Frankreich bezichtigt Iran der Supermarkt‑Kühlschranksabotage: 700 Standorte, Brände, eine gerichtliche Untersuchung
Frankreich hat die Oktober‑Sabotage von Kühlanlagen an rund 700 Einzelhandelstandorten einer iranischen Cyber‑Einheit offiziell zugerechnet und eine gerichtliche Untersuchung eröffnet wegen Sabotage im Auftrag einer ausländischen Macht, wie die Staatsanwaltschaft formuliert. Aus einem mehrwöchigen industriellen Zwischenfall ist damit eine staatliche Beschuldigung mit internationalen Haftbefehlen und diplomatischer Konfrontation geworden.
Das Ministerium für Europa und auswärtige Angelegenheiten nannte "Shahid Kaveh", eine Cyber‑Angriffseinheit, die dem elektronischen und cyber‑Zentrum der Islamischen Revolutionsgarde nahesteht. Die Einschätzung kam über Frankreichs Cyber‑Krisenkoordinationszentrum C4, das ANSSI, das militärische Cyber‑Kommando und die Nachrichtendienste einbezieht. Laut BleepingComputer verknüpft CERT‑FR die Einheit auch mit Hacktiv‑Personas wie CyberAveng3rs, Soldiers of Solomon und Cyber Isnaad Front."Frankreich verurteilt aufs Schärfste die inakzeptablen Cyberangriffe, die das Territorium der Islamischen Republik Iran gegen seine Interessen ausgeführt hat."
Was in der Nacht vom 11. auf den 12. Oktober geschah
Angreifer griffen auf internetzugängliche Administrationsoberflächen von Kühlanlagen‑Steuerungen zu und veränderten die Abtau‑Einstellungen so, dass Zyklen ohne Zeitlimit liefen und die Kabinettemperaturen steigen ließen. BleepingComputer berichtet, dass Danfoss‑Kühlanlagen‑Steuerungen kompromittiert wurden und Abtauparameter auf hohe Temperaturen gesetzt wurden. Das französische Sicherheitsportal ZATAZ ergänzt, dass betroffene Hardware Danfoss AK‑SM‑ und AK‑SC‑Geräte sowie Dixell/Copeland XWEB‑Steuerungen umfasste, teils außerhalb des Supports oder mit veralteter Firmware, und dass Wärmesensoralarme ebenfalls abgeschaltet wurden. Die physischen Folgen waren unmittelbar. BleepingComputer beziffert den Schaden auf mindestens 15 Brände, neben zehn Millionen Euro Lebensmittelverlusten und erheblichen Sachschäden. ZATAZ berichtet von "une vingtaine de departs de feu" – etwa zwanzig Bränden – im Haupttext, während eine spätere Passage im selben Artikel mindestens 15 nennt. Die zwei Zahlen wurden öffentlich nicht abgeglichen. Die Opferliste ist breit und meist alltäglich. CERT‑FR nennt Casino, Leclerc, Coopérative U, Metro, Carrefour und Intermarché sowie kleinere Metzgereien, einen Schlachthof und genossenschaftliche Lebensmittelverarbeitungsbetriebe. Ermittler fanden auch Angriffe auf Schneider‑Electric‑Industrieausrüstung in kleinen Wasserkraftwerken derselben Periode, mit moderaten Auswirkungen.Eine gerichtliche Untersuchung und Haftbefehle
Am 9. November eröffnete die Staatsanwaltschaft Paris eine formelle gerichtliche Untersuchung zu den Oktober‑Angriffen, so ZATAZ. Die Ermittlungen führen OFAC, das nationale Büro zur Bekämpfung der Cyberkriminalität, und DGSI, der Inlandsnachrichtendienst. Die Staatsanwaltschaft von Laure Beccuau prüft betrügerischen Zugriff auf Computersysteme in einer kriminellen Vereinigung, gefährdende Sachbeschädigung und Handlungen im Auftrag einer ausländischen Macht. ZATAZ berichtet, dass internationale Haftbefehle gegen drei Personen beantragt wurden: den Leiter der Shahid‑Kaveh‑Gruppe und zwei seiner Stellvertreter. Das ist ein Antrag, kein Schuldspruch. Die Zuordnung selbst stützt sich auf konvergierende Indikatoren statt eines einzigen Beweises – die Vorgehensweise der Gruppe, farsisprachige Spuren in der Angreiferinfrastruktur und Verbindungen von Terminals im Iran.Warum Kühlkette ein Ziel für physische Effekte ist
