Frankrijk beschuldigt Iran van de sabotage van supermarktvriezers: 700 locaties, branden, een gerechtelijk onderzoek
Frankrijk heeft de sabotage van oktober van koelsystemen op ongeveer 700 winkellocaties formeel toegeschreven aan een Iraanse cybereenheid en een gerechtelijk onderzoek geopend naar wat het openbaar ministerie omschrijft als sabotage ten dienste van een buitenlandse mogendheid. Een wekenlang industrieel incident is daarmee een bij naam genoemde staatsbeschuldiging geworden, met internationale arrestatiebevelen en een diplomatieke confrontatie erbij.
Het ministerie voor Europa en Buitenlandse Zaken noemde "Shahid Kaveh", omschreven als een cyberoffensieve eenheid gelieerd aan het elektronische en cybercentrum van de Islamitische Revolutionaire Garde. De beoordeling kwam via het Franse coördinatiecentrum voor cybercrises, C4, waarin ANSSI, het militaire cybercommando en de inlichtingendiensten samenwerken. Volgens BleepingComputer koppelt CERT‑FR de eenheid ook aan hacktivistische personae als CyberAveng3rs, Soldiers of Solomon en Cyber Isnaad Front."Frankrijk veroordeelt in de sterkst mogelijke bewoordingen de onaanvaardbare cyberaanvallen die de Islamitische Republiek Iran op zijn grondgebied tegen zijn belangen heeft uitgevoerd."
Wat er in de nacht van 11 op 12 oktober gebeurde
Aanvallers bereikten via internet bereikbare beheerinterfaces op koelcontrollers en wijzigden de ontdooiinstellingen zodat cycli zonder tijdslimiet liepen, waardoor de temperatuur in de kasten steeg. BleepingComputer meldt dat Danfoss-koelcontrollers zijn gecompromitteerd en ontdooiparameters op hoge temperaturen zijn gezet. Het Franse beveiligingsmedium ZATAZ voegt toe dat de getroffen hardware Danfoss AK‑SM- en AK‑SC-eenheden en Dixell/Copeland XWEB-controllers omvatte, sommige end-of-support of met verouderde firmware, en dat ook thermische sensoralarmen werden uitgeschakeld. De fysieke gevolgen waren onmiddellijk. BleepingComputer schat de schade op minstens 15 branden, naast tientallen miljoenen euro's voedselverlies en aanzienlijke materiële schade. ZATAZ meldt "une vingtaine de departs de feu" — ongeveer twintig branden — in de hoofdtekst, terwijl een latere passage in hetzelfde artikel minstens 15 noemt. De twee cijfers zijn publiek niet met elkaar verzoend. De slachtofferlijst is breed en grotendeels alledaags. CERT‑FR noemt Casino, Leclerc, Coopérative U, Metro, Carrefour en Intermarché, plus kleinere slagerijen, een slachthuis en coöperatieve voedselverwerkingsbedrijven. Onderzoekers vonden ook aanvallen op industriële apparatuur van Schneider Electric bij kleine waterkrachtcentrales in dezelfde periode, met matige effecten.Een gerechtelijk onderzoek en bevelen
Op 9 november opende het parket van Parijs een formeel gerechtelijk onderzoek naar de aanvallen van oktober, aldus ZATAZ. Het onderzoek wordt gevoerd door OFAC, het nationale bureau voor cybercriminaliteit, en DGSI, de binnenlandse inlichtingendienst. Het parket van Laure Beccuau onderzoekt frauduleuze toegang tot computersystemen in georganiseerd verband, schade die mensen in gevaar kan brengen en handelingen ten dienste van een buitenlandse mogendheid. ZATAZ meldt dat internationale arrestatiebevelen zijn aangevraagd tegen drie personen: het hoofd van de Shahid Kaveh-groep en twee van zijn plaatsvervangers. Dat is een verzoek, geen veroordeling. De toeschrijving zelf berust op convergerende indicatoren en niet op één bewijsstuk — de werkwijze van de groep, Farsi-taalkundige sporen in de aanvalsinfrastructuur en verbindingen vanaf terminals in Iran.Waarom koeling een doelwit met fysiek effect is
Koudeketenapparatuur is een aantrekkelijk doelwit voor wie een zichtbaar fysiek effect wil zonder een betalingssysteem aan te raken. Een koelcontroller is een kleine embedded computer met een webinterface, vaak jaren geleden geïnstalleerd door een aannemer, zelden gepatcht en regelmatig bereikbaar vanaf het openbare internet voor remote onderhoud. Niemand verwacht dat het een beveiligingsgrens is, dus dat is het meestal niet. Er was geen losgeldvraag en geen gemelde datadiefstal. Het effect was puur operationeel: bedorven voorraad, branden door oververhitte apparatuur en winkels die moesten sluiten of hun voorraad moesten weggooien. Dat profiel — lage sofisticatie op de toegangslaag, hoge consequentie op de fysieke laag — maakt blootgestelde OT-apparatuur de moeite van het volgen waard. De technische analyse die RedHotCyber publiceerde, gebaseerd op onderzoek van Sekoia, vond op 11 oktober wereldwijd meer dan 2.700 blootgestelde Danfoss-systemen, ongeveer 1.700 daarvan in Frankrijk. Rond 16:00 op 12 oktober was ongeveer de helft van de Franse apparaten niet langer publiek bereikbaar.De tweede golf, die Frankrijk niet toeschreef
In november volgde een tweede campagne. BleepingComputer meldt meer dan 115 getroffen winkels in zes Europese landen, waaronder drie opslagfaciliteiten voor bloedproducten waar temperaturen en ontdooiinstellingen werden gewijzigd. RedHotCyber beschrijft incidenten in de nacht van 1 op 2 november in ongeveer een dozijn Europese landen, waaronder België, Nederland, Duitsland en Zweden, met temperaturen bij de Franse bloedbanken tot 110 graden Celsius voordat personeel ingreep. Frankrijk schreef alleen de supermarktaanvallen van oktober aan Iran toe; de oorsprong van de golf van november is publiek onbekend. Los daarvan waarschuwden de FBI en CISA voor lopende aanvallen op industriële koeling en bewakingssystemen voor de koudeketen. Diplomatiek zei Frankrijk de Iraanse ambassadeur te ontbieden en te pleiten voor nieuwe EU-sancties tegen Iraanse personen en organisaties die betrokken zijn bij kwaadaardige cyberoperaties.Wat beheerders moeten controleren
De verdedigingslessen gaan vooral over blootstelling. Het honeypotwerk van Sekoia, zoals samengevat door RedHotCyber, registreerde niet-geauthenticeerde verzoeken aan webacties van controllers en password spraying tegen supervisor- en admin-accounts met het wachtwoord 12345 — een herinnering dat standaardreferenties op gebouw- en koelapparatuur nog steeds een actueel probleem zijn, geen historisch.- Inventariseer elke koel- en HVAC-controller en bepaal welke op een openbaar IP-adres antwoorden.
- Verwijder directe internetblootstelling; zet remote onderhoud achter een VPN of een spronghost met logging.
- Vervang standaard- en gedeelde referenties en controleer accounts met volledige beheerrechten die niemand bezit.
- Patch of vervang firmware die end-of-support is; als de leverancier geen updates meer levert, plan dan vervanging.
- Segmenteer OT- en gebouwbeheernetwerken los van bedrijfs-IT.
- Stel alarmen in op configuratiewijzigingen van ontdooicycli, setpoints en sensordrempels, niet alleen op netwerkanomalieën.