França culpa o Irã pelo sabotagem dos congeladores de supermercado: 700 locais, incêndios, um inquérito judicial
A França atribuiu formalmente o sabotagem de outubro dos sistemas de refrigeração em cerca de 700 locais de retalho a uma unidade cibernética iraniana e abriu um inquérito judicial pelo que os procuradores descrevem como sabotagem em nome de uma potência estrangeira. O incidente industrial de várias semanas transformou-se numa acusação estatal nominada, com mandados de captura e uma confrontação diplomática associados.
O Ministério da Europa e dos Negócios Estrangeiros nomeou "Shahid Kaveh", descrita como uma unidade ciberofensiva afiliada ao centro eletrónico e cibernético da Guarda Revolucionária Islâmica. A avaliação surgiu através do centro de coordenação de crises cibernéticas de França, C4, que reúne a ANSSI, o comando cibernético militar e os serviços de informações. Segundo o BleepingComputer, o CERT‑FR associa também a unidade a personas hacktivistas como CyberAveng3rs, Soldiers of Solomon e Cyber Isnaad Front."A França condena com a maior firmeza os inaceitáveis ciberataques realizados no seu território pela República Islâmica do Irão contra os seus interesses."
O que aconteceu na noite de 11 para 12 de outubro
Os atacantes alcançaram interfaces de administração expostas à internet em controladores de refrigeração e alteraram as configurações de descongelação para que os ciclos funcionassem sem limite de tempo, elevando as temperaturas das câmaras. O BleepingComputer relata que controladores de refrigeração Danfoss foram comprometidos e as configurações de descongelação elevadas a temperaturas altas. O meio francês de segurança ZATAZ acrescenta que o equipamento afetado incluía unidades Danfoss AK‑SM e AK‑SC e controladores Dixell/Copeland XWEB, alguns fora de suporte ou com firmware obsoleto, e que os alertas de sensores térmicos também foram desativados. As consequências físicas foram imediatas. O BleepingComputer situa os danos em pelo menos 15 incêndios, a par de dezenas de milhões de euros em perdas alimentares e danos materiais significativos. O ZATAZ refere "une vingtaine de departs de feu" — cerca de vinte incêndios — no texto principal, enquanto uma passagem posterior do mesmo artigo diz pelo menos 15. Os dois números não foram publicamente reconciliados. A lista de vítimas é ampla e sobretudo banal. O CERT‑FR nomeia Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, além de talhos mais pequenos, um matadouro e instalações cooperativas de transformação alimentar. Os investigadores encontraram também ataques a equipamento industrial Schneider Electric em pequenas instalações hidroelétricas do mesmo período, com efeitos moderados.Um inquérito judicial e mandados
A 9 de novembro a procuradoria de Paris abriu um inquérito judicial formal sobre os ataques de outubro, segundo o ZATAZ. A investigação é conduzida pelo OFAC, o gabinete nacional anticibercrime, e pela DGSI, o serviço de informações internas. O gabinete de Laure Beccuau examina acesso fraudulento a sistemas informáticos cometido em grupo organizado, danos suscetíveis de pôr pessoas em perigo e atos em nome de uma potência estrangeira. O ZATAZ relata que foram pedidos mandados de captura internacionais contra três pessoas: o responsável do grupo Shahid Kaveh e dois dos seus adjuntos. É um pedido, não uma condenação. A própria atribuição assenta em indicadores convergentes e não numa prova única — o modus operandi do grupo, vestígios linguísticos em farsi na infraestrutura atacante e ligações originadas em terminais no Irão.Porque é a refrigeração um alvo de efeito físico
Equipamento de cadeia de frio é um alvo atrativo para quem quer um efeito físico visível sem tocar num sistema de pagamentos. Um controlador de refrigeração é um pequeno computador embebido com interface web, muitas vezes instalado anos antes por um empreiteiro, raramente atualizado e frequentemente acessível a partir da internet pública por conveniência de manutenção remota. Ninguém espera que seja uma fronteira de segurança, por isso normalmente não é. Não houve pedido de resgate nem roubo de dados reportado. O efeito foi puramente operacional: stock deteriorado, incêndios provocados por equipamento sobreaquecido e lojas forçadas a fechar ou a descartar inventário. Esse perfil — baixa sofisticação na camada de acesso, alta consequência na camada física — é o que torna o equipamento OT exposto digno de atenção. A análise técnica publicada pelo RedHotCyber, com base na investigação da Sekoia, encontrou mais de 2.700 sistemas Danfoss expostos globalmente a 11 de outubro, cerca de 1.700 deles em França. Pelas 16h00 de 12 de outubro cerca de metade dos dispositivos franceses já não estavam acessíveis publicamente.A segunda vaga, que a França não atribuiu
Uma segunda campanha seguiu-se em novembro. O BleepingComputer relata mais de 115 lojas atingidas em seis países europeus, incluindo três instalações de armazenamento de produtos sanguíneos onde temperaturas e configurações de descongelação foram alteradas. O RedHotCyber descreve incidentes na noite de 1 para 2 de novembro em cerca de uma dúzia de países europeus, incluindo Bélgica, Países Baixos, Alemanha e Suécia, com temperaturas nos locais do serviço francês de sangue definidas até 110 graus Celsius antes da intervenção do pessoal. A França atribuiu apenas os ataques de outubro a supermercados ao Irão; a origem da vaga de novembro continua publicamente desconhecida. Separadamente, o FBI e a CISA avisaram sobre ataques em curso a sistemas de refrigeração industrial e de monitorização da cadeia de frio. Diplomaticamente, a França disse que convocará o embaixador iraniano e pressionará por novas sanções da UE contra indivíduos e organizações iranianas envolvidos em operações cibernéticas maliciosas.O que os operadores devem verificar
As lições defensivas são sobretudo sobre exposição. O trabalho de honeypot da Sekoia, tal como resumido pelo RedHotCyber, registou pedidos não autenticados a ações web dos controladores e pulverização de palavras-passe contra contas supervisor e admin usando a palavra-passe 12345 — um lembrete de que credenciais predefinidas em equipamento de edifícios e refrigeração continuam a ser um problema atual, não histórico.- Inventarie cada controlador de refrigeração e AVAC e determine quais respondem num endereço IP público.
- Remova a exposição direta à internet; coloque a manutenção remota atrás de uma VPN ou de um host de salto com registo.
- Substitua credenciais predefinidas e partilhadas e verifique contas com privilégios administrativos totais que ninguém possui.
- Atualize ou substitua firmware fora de suporte; se o fornecedor já não envia atualizações, planeie a substituição.
- Segmente redes OT e de gestão de edifícios longe da TI corporativa.
- Alerta sobre alterações de configuração em ciclos de descongelação, valores de referência e limites de sensores, não apenas anomalias de rede.