Kühlkettenausrüstung ist ein attraktives Ziel für jeden, der einen sichtbaren physischen Effekt ohne Berührung eines Zahlungssystems erzielen will. Eine Kühlanlagen‑Steuerung ist ein eingebetteter Kleincomputer mit Web‑Oberfläche, oft vor Jahren von einem Auftragnehmer installiert, selten gepatcht und häufig über öffentliches Internet für Fernwartung erreichbar. Niemand erwartet, dass sie eine Sicherheitsgrenze ist, also ist sie gewöhnlich keine. Es gab kein Löseforderung und keine gemeldeten Datendiebstahl beim Oktober‑Vorfall. Die Wirkung war rein operationell: verdorbene Ware, durch Überhitzung ausgelöste Brände und Geschäfte, die schließen oder Inventar entsorgen mussten. Dieses Profil – niedrige Raffinesse an der Zugangsschicht, hohe Konsequenz an der physikalischen Schicht – macht exponierte OT‑Hardware beobachtenswert. Die technische Analyse von RedHotCyber, basierend auf Sekoias Recherche, fand am 11. Oktober weltweit über 2.700 exponierte Danfoss‑Systeme, etwa 1.700 davon in Frankreich. Bis 16:00 Uhr am 12. Oktober war etwa die Hälfte der französischen Geräte öffentlich nicht mehr erreichbar.Die zweite Welle, die Frankreich nicht zurechnete
Eine zweite Kampagne folgte im November. BleepingComputer berichtet von über 115 getroffenen Geschäften in sechs europäischen Ländern, darunter drei Blutprodukt‑Lagereinrichtungen, deren Temperatur‑ und Abtau‑Einstellungen verändert wurden. RedHotCyber beschreibt Vorfälle in der Nacht vom 1. auf den 2. November in etwa einem Dutzend europäischer Länder, darunter Belgien, die Niederlande, Deutschland und Schweden, wobei Temperaturen in den französischen Blutspendediensten bis auf 110 Grad Celsius gesetzt wurden, bevor Personal eingriff. Frankreich schrieb nur die Oktober‑Supermarktangriffe dem Iran zu; der Ursprung der November‑Welle bleibt öffentlich unbekannt. Unabhängig warnen FBI und CISA vor laufenden Angriffen auf industrielle Kühlanlagen und Kühlketten‑Überwachungssysteme. Diplomatisch kündigte Frankreich an, den iranischen Botschafter vorzuladen und neue EU‑Sanktionen gegen iranische Personen und Organisationen, die an bösartigen Cyber‑Operationen beteiligt sind, voranzutreiben.Was Betreiber überprüfen sollten
Die Verteidigungslektionen sind größtenteils Exposition. Sekoias Honeypot‑Arbeit, wie von RedHotCyber zusammengefasst, zeichnete unauthentifizierte Anfragen an Steuerungs‑Web‑Aktionen und Passwort‑Spraying gegen Supervisor‑ und Admin‑Konten mit dem Passwort 12345 auf – eine Erinnerung, dass Standard‑Anmeldedaten an Gebäude‑ und Kühlausrüstung immer noch ein aktuelles Problem sind, kein historisches.- Inventarisieren Sie jede Kühl‑ und HVAC‑Steuerung und stellen Sie fest, welche auf einer öffentlichen IP‑Adresse antworten.
- Beseitigen Sie direkte Internet‑Exposition; stellen Sie Fernwartung hinter einen VPN oder einen Jump‑Host mit Protokollierung.
- Ersetzen Sie Standard‑ und gemeinsame Anmeldedaten und prüfen Sie Konten mit vollständigen Administrationsrechten, die niemandem gehören.
- Patchen oder ersetzen Sie außerhalb des Supports befindliche Firmware; wenn der Hersteller keine Updates mehr liefert, planen Sie den Austausch.
- Trennen Sie OT‑ und Gebäudemanagement‑Netzwerke von Firmen‑IT.
- Warnen Sie bei Konfigurationsänderungen an Abtauzyklen, Sollwerten und Sensorschwellen, nicht nur bei Netzwerkanomalien.