צרפת מאשימה את איראן: יחידה של משמרות המהפכה חיממה מקררים ב-700 סופרמרקטים

ממשלת צרפת הודיעה ביום שני, 9 בנובמבר, את מי היא מאשימה. לדבריה, יחידת הסייבר Shahid Kaveh של משמרות המהפכה האיראניים תקפה את מערכות הקירור בכ-700 אתרים של רשתות שיווק. התקיפה התרחשה בלילה שבין 11 ל-12 באוקטובר. לפי משרד החוץ הצרפתי, זה מבצע הסייבר הראשון בשטח צרפת שכל מטרתו חבלה.

מה עשו התוקפים במקררים

לפי הפרקליטות בפריז, התוקפים התחברו מרחוק לבקרי הקירור דרך ממשקי ה-Web שלהם. בהתחלה הם תקפו בקרים של Danfoss, ואחר כך גם של Dixell ו-Copeland. בבקרים הם הפעילו מחזורי הפשרה חריגים בלי הגבלת זמן. במקביל הם כיבו את ההתרעות של חיישני הטמפרטורה.

התוצאה: מקררים שהתחממו בלי שאף אחד ידע. הרשתות איבדו כמויות גדולות של מזון, והיו גם שריפות. הפרקליטות מדברת על כעשרים מוקדי אש, ודוח הסוכנויות הצרפתיות מונה לפחות 15. בין הרשתות שספגו נזק: Intermarché, E.Leclerc, Système U, Carrefour ו-Casino.

הנזק חרג מהסופרמרקטים. לפי Next, התוקפים פגעו גם באטליזים קטנים, בבית מטבחיים ובמפעלי מזון שיתופיים. הדוח מזכיר גם תחנות הידרו-חשמל קטנות עם ציוד של Schneider Electric.

איך צרפת זיהתה את Shahid Kaveh

את הדוח הכין מרכז תיאום משברי הסייבר C4. במרכז שותפים ANSSI, סוכנות הסייבר הלאומית, ושירותי הביון והצבא של צרפת. לדבריו, כמה ראיות מצביעות על Shahid Kaveh. אחת מהן היא דפוס הפעולה של היחידה, שמתמחה בציוד תעשייתי. בנוסף, החוקרים זיהו שימוש בכלי הסריקה FOFA ועקבות של פרסית בתשתית התקיפה. כתובות IP הובילו למחשבים באיראן, וערוץ התעמולה CyberbanNews פרסם את התקיפה כבר ב-13 באוקטובר.

שר החוץ ז'אן-נואל בארו תיאר תקיפה בהיקף חסר תקדים. הוא זימן את שגריר איראן והבטיח סנקציות ברמה האירופית. הפרקליטות פתחה חקירה נגד ראשי היחידה, ומבקשת צווי מעצר בינלאומיים.

הקשר הישראלי של Shahid Kaveh

לפי הדוח, Shahid Kaveh תוקפת ציוד תעשייתי בעיקר בישראל ובארה״ב. הדוח מייחס לה את הקמפיין נגד Unitronics הישראלית, יצרנית בקרים תעשייתיים, בנובמבר 2023. הוא מזכיר גם תקיפות על ציוד קירור ישראלי במרץ ובאפריל 2026. צבא ארה״ב פנה לחוקרים הצרפתים בגלל מקרים דומים בבסיסים שלו.

הנקודה החשובה לבעלי עסקים היא הטכניקה. היחידה לא משתמשת בפרצות מתוחכמות. היא סורקת את הרשת ומחפשת ציוד שחשוף לאינטרנט. באפריל 2026 היא ביצעה סריקות רחבות על פרוטוקול Modbus TCP, בפורט 502. בפרוטוקול הזה אין הזדהות ואין הצפנה. לכן כל מי שמגיע לבקר יכול לשנות את ההגדרות שלו.

חשוב לציין גבולות. צרפת עוד לא קבעה מי תקף את חדרי הקירור של שירות הדם הלאומי שלה. גם התקיפות במדינות אחרות באירופה עדיין לא מיוחסות לאף גורם.

עוד ב-GEEKLIK: גל שני של פריצות לבקרי קירור: תוקפים חיממו מקררים בסופרמרקטים באירופה

מה הלאה

מערך הסייבר הלאומי מקבל דיווחים על אירועי סייבר במוקד 119. מי שמזהה פעילות חריגה בבקרים כדאי שידווח. בינתיים, צרפת מקדמת סנקציות באיחוד האירופי, וההחלטה שם תלויה בשאר המדינות.