepsuty towar, pożary wywołane przegrzanym sprzętem i sklepy zmuszone do zamknięcia lub wyrzucenia zapasów. Ten profil — niska zaawansowanie na warstwie dostępu, wysoka konsekwencja na warstwie fizycznej — sprawia, że wystawiony sprzęt OT wart jest obserwacji. Analiza techniczna opublikowana przez RedHotCyber, oparta na badaniach Sekoia, wykazała ponad 2700 wystawionych systemów Danfoss na świecie 11 października, z czego około 1700 we Francji. Do godziny 16:00 12 października około połowa francuskich urządzeń nie była już publicznie osiągalna.Druga fala, której Francja nie przypisała
W listopadzie nastąpiła druga kampania. BleepingComputer podaje ponad 115 dotkniętych sklepów w sześciu krajach europejskich, w tym trzy obiekty przechowujące produkty krwiopochodne, gdzie zmieniono temperatury i ustawienia odszraniania. RedHotCyber opisuje incydenty w nocy z 1 na 2 listopada w około dwunastu krajach europejskich, m.in. w Belgii, Holandii, Niemczech i Szwecji, z temperaturami w francuskich placówkach służby krwi ustawionymi do 110 stopni Celsjusza, zanim personel interweniował. Francja przypisała Iranowi tylko październikowe ataki na supermarkety; pochodzenie listopadowej fali pozostaje publicznie nieznane. Osobno FBI i CISA ostrzegły przed trwającymi atakami na systemy chłodnictwa przemysłowego i monitoringu łańcucha chłodniczego. Dyplomatycznie Francja zapowiedziała wezwanie ambasadora Iranu i naciski na nowe sankcje UE wobec irańskich osób i organizacji zaangażowanych w złośliwe operacje cybernetyczne.Co powinni sprawdzić operatorzy
Lekcje obronne dotyczą głównie ekspozycji. Praca Sekoia z honeypotami, streszczona przez RedHotCyber, zarejestrowała nieuwierzytelnione żądania do akcji webowych sterowników oraz password spraying na konta supervisor i admin z hasłem 12345 — przypomnienie, że domyślne poświadczenia w sprzęcie budynkowym i chłodniczym to nadal aktualny problem, nie historyczny.- Zinwentaryzuj każdy sterownik chłodniczy i HVAC oraz ustal, które odpowiadają na publicznym adresie IP.
- Usuń bezpośrednią ekspozycję w internecie; umieść zdalną konserwację za VPN lub hostem skoku z logowaniem.
- Zastąp domyślne i współdzielone poświadczenia oraz sprawdź konta z pełnymi uprawnieniami administracyjnymi, których nikt nie posiada.
- Łataj lub wymieniaj firmware poza wsparciem; jeśli dostawca nie wydaje już aktualizacji, zaplanuj wymianę.
- Oddziel sieci OT i zarządzania budynkiem od korporacyjnego IT.
- Alarmuj o zmianach konfiguracji cykli odszraniania, wartości zadanych i progów czujników, nie tylko o anomaliach sieciowych.