La Francia accusa l'Iran del sabotaggio dei frigoriferi dei supermercati: 700 siti, incendi, un'inchiesta giudiziaria
La Francia ha attribuito formalmente il sabotaggio di ottobre dei sistemi di refrigerazione in circa 700 punti vendita a un'unità cyber iraniana e ha aperto un'inchiesta giudiziaria per quello che i magistrati descrivono come sabotaggio al servizio di una potenza straniera. Un incidente industriale durato settimane è diventato un'accusa statale nominata, con mandati di arresto e uno scontro diplomatico al seguito.
Il ministero dell'Europa e degli affari esteri ha indicato "Shahid Kaveh", descritta come unità cyber-offensiva affiliata al centro elettronico e cyber dei Guardiani della Rivoluzione islamica. La valutazione è arrivata tramite il centro di coordinamento delle crisi cyber francese, C4, che coinvolge ANSSI, comando cyber militare e servizi di intelligence. Secondo BleepingComputer, CERT‑FR collega l'unità anche a persone hacktiviste come CyberAveng3rs, Soldiers of Solomon e Cyber Isnaad Front."La Francia condanna con la massima fermezza gli inaccettabili attacchi informatici condotti sul proprio territorio dalla Repubblica islamica dell'Iran contro i suoi interessi."
Cosa è successo nella notte tra l'11 e il 12 ottobre
Gli attaccanti hanno raggiunto interfacce di amministrazione esposte su internet nei controllori di refrigerazione e hanno modificato le impostazioni di sbrinamento perché i cicli girassero senza limite di tempo, facendo salire le temperature degli armadi. BleepingComputer riporta che sono stati compromessi controllori di refrigerazione Danfoss e le impostazioni di sbrinamento sono state portate a temperature elevate. Il media francese di sicurezza ZATAZ aggiunge che l'hardware colpito comprendeva unità Danfoss AK‑SM e AK‑SC e controllori Dixell/Copeland XWEB, alcuni fuori supporto o con firmware obsoleto, e che sono stati disattivati anche gli allarmi dei sensori termici. Le conseguenze fisiche sono state immediate. BleepingComputer stima i danni in almeno 15 incendi, oltre a decine di milioni di euro di perdite alimentari e danni materiali significativi. ZATAZ riporta "une vingtaine de departs de feu" — una ventina di incendi — nel testo principale, mentre un passaggio successivo dello stesso articolo dice almeno 15. Le due cifre non sono state riconciliate pubblicamente. L'elenco delle vittime è ampio e per lo più ordinario. CERT‑FR cita Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, oltre a macellerie più piccole, un mattatoio e impianti cooperativi di trasformazione alimentare. Gli investigatori hanno trovato anche attacchi ad apparecchiature industriali Schneider Electric in piccoli impianti idroelettrici dello stesso periodo, con effetti moderati.Un'inchiesta giudiziaria e i mandati
Il 9 novembre la procura di Parigi ha aperto un'inchiesta giudiziaria formale sugli attacchi di ottobre, secondo ZATAZ. L'indagine è condotta da OFAC, l'ufficio nazionale anticrimine informatico, e DGSI, il servizio di intelligence interno. L'ufficio di Laure Beccuau esamina accesso fraudolento a sistemi informatici commesso in gruppo organizzato, danneggiamenti idonei a mettere in pericolo persone e atti al servizio di una potenza straniera. ZATAZ riferisce che sono stati richiesti mandati di arresto internazionali contro tre persone: il responsabile del gruppo Shahid Kaveh e due suoi vice. È una richiesta, non una condanna. L'attribuzione stessa poggia su indicatori convergenti più che su una prova unica — il modus operandi del gruppo, tracce linguistiche in farsi nell'infrastruttura attaccante e connessioni provenienti da terminali in Iran.Perché la refrigerazione è un bersaglio a effetto fisico
Le apparecchiature della catena del freddo sono un bersaglio attraente per chi vuole un effetto fisico visibile senza toccare un sistema di pagamento. Un controllore di refrigerazione è un piccolo computer embedded con interfaccia web, spesso installato anni prima da un appaltatore, raramente aggiornato e frequentemente raggiungibile da internet pubblico per comodità di manutenzione remota. Nessuno si aspetta che sia un confine di sicurezza, quindi di solito non lo è. Non ci sono stati riscatti né furti di dati segnalati. L'effetto è stato puramente operativo: merce deteriorata, incendi innescati da apparecchiature surriscaldate e negozi costretti a chiudere o a smaltire l'inventario. Quel profilo — bassa sofisticazione al livello di accesso, alta conseguenza al livello fisico — è ciò che rende degno di attenzione l'hardware OT esposto. L'analisi tecnica pubblicata da RedHotCyber, basata sulla ricerca di Sekoia, ha rilevato oltre 2.700 sistemi Danfoss esposti globalmente l'11 ottobre, circa 1.700 dei quali in Francia. Alle 16:00 del 12 ottobre circa metà dei dispositivi francesi non era più raggiungibile pubblicamente.La seconda ondata, che la Francia non ha attribuito
Una seconda campagna è seguita a novembre. BleepingComputer riporta oltre 115 negozi colpiti in sei paesi europei, comprese tre strutture di stoccaggio di emoderivati dove sono state alterate temperature e impostazioni di sbrinamento. RedHotCyber descrive incidenti nella notte tra l'1 e il 2 novembre in una dozzina di paesi europei, tra cui Belgio, Paesi Bassi, Germania e Svezia, con temperature nei siti del servizio sangue francese impostate fino a 110 gradi Celsius prima dell'intervento del personale. La Francia ha attribuito all'Iran solo gli attacchi di ottobre ai supermercati; l'origine dell'ondata di novembre resta pubblicamente sconosciuta. Separatamente, FBI e CISA hanno avvertito di attacchi in corso a sistemi di refrigerazione industriale e di monitoraggio della catena del freddo. Sul piano diplomatico, la Francia ha annunciato che convocherà l'ambasciatore iraniano e spingerà per nuove sanzioni UE contro individui e organizzazioni iraniane coinvolti in operazioni cyber malevole.Cosa dovrebbero verificare gli operatori
Le lezioni difensive riguardano soprattutto l'esposizione. Il lavoro honeypot di Sekoia, come riassunto da RedHotCyber, ha registrato richieste non autenticate verso azioni web dei controllori e password spraying contro account supervisor e admin usando la password 12345 — un promemoria che le credenziali predefinite su apparecchiature edilizie e di refrigerazione sono ancora un problema attuale, non storico.- Inventariate ogni controllore di refrigerazione e HVAC e stabilite quali rispondono su un indirizzo IP pubblico.
- Rimuovete l'esposizione diretta a internet; mettete la manutenzione remota dietro una VPN o un jump host con log.
- Sostituite credenziali predefinite e condivise e verificate account con privilegi amministrativi completi che nessuno possiede.
- Applicate patch o sostituite firmware fuori supporto; se il fornitore non rilascia più aggiornamenti, pianificate la sostituzione.
- Segmentate le reti OT e di gestione edifici lontano dall'IT aziendale.
- Allertate su modifiche di configurazione a cicli di sbrinamento, setpoint e soglie dei sensori, non solo su anomalie di rete.