Francia acusa a Irán del sabotaje a frigoríficos de supermercados: 700 sitios, incendios, una investigación judicial
Francia ha atribuido formalmente el sabotaje de octubre de los sistemas de refrigeración en unos 700 establecimientos minoristas a una unidad cibernética iraní y ha abierto una investigación judicial por lo que los fiscales describen como sabotaje llevado a cabo por cuenta de una potencia extranjera. El suceso industrial de varias semanas se convierte así en una acusación estatal nominada, con órdenes de arresto y una confrontación diplomática añadidas.
El Ministerio de Europa y Asuntos Exteriores nombró a "Shahid Kaveh", descrita como una unidad ciberofensiva afiliada al centro electrónico y cibernético de la Guardia Revolucionaria Islámica. La evaluación llegó a través del centro de coordinación de crisis cibernéticas de Francia, C4, que incluye a la ANSSI, el mando cibernético militar y los servicios de inteligencia. Según BleepingComputer, CERT‑FR también vincula la unidad con personas hacktivistas como CyberAveng3rs, Soldiers of Solomon y Cyber Isnaad Front."Francia condena enérgicamente los inaceptables ciberataques llevados a cabo en su territorio por la República Islámica de Irán contra sus intereses."
Lo que ocurrió la noche del 11 al 12 de octubre
Los atacantes alcanzaron interfaces de administración con exposición a internet en controladores de refrigeración y alteraron los ajustes de descongelación para que ciclos corrieran sin límite de tiempo, elevando temperaturas de cámaras. BleepingComputer reporta que se comprometieron controladores de refrigeración Danfoss y se aumentaron parámetros de descongelación a altas temperaturas. El portal francés de seguridad ZATAZ añade que el hardware afectado incluía unidades Danfoss AK‑SM y AK‑SC y controladores Dixell/Copeland XWEB, algunos fuera de soporte o con firmware obsoleto, y que también se desactivaron alertas de sensores térmicos. Las consecuencias físicas fueron inmediatas. BleepingComputer coloca el daño en al menos 15 incendios, junto a decenas de millones de euros en pérdidas alimentarias y daños materiales significativos. ZATAZ reporta "une vingtaine de departs de feu" — alrededor de veinte incendios — en su texto principal, mientras un pasaje posterior en el mismo artículo dice al menos 15. Las dos cifras no han sido reconciliadas públicamente. La lista de víctimas es amplia y mayoritariamente mundana. CERT‑FR nombra Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, además de carnicerías más pequeñas, un matadero y instalaciones cooperativas de procesamiento alimentario. Los investigadores también encontraron ataques a equipos industriales Schneider Electric en pequeñas instalaciones hidroeléctricas del mismo período, con efectos moderados.Una investigación judicial y órdenes de arresto
El 9 de noviembre la fiscalía de París abrió una investigación judicial formal sobre los ataques de octubre, según ZATAZ. La pesquisa la llevan OFAC, la oficina nacional anticibercriminalidad, y DGSI, el servicio de inteligencia interior. La fiscalía de Laure Beccuau examina acceso fraudulento a sistemas informáticos cometido en grupo organizado, daño que pueda poner en peligro a personas y actos realizados por cuenta de una potencia extranjera. ZATAZ reporta que se solicitaron órdenes de arresto internacional contra tres personas: el jefe del grupo Shahid Kaveh y dos de sus adjuntos. Eso es una solicitud, no una condena. La atribución misma se basa en indicadores convergentes más que una sola prueba — el modus operandi del grupo, rastros lingüísticos en persa en la infraestructura atacante y conexiones originadas en terminales en Irán.Por qué la refrigeración es un blanco de efectos físicos
Equipos de cadena de frío son un objetivo atractivo para cualquiera que quiera un efecto físico visible sin tocar un sistema de pagos. Un controlador de refrigeración es un pequeño computador embebido con interfaz web, a menudo instalado años atrás por un contratista, raramente parcheado y frecuentemente accesible desde internet público por mantenimiento remoto. Nadie espera que sea un límite de seguridad, así que normalmente no lo es. No hubo demanda de rescate ni robo de datos reportado en la campaña de octubre. El efecto fue puramente operacional: mercadería estropeada, incendios por equipos sobrecalentados y tiendas obligadas a cerrar o desechar inventario. Ese perfil — baja sofisticación en la capa de acceso, alta consecuencia en la capa física — es lo que hace valioso vigilar equipos OT expuestos. El análisis técnico publicado por RedHotCyber, basado en investigación de Sekoia, encontró más de 2.700 sistemas Danfoss expuestos globalmente el 11 de octubre, unos 1.700 de ellos en Francia. Hacia las 16:00 del 12 de octubre aproximadamente la mitad de los dispositivos franceses ya no eran accesibles públicamente.La segunda ola, que Francia no atribuyó
Una segunda campaña siguió en noviembre. BleepingComputer reporta más de 115 tiendas afectadas en seis países europeos, incluyendo tres instalaciones de almacenamiento de productos sanguíneos donde se alteraron temperaturas y ajustes de descongelación. RedHotCyber describe incidentes en la noche del 1 al 2 de noviembre en una docena de países europeos, incluyendo Bélgica, Países Bajos, Alemania y Suecia, con temperaturas en sitios del servicio francés de sangre establecidas hasta 110 grados Celsius antes que interveniera personal. Francia atribuyó solo los ataques de octubre a supermercados a Irán; el origen de la ola de noviembre permanece desconocido públicamente. Aparte, el FBI y CISA advierten sobre ataques continuos a sistemas de refrigeración industrial y monitoreo de cadena de frío. Diplomáticamente, Francia dijo convocaría al embajador iraní y empujaría nuevas sanciones de la UE contra individuos y organizaciones iraníes involucrados en operaciones cibernéticas maliciosas.Qué deberían revisar los operadores
Las lecciones defensivas son mayormente sobre exposición. El trabajo de honeypot de Sekoia, como resume RedHotCyber, registró peticiones no autenticadas a acciones web de controladores y pulverización de contraseñas contra cuentas supervisor y admin usando la contraseña 12345 — un recordatorio de que credenciales predeterminadas en equipos de construcción y refrigeración siguen siendo un problema vigente, no histórico.- Inventaríe cada controlador de refrigeración y HVAC y determine cuáles contestan en dirección IP pública.
- Elimine exposición directa a internet; ponga mantenimiento remoto detrás de una VPN o un host salto con registro.
- Reemplace credenciales predeterminadas y compartidas y revise cuentas con privilegios administrativos completos que nadie posee.
- Parchee o reemplace firmware fuera de soporte; si el vendedor ya no envía actualizaciones, planee el reemplazo.
- Segmente redes OT y de gestión de edificios lejos de la TI corporativa.
- Alerte sobre cambios de configuración en ciclos de descongelación, valores de consigna y umbrales de sensores, no solo anomalías de red.