رصد Top-Secured السيبراني: تحليل مستقل يستند إلى البيان الرسمي لـ CERT-FR · ANSSI وإلى الصحافة. Top-Secured غير تابعة لهذه الشركة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.
نسبت فرنسا رسميًا إلى إيران الهجوم الذي غيّر، ليلة 11 إلى 12 أكتوبر 2026، إعدادات وحدات التحكم في التبريد في مواقع تابعة لمتاجر التجزئة الكبرى. ويحدد تقرير C4 الذي نشره CERT-FR وحدة شهيد كاوه التابعة للحرس الثوري، ويصف خسائر في البضائع وحرائق. والدرس لكل شركة يتعلق بالأجهزة المتصلة التي تُترك متاحة من الإنترنت.
ماذا حدث
في 9 نوفمبر 2026 نسبت وزارة أوروبا والشؤون الخارجية الفرنسية إلى إيران هجومًا سيبرانيًا وصفته بأنه أول هجوم تخريبي بحت على الأراضي الفرنسية. وحددت الوزارة وحدة شهيد كاوه (Shahid Kaveh) التابعة للمركز السيبراني في الحرس الثوري الإسلامي، وأعلنت استدعاء السفير الإيراني، وقالت إن فرنسا ستقترح عقوبات أوروبية جديدة. وفي اليوم نفسه نشر CERT-FR تقرير مركز تنسيق الأزمات السيبرانية (C4) الذي يضم ANSSI وCOMCYBER وDGA وDGSE وDGSI.
وبحسب التقرير، اختُرقت وحدات التحكم في التبريد في نحو 700 موقع لمتاجر التجزئة الكبرى ليلة 11 إلى 12 أكتوبر 2026. وضُبطت إعدادات إذابة الجليد فيها على درجات حرارة مرتفعة، ما تسبب في خسائر كبيرة في البضائع وفي اندلاع حرائق في 15 حالة على الأقل. ويذكر C4 بين المتضررين مجموعات Casino وLeclerc وCoopérative U وMetro وCarrefour وIntermarché، إضافة إلى محلات جزارة صغيرة ومسلخ ومصانع أغذية تعاونية. وتقدّر الوزارة، وفق تقديرها الخاص، خسائر المواد الغذائية بعدة عشرات الملايين من اليوروهات.
كيف عمل المهاجمون
لا يوضح التقرير بالتفصيل كيف اختُرقت وحدات التحكم. لكنه يذكر أن المنفذين استخدموا FOFA، وهي أداة تفهرس الأجهزة المتاحة من الإنترنت، وأن البنية التحتية نفسها كانت تمسح معدات Schneider Electric عبر بروتوكول Modbus (منفذ TCP 502)، لا سيما في محطات كهرومائية صغيرة، مع آثار محدودة. كما يربط C4 الحرس الثوري بهجمات سابقة على Charlie Hebdo (2023) وعلى شركة لشاشات العرض خلال ألعاب باريس 2024.
ما العمل الآن
- أحصوا كل وحدات التحكم والمتحكمات المنطقية وواجهات الإشراف (التبريد، التكييف، الطاقة، التحكم في الدخول)، بما فيها تلك التي ركّبها مزوّد الصيانة.
- اختبروا من الخارج أيها يستجيب على عناوينكم العامة، مثلًا بالأمر
nmap -Pn -p 502,80,443,8080 <your-public-range>. - أغلقوا: لا بروتوكول صناعي ولا صفحة ويب لوحدة تحكم مكشوفة مباشرة على الإنترنت؛ والوصول عن بُعد عبر VPN مع مصادقة متعددة العوامل فقط، بما في ذلك للمزوّدين.
- غيّروا كلمات المرور الافتراضية واحذفوا الحسابات غير المستخدمة.
- راقبوا: تنبيهات عند تغيير القيم المرجعية أو انحراف درجات الحرارة، مع نسخة محفوظة من الإعدادات لاستعادتها بسرعة.
رأينا
وحدة التحكم في التبريد خادم صغير، والمهاجمون يبحثون عنها كما يبحثون عن خادم ويب منسي. يجب أن يشمل جرد ما هو مكشوف على الإنترنت هذه الأجهزة، وأن تمر الصيانة عن بُعد عبر الأبواب نفسها التي يمر بها باقي الشبكة.
المصادر
- CERT-FR — Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI (CERTFR-2026-CTI-009)
- France Diplomatie — Déclaration d’attribution à l’Iran de cyberattaques visant la France
- The Hacker News — France Blames Iran for Sabotage Attack on Refrigeration Controllers at About 700 Retail Sites
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
تحقّق قبل النقر، وافحص ما تكشفه خوادمك — مجانًا ودون اختراق:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
