Франция обвиняет Иран в саботаже супермаркетных морозильников: 700 объектов, пожары, судебное расследование
Франция официально приписала октябрьский саботаж холодильных систем примерно на 700 розничных объектах иранскому киберподразделению и открыла судебное расследование по саботажу в пользу иностранного государства, как формулируют прокуроры. Несколько недель инцидента в промышленности превратились в названное обвинение на уровне государства с ордерами на арест и дипломатической конфронтацией.
Министерство по делам Европы и иностранных дел назвало «Shahid Kaveh», описанное как кибернаступательное подразделение, связанное с электронным и киберцентром Корпуса стражей исламской революции. Оценка поступила через центр координации киберкризисов Франции C4, который привлекает ANSSI, военное киберкомандование и разведслужбы. Согласно BleepingComputer, CERT‑FR также связывает подразделение с хактивистскими персонами CyberAveng3rs, Soldiers of Solomon и Cyber Isnaad Front.«Франция самым решительным образом осуждает неприемлемые кибератаки, совершённые на её территории Исламской Республикой Иран против её интересов.»
Что произошло в ночь с 11 на 12 октября
Злоумышленники достигли интернет-доступных административных интерфейсов холодильных контроллеров и изменили настройки разморозки, чтобы циклы работали без ограничения по времени, повышая температуры шкафов. BleepingComputer сообщает, что были скомпрометированы контроллеры Danfoss, а параметры разморозки повышены до высоких температур. Французское издательство безопасности ZATAZ добавляет, что затронутое оборудование включало устройства Danfoss AK‑SM и AK‑SC и контроллеры Dixell/Copeland XWEB, некоторые вне поддержки или с устаревшей прошивкой, и что тепловые сенсорные оповещения также отключались. Физические последствия были немедленными. BleepingComputer оценивает ущерб как минимум в 15 пожаров, наряду с десятками миллионов евро потерь продуктов и значительных материальных убытков. ZATAZ сообщает о «une vingtaine de départs de feu» — около двадцати пожарах — в основном тексте, тогда как более поздний пассаж в той же статье говорит о минимум 15. Два показателя публично не согласованы. Список жертв широк и в основном обыден. CERT‑FR называет Casino, Leclerc, Coopérative U, Metro, Carrefour и Intermarché, плюс небольшие мясные магазины, скотобойня и кооперативные пищеперерабатывающие предприятия. Следователи также обнаружили атаки на промышленное оборудование Schneider Electric на малых гидроэлектростанциях того же периода с умеренными последствиями.Судебное расследование и ордера
9 ноября прокуратура Парижа открыла формальное судебное расследование по октябрьским атакам, согласно ZATAZ. Расследование ведут OFAC, национальное управление по борьбе с киберпреступностью, и DGSI, служба внутренней разведки. Прокуратура Laure Beccuau рассматривает мошеннический доступ к компьютерным системам в составе организованной группы, ущерб, способный подвергнуть опасности людей, и действия в интересах иностранного государства. ZATAZ сообщает, что запрошены международные ордера на арест трёх лиц: руководителя группы Shahid Kaveh и двух его заместителей. Это запрос, а не приговор. Сама атрибуция основывается на сходящихся индикаторах, а не единственном доказательстве — метод действия группы, следы на фарси в инфраструктуре атакующих и соединения, исходящие из терминалов в Иране.Почему холодильное оборудование — цель для физического эффекта
Оборудование холодильной цепи — привлекательная цель для любого, кто желает видимый физический результат без касания платёжной системы. Контроллер холодильника — маленький встроенный компьютер с веб-интерфейсом, часто установленный годы назад подрядчиком, редко обновляемый и нередко доступный из общедоступного интернета для удалённого обслуживания. Никто не ожидает, что он будет рубежом безопасности, поэтому обычно он им и не является. Не было требований выкупа и сообщений о краже данных. Эффект был чисто операционным: испорченный товар, пожары от перегревающегося оборудования и магазины, вынужденные закрыться или списать запасы. Этот профиль — низкая изощрённость на уровне доступа, высокая значимость на физическом уровне — оправдывает внимание к открытому OT-оборудованию. Технический анализ, опубликованный RedHotCyber, на основе исследования Sekoia, нашел более 2700 открытых систем Danfoss по всему миру 11 октября, около 1700 из них во Франции. К 16:00 12 октября примерно половина французских устройств перестала быть публично доступной.Вторая волна, которую Франция не приписала
Вторая кампания последовала в ноябре. BleepingComputer сообщает о более 115 затронутых магазинах в шести европейских странах, включая три учреждения хранения продуктов крови, где изменялись температуры и параметры разморозки. RedHotCyber описывает инциденты в ночь с 1 на 2 ноября примерно в дюжине европейских стран, включая Бельгию, Нидерланды, Германию и Швецию, с температурами во французских учреждениях службы крови установленными до 110 градусов по Цельсию до вмешательства персонала. Франция приписала Ирану только октябрьские атаки на супермаркеты; происхождение ноябрьской волны остаётся публично неизвестным. Отдельно FBI и CISA предупреждают о продолжающихся атаках на системы промышленного охлаждения и мониторинга холодильной цепи. Дипломатически Франция заявила о вызове иранского посла и продвижении новых санкций ЕС против иранских лиц и организаций, вовлечённых во вредоносные кибероперации.Что должны проверить операторы
Оборонные уроки в основном касаются выставленности. Работа Sekoia с honeypot, как резюмирует RedHotCyber, фиксировала неаутентифицированные запросы к веб-действиям контроллеров и распыление паролей против учётных записей supervisor и admin с использованием пароля 12345 — напоминание, что стандартные учётные данные на строительном и холодильном оборудовании всё ещё актуальная проблема, не историческая.- Инвентаризуйте каждый холодильный и HVAC контроллер и выясните, какие отвечают на публичном IP‑адресе.
- Устраните прямое интернет-подключение; разместите удалённое обслуживание за VPN или прыжковым хостом с логгированием.
- Замените стандартные и общие учётные данные и проверьте учётные записи с полными административными правами, которые никому не принадлежат.
- Обновите или замените прошивки вне поддержки; если поставщик более не выпускает обновления, планируйте замену.
- Сегментируйте OT‑сети и сети управления зданием от корпоративной IT.
- Отслеживайте изменения конфигурации циклов разморозки, уставок и порогов сенсоров, а не только сетевые аномалии.