Франция, атака на холодильники супермаркетов приписана Ирану

Франция приписала Ирану саботаж систем охлаждения примерно в 700 торговых точках, произошедший в ночь с 11 на 12 октября. По данным французского МИД, за этим стоит Shahid Kaveh, киберподразделение Корпуса стражей исламской революции. Это важно, потому что впервые государство публично указывает конкретного виновника, а пострадавшее оборудование, похожее на оборудование многих компаний, остаётся доступным в интернете.

Несколько терминов, прежде чем перейти к фактам. IRGC — Корпус стражей исламской революции, от которого зависит обвиняемое подразделение. OT — операционные технологии, то есть устройства, которые управляют машинами и физическими установками. ICS — системы промышленного управления. CERT-FR — французский центр реагирования на киберинциденты. Хактивист — тот, кто выдаёт себя за активиста, но может действовать по поручению государства.

Что произошло с французскими супермаркетами?

Атака затронула сети Casino, Leclerc, Coopérative U, Metro, Carrefour и Intermarché, а также мясные лавки, бойню и кооперативные структуры, по отчёту CERT-FR, на который ссылается BleepingComputer. Злоумышленники взломали промышленные контроллеры и удалённо изменили настройки оттайки, подняв температуру до 50 градусов, как сообщает Punto Informatico.

Власти говорят минимум о 15 пожарах и десятках миллионов евро испорченного товара. Использовались уязвимости систем управления производства Danfoss. Мы уже писали об этом в материале Danfoss и атаки на холодильники, новая волна в Европе.

На каких доказательствах основано обвинение Ирану?

Атрибуция поступила от французского Центра координации киберкризисов, в который входят агентство ANSSI, военное киберкомандование и разведслужбы. По данным CERT-FR, признаков четыре.

• Инфраструктура злоумышленников использовалась и для разведки систем Schneider Electric, с методами, уже связанными с этим подразделением.
• Применялась поисковая платформа FOFA, которую группа часто использует.
• Пропагандистский канал CyberbanNews, связанный с Shahid Kaveh, распространил информацию об атаке 13 октября.
• В инфраструктуре обнаружены следы фарси.

Это технические признаки, на которые ссылаются французские власти, а не независимая проверка.

Иран или прокремлёвские группы, кто атаковал Италию?

Пока неясно. Атаки в других странах, включая Италию, заявили прокремлёвские группы NoName057(16) и Z-Pentest Alliance. По данным Cybersecurity360, заявление касается европейской волны в ноябре, и публичные расследования не установили, совпадают ли исполнители с теми, кто действовал в октябре.

Как пишет Punto Informatico, некоторые исследователи подозревают, что прокремлёвские группы воспользовались случаем, чтобы привлечь внимание к себе. BleepingComputer уточняет, что Франция приписала Ирану только октябрьские атаки. По итальянской ситуации мы писали в материале что произошло и что делать.

Каковы политические последствия и предупреждение США?

Министр иностранных дел Жан-Ноэль Барро назвал это первой масштабной кибератакой с целью саботажа на территории Франции. Париж вызывает иранского посла и предлагает новые европейские санкции. По данным Cybersecurity360, парижская прокуратура открыла расследование в отношении руководства подразделения.

Тем временем, как пишет The Hacker News, CISA, ФБР и другие американские агентства предупреждают, что системы охлаждения становятся мишенью по всему миру. Среди пострадавших стран упоминается и Италия. Censys фиксирует, что число открытых экземпляров Danfoss StoreView сократилось с 3 004 до 708 в период с 9 октября по 5 ноября.

Ограничения, которые стоит знать

Приписывание атаки Ирану — официальная позиция Франции, а не судебное установление факта. Не доказано, кто стоял за последующими волнами атак и действительно ли в них участвовали прокремлёвские группы. Нам неизвестен итог расследования прокуратуры и неясно, будут ли одобрены европейские санкции. Оценки ущерба исходят от властей и могут быть пересмотрены.

Что меняется для тех, кто работает с цифровыми системами

Если ты управляешь магазинами, складами или установками с подключёнными контроллерами, риск реален. Американские агентства призывают выявить системы, доступные из интернета, сменить заводские пароли, отключить ненужный удалённый доступ и защитить необходимый. Устройства OT нужно изолировать, а устаревшие — заменить. Спроси у поставщика оборудования, обновлена ли прошивка. Что это значит для Италии, смотри в разделе что меняется для тех, кто управляет подключёнными установками.

Наше мнение

Этот случай показывает, что кибербезопасность касается не только данных и почты. Забытый в сети контроллер с заводским паролем может стать причиной пожара. Мы считаем правильным, что государство называет виновников, но политическое внимание рискует отвлечь от практического вопроса. Те, кто продаёт и устанавливает подключённое оборудование, должны поставлять его уже закрытым и обновляемым. Пока цифры открытости остаются высокими, геополитика объясняет мало, а обновления безопасности объясняют многое.

Частые вопросы

Кто атаковал холодильники французских супермаркетов?

По данным Франции, иранское подразделение Shahid Kaveh, связанное с IRGC. Это официальная атрибуция, основанная на технических признаках, а не судебный приговор.

Сколько торговых точек пострадало?

Около 700 во Франции по данным французских властей. Первоначальная оценка говорила о 250-350 супермаркетах. Минимум в 15 случаях возникли пожары.

Пострадала ли Италия?

Да, Италия упоминается среди стран, затронутых атаками. Ответственность заявляли прокремлёвские группы, но официальных подтверждений авторства нет.

Какое оборудование уязвимо?

Контроллеры, доступные из интернета, не обновлённые или с слабыми настройками. Источники называют среди открытых систем Danfoss StoreView и Copeland/Dixell XWEB.

Что делать мне как владельцу?

Немедленно проверь, доступны ли твои контроллеры из интернета. Смени пароли по умолчанию и закрой ненужный удалённый доступ.

Санкции, расследование и цифры открытости, за которыми стоит следить

Ближайшие месяцы покажут, выдержит ли французское обвинение проверку и действительно ли сократится число открытых установок.

• Следи, одобрит ли Европейский союз санкции против названных лиц и организаций.
• Смотри, свяжут ли прокуратура Парижа или другие следователи с той же группой и волну атак в ноябре.
• Проверяй данные Censys по открытым экземплярам и уведомления твоего поставщика оборудования.

Источники

• punto-informatico.it, Attacco contro i frigoriferi francesi – gli autori sono iraniani
• bleepingcomputer.com, France blames Iranian hackers for supermarket attacks that sparked fires
• cybersecurity360.it, Attacchi ai frigoriferi, Iran o Russia? Le prove e i dubbi
• thehackernews.com, U.S. Agencies Warn Refrigeration Controller Attacks Could Cause Fires and Inventory Losses