Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der offiziellen Mitteilung von CERT-FR · ANSSI und der Presse. Top-Secured ist mit diesem Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.
Frankreich hat den Angriff, der in der Nacht vom 11. auf den 12. Oktober 2026 die Einstellungen von Kühlsteuerungen an Einzelhandelsstandorten veränderte, offiziell dem Iran zugeschrieben. Der vom CERT-FR veröffentlichte Bericht des C4 nennt die Einheit Shahid Kaveh der Revolutionsgarden und beschreibt Warenverluste und Brände. Für jedes Unternehmen geht es um vernetzte Geräte, die aus dem Internet erreichbar sind.
Was passiert ist
Am 9. November 2026 schrieb das französische Außenministerium dem Iran einen Cyberangriff zu, den es als erste reine Sabotageoffensive auf französischem Boden bezeichnet. Es nennt die Einheit Shahid Kaveh, die dem Cyberzentrum der Islamischen Revolutionsgarden (IRGC) angehört, kündigt die Einbestellung des iranischen Botschafters an und erklärt, Frankreich werde neue EU-Sanktionen vorschlagen. Am selben Tag veröffentlichte das CERT-FR den Bericht des Koordinationszentrums für Cyberkrisen (C4), in dem ANSSI, COMCYBER, DGA, DGSE und DGSI zusammenarbeiten.
Laut diesem Bericht wurden in der Nacht vom 11. auf den 12. Oktober 2026 die Kühlsteuerungen von rund 700 Einzelhandelsstandorten kompromittiert. Ihre Abtau-Parameter wurden auf hohe Temperaturen gesetzt, was zu erheblichen Warenverlusten und in mindestens 15 Fällen zu Bränden führte. Der C4 nennt unter den Betroffenen die Gruppen Casino, Leclerc, Coopérative U, Metro, Carrefour und Intermarché sowie kleine Metzgereien, einen Schlachthof und genossenschaftliche Lebensmittelbetriebe. Das Ministerium beziffert die Lebensmittelverluste nach eigener Schätzung auf mehrere zehn Millionen Euro.
Wie die Angreifer vorgingen
Wie genau die Steuerungen kompromittiert wurden, führt der Bericht nicht aus. Er hält fest, dass die Täter FOFA nutzten, ein Werkzeug, das aus dem Internet erreichbare Geräte erfasst, und dass dieselbe Infrastruktur Schneider-Electric-Geräte über das Modbus-Protokoll (TCP-Port 502) abtastete, unter anderem in kleinen Wasserkraftanlagen, mit begrenzten Auswirkungen. Der C4 bringt die Revolutionsgarden zudem mit früheren Angriffen auf Charlie Hebdo (2023) und auf ein Videoanzeige-Unternehmen während der Spiele Paris 2024 in Verbindung.
Was jetzt zu tun ist
- Erfassen Sie alle Steuerungen, SPS und Leitstands-Oberflächen (Kühlung, Klima, Energie, Zutritt), auch die von Wartungsfirmen installierten.
- Testen Sie von außen, welche auf Ihren öffentlichen Adressen antworten, etwa mit
nmap -Pn -p 502,80,443,8080 <ihr-oeffentlicher-bereich>. - Abschotten: kein Industrieprotokoll und keine Steuerungs-Webseite direkt im Internet; Fernzugriff nur per VPN mit Mehrfaktor-Authentifizierung, auch für Dienstleister.
- Ändern Sie Standardpasswörter und entfernen Sie ungenutzte Konten.
- Überwachen: Alarme bei Sollwertänderungen und Temperaturabweichungen, dazu eine Sicherung der Einstellungen für eine schnelle Wiederherstellung.
Unsere Einschätzung
Eine Kühlsteuerung ist ein kleiner Server, und Angreifer suchen sie genauso wie vergessene Webserver. Die Bestandsaufnahme dessen, was im Internet steht, muss diese Geräte einschließen, und Fernwartung muss durch dieselben Türen gehen wie der Rest des Netzes.
Quellen
- CERT-FR — Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI (CERTFR-2026-CTI-009)
- France Diplomatie — Déclaration d’attribution à l’Iran de cyberattaques visant la France
- The Hacker News — France Blames Iran for Sabotage Attack on Refrigeration Controllers at About 700 Retail Sites
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Prüfen Sie vor dem Klicken, und kontrollieren Sie, was Ihre Server preisgeben — kostenlos, ohne Eindringen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
