法国将超市冷柜破坏事件归咎于伊朗：700 个门店、起火与司法调查
法国已正式将 10 月针对约 700 个零售门店制冷系统的破坏行动归因于一支伊朗网络部队，并启动司法调查，检方将其描述为替外国势力实施的破坏活动。一起持续数周的工业事故由此变成具名的国家层面指控，附带逮捕令与外交对峙。
法国欧洲与外交部点名“Shahid Kaveh”，称其为隶属于伊朗伊斯兰革命卫队电子与网络中心的网络攻击部队。该评估通过法国网络危机协调中心 C4 发布，该中心汇集 ANSSI、军事网络司令部与情报机构。据 BleepingComputer 报道，CERT‑FR 还将该部队与 CyberAveng3rs、Soldiers of Solomon 和 Cyber Isnaad Front 等黑客活动者身份相关联。“法国最强烈地谴责伊朗伊斯兰共和国在其领土上针对法国利益实施的不容接受的网络攻击。”
10 月 11 日至 12 日夜间发生了什么
攻击者访问了暴露在互联网上的制冷控制器管理界面，修改除霜设置使循环不受时间限制运行，从而推高柜内温度。BleepingComputer 报道称 Danfoss 制冷控制器被入侵，除霜参数被调至高温。法国安全媒体 ZATAZ 补充说，受影响硬件包括 Danfoss AK‑SM 与 AK‑SC 设备以及 Dixell/Copeland XWEB 控制器，其中一些已停止支持或运行过时固件，并且热传感器警报也被关闭。 物理后果立即显现。BleepingComputer 给出的损失是至少 15 起火灾，另有数千万欧元的食品损失和重大物质损坏。ZATAZ 在正文中写道“une vingtaine de departs de feu”——约二十起火灾——而同一篇文章稍后又称至少 15 起。这两个数字未在公开层面得到统一。 受害名单广泛且大多平淡无奇。CERT‑FR 列出 Casino、Leclerc、Coopérative U、Metro、Carrefour 和 Intermarché，以及较小的肉店、一家屠宰场和合作社食品加工设施。调查人员还在同期小型水电站发现针对施耐德电气工业设备的攻击，影响有限。司法调查与逮捕令
据 ZATAZ 报道，巴黎检方于 11 月 9 日就 10 月攻击启动正式司法调查。调查由负责打击网络犯罪的国家机构 OFAC 与国内情报机构 DGSI 承办。洛尔·贝库的检方正在审查有组织团伙非法侵入计算机系统、可能危及人员的损害以及替外国势力实施的行为。 ZATAZ 报道称已请求对三人发出国际逮捕令：Shahid Kaveh 团伙负责人及其两名副手。这是请求，不是定罪。归因本身依靠多项相互印证的指标而非单一证据——该团伙的作案手法、攻击基础设施中的波斯语语言痕迹，以及来自伊朗境内终端的连接。为什么制冷是产生物理效果的目标
冷链设备对任何想要在不触碰支付系统的情况下取得可见物理效果的人都有吸引力。制冷控制器是一台带 Web 界面的小型嵌入式计算机，往往多年前由承包商安装，很少打补丁，且常因远程维护便利而可从公网访问。没人指望它是安全边界，所以它通常也不是。 10 月的行动中没有勒索要求，也没有数据窃取的报告。效果纯粹是运营层面的：库存变质、设备过热引发火灾、门店被迫关闭或丢弃存货。这种特征——接入层技术含量低、物理层后果高——正是暴露的 OT 设备值得关注的原因。据 RedHotCyber 基于 Sekoia 研究发表的技术分析，10 月 11 日全球有超过 2700 套 Danfoss 系统暴露在外，其中约 1700 套在法国。到 10 月 12 日 16:00，约半数法国设备已不再可公开访问。法国未予归因的第二波
11 月又出现了一波行动。BleepingComputer 报道六个欧洲国家超过 115 家门店受影响，其中包括三处血液制品储存设施的温度与除霜设置被改动。RedHotCyber 描述了 11 月 1 日至 2 日夜间在约十几个欧洲国家发生的事件，包括比利时、荷兰、德国和瑞典，法国血液服务机构场所的温度在工作人员介入前被设至高达 110 摄氏度。 法国仅将 10 月的超市攻击归因于伊朗；11 月那波的来源在公开层面仍不清楚。另外，FBI 与 CISA 已就针对工业制冷与冷链监控系统的持续攻击发出警告。 在外交层面，法国表示将召见伊朗大使，并推动欧盟对参与恶意网络行动的伊朗个人与组织实施新制裁。运营方应检查什么
防御教训大多与暴露面有关。据 RedHotCyber 概述，Sekoia 的蜜罐工作记录到对控制器 Web 操作的非认证请求，以及使用密码 12345 对 supervisor 和 admin 账户的密码喷洒——这提醒人们，楼宇与制冷设备上的默认凭据仍是现实问题，而非历史问题。- 清点每一台制冷与暖通空调控制器，查明哪些在公网 IP 地址上响应。
- 消除直接暴露于互联网的情况；将远程维护置于带日志的 VPN 或跳板主机之后。
- 更换默认与共享凭据，并检查无人负责却拥有完整管理权限的账户。
- 为已停止支持的固件打补丁或更换；若厂商不再发布更新，应规划替换。
- 将 OT 与楼宇管理网络同企业 IT 隔离。
- 对除霜周期、设定值和传感器阈值的配置变更告警，而不只是对网络异常告警。