Francja przypisuje Iranowi sabotażowy cyberatak na sterowniki chłodnicze w setkach sklepów

Wprowadzenie do problemu / definicja

Cyberatak wymierzony w sterowniki chłodnicze używane w handlu detalicznym pokazuje, że systemy operacyjne spoza tradycyjnego środowiska IT stają się pełnoprawnym celem działań sabotażowych. W przeciwieństwie do klasycznych incydentów polegających na kradzieży danych lub szyfrowaniu zasobów, tutaj celem było zakłócenie pracy urządzeń odpowiedzialnych za utrzymanie właściwej temperatury towarów.

To szczególnie istotny przypadek z punktu widzenia cyberbezpieczeństwa OT, ponieważ manipulacja parametrami chłodzenia może prowadzić nie tylko do strat biznesowych, ale również do zagrożeń fizycznych, takich jak uszkodzenie infrastruktury, pożary czy przerwanie ciągłości działania obiektów handlowych.

W skrócie

Francuskie władze przypisały Iranowi sabotażowy cyberatak na sterowniki chłodnicze.
Incydent objął około 700 lokalizacji handlowych i spożywczych.
Napastnicy przejęli zdalny dostęp do interfejsów administracyjnych i zmieniali ustawienia odszraniania oraz alarmów.
Skutkiem były wzrosty temperatur, utrata żywności, zakłócenia operacyjne i incydenty pożarowe.
Sprawa została uznana za jeden z najpoważniejszych przykładów cybernetycznego sabotażu OT na terytorium Francji.

Kontekst / historia

Do ataku doszło w nocy z 11 października 2026 roku. Według ustaleń francuskich instytucji celem były przede wszystkim duże sieci handlowe, jednak skutki objęły także mniejsze podmioty działające w sektorze spożywczym i w łańcuchu chłodniczym.

Incydent szybko wyszedł poza ramy standardowej obsługi technicznej. Zdarzenie zostało potraktowane jako operacja sabotażowa o wymiarze państwowym, co doprowadziło do działań dyplomatycznych, publicznej atrybucji oraz uruchomienia postępowań związanych z odpowiedzialnością sprawców.

Znaczenie tej kampanii wynika również z faktu, że według francuskich organów nie chodziło o szpiegostwo ani klasyczną cyberprzestępczość nastawioną na okup, lecz o celowe wywołanie zakłóceń i szkód w infrastrukturze obsługującej procesy fizyczne.

Analiza techniczna

Atak koncentrował się na urządzeniach OT zarządzających chłodnictwem komercyjnym, zwłaszcza na sterownikach i panelach administracyjnych dostępnych z internetu. Napastnicy mieli uzyskać zdalny dostęp do systemów zarządzania, a następnie zmieniać kluczowe parametry pracy urządzeń.

Najgroźniejszym elementem operacji było uruchamianie nieprawidłowych cykli odszraniania bez właściwych ograniczeń czasowych oraz wyłączanie lub obchodzenie alertów bezpieczeństwa związanych z przekroczeniem temperatur. Taki model działania nie wymagał niszczenia firmware ani instalowania złożonego malware w samym sterowniku. W praktyce wystarczyło przejęcie legalnego kanału administracyjnego i manipulacja konfiguracją procesową.

Według francuskiego CERT kampania dotyczyła m.in. rodzin urządzeń Danfoss AK-SM, Danfoss AK-SC, Copeland xweb oraz Dixell xweb. Wspólnym mianownikiem była publiczna ekspozycja interfejsów zarządzania, co znacząco zwiększało powierzchnię ataku.

Atrybucja została oparta na przesłankach technicznych i operacyjnych, w tym na powiązaniach infrastruktury z wcześniejszą aktywnością rozpoznawczą wymierzoną w środowiska przemysłowe, wykorzystaniu podobnych narzędzi skanujących oraz śladach wskazujących na irańskie zaplecze operacyjne. Francuskie władze powiązały kampanię z jednostką Shahid Kaveh, kojarzoną z aktywnością Korpusu Strażników Rewolucji Islamskiej.

Konsekwencje / ryzyko

Najbardziej bezpośrednim skutkiem incydentu były straty w towarach wymagających ścisłej kontroli temperatury. W praktyce oznacza to utratę żywności, konieczność utylizacji produktów, zakłócenia logistyki oraz ryzyko naruszenia wymogów sanitarnych i jakościowych.

Równie ważny jest jednak wymiar fizyczny tego typu operacji. Nieprawidłowe cykle odszraniania oraz dezaktywacja alarmów bezpieczeństwa mogą prowadzić do przegrzewania, uszkodzeń instalacji, a nawet pożarów. To pokazuje, że cyberatak na OT może przełożyć się bezpośrednio na realne zagrożenia dla ludzi, mienia i ciągłości działania biznesu.

Z perspektywy zarządzania ryzykiem incydent ujawnia kilka typowych słabości: ekspozycję urządzeń OT do internetu, niewystarczającą segmentację sieci, zależność od zdalnego serwisu, przestarzałe systemy oraz brak niezależnego monitoringu zmian parametrów procesowych.

Rekomendacje

Najważniejszym krokiem ochronnym powinno być całkowite wyeliminowanie publicznej dostępności interfejsów administracyjnych sterowników chłodniczych i podobnych systemów OT. Dostęp zdalny powinien być realizowany wyłącznie przez bezpieczne kanały, takie jak VPN, wydzielona sieć zarządzająca lub kontrolowane rozwiązania pośredniczące z silnym uwierzytelnianiem.

Przeprowadzić pełną inwentaryzację urządzeń chłodniczych i systemów OT dostępnych w organizacji.
Zweryfikować, czy jakiekolwiek sterowniki są osiągalne z publicznych adresów IP.
Sprawdzić konfiguracje alarmów, harmonogramy odszraniania, konta administracyjne i logi dostępu.
Zaktualizować firmware oraz zmienić hasła domyślne i słabe poświadczenia.
Wycofać z użycia urządzenia niewspierane lub znajdujące się w stanie end-of-life.
Wdrożyć monitoring anomalii procesowych, obejmujący nietypowe zmiany temperatur, harmonogramów i ustawień alarmowych.
Przygotować procedury reagowania łączące zespoły cyber, utrzymania technicznego, operacji i bezpieczeństwa fizycznego.

W przypadku wykrycia oznak kompromitacji konieczne jest szybkie odizolowanie urządzenia, przywrócenie bezpiecznej konfiguracji oraz ponowna walidacja parametrów procesowych przed wznowieniem pracy. Sam reset nie wystarczy, jeśli system nadal pozostaje wystawiony do internetu i zachowuje te same słabości.

Podsumowanie

Przypadek z Francji potwierdza, że sterowniki chłodnicze i inne urządzenia OT wspierające procesy fizyczne są dziś ważnym elementem powierzchni ataku. Ich kompromitacja może prowadzić jednocześnie do strat finansowych, zakłóceń operacyjnych i zagrożeń dla bezpieczeństwa fizycznego.

Dla organizacji z sektora handlu, logistyki i przetwórstwa żywności to wyraźny sygnał, że bezpieczeństwo OT nie może być traktowane jako temat poboczny. Ograniczenie ekspozycji, segmentacja, silne uwierzytelnianie, monitoring zmian procesowych oraz zarządzanie cyklem życia urządzeń powinny stać się podstawą ochrony tego typu środowisk.