Ing. Calogero Bono
法国认定，约700家门店的冷柜系统遭到破坏，攻击发生在10月11日至12日夜间，幕后是伊朗伊斯兰革命卫队的网络单位Shahid Kaveh。据法国外交部称，这是首次有国家公开点名责任方，而且受影响的设备与许多企业使用的类似，至今仍暴露在互联网上。
在进入事实之前，先了解几个术语。 IRGC是伊斯兰革命卫队，被指控的单位隶属于它。OT指运营技术，即控制机器和物理设施的设备。ICS是工业控制系统。CERT-FR是法国的网络安全事件应急响应中心。Hacktivista指自称活动人士的人，但其行动可能受国家指使。
法国超市发生了什么？
此次攻击波及Casino、Leclerc、Coopérative U、Metro、Carrefour和Intermarché等连锁超市，以及肉店、屠宰场和合作社设施，信息来自CERT-FR报告，由BleepingComputer转述。攻击者入侵了工业控制器，并远程更改除霜设置，使温度升至50摄氏度，据Punto Informatico报道。
当局称至少发生15起火灾，损失的商品价值达数千万欧元。被利用的漏洞出自Danfoss生产的控制系统。我们此前已在Danfoss与冷柜攻击，欧洲的新一波中报道过。
指控伊朗的依据是什么？
这一认定来自法国网络危机协调中心，该中心汇集了ANSSI机构、军方网络司令部和情报部门。据CERT-FR，线索有四条。
- 攻击者的基础设施也曾用于侦察Schneider Electric系统，而这些技术此前已与该单位关联。
- 攻击者使用了该团体常用的FOFA搜索平台。
- 与Shahid Kaveh有关的宣传渠道CyberbanNews在10月13日传播了这次攻击。
- 基础设施中发现了波斯语痕迹。
这些是法国官方公布的技术线索，并非独立核实的结果。
伊朗还是亲俄团体，谁攻击了意大利？
目前并不清楚。在包括意大利在内的其他国家，攻击由亲俄团体NoName057(16)和Z-Pentest Alliance宣称负责。据Cybersecurity360，该声明针对的是11月的欧洲攻击波，公开调查也尚未确定其实施者是否与10月的相同。
据Punto Informatico报道，多位研究人员怀疑亲俄团体借机为自己做宣传。BleepingComputer指出，法国只将10月的攻击归咎于伊朗。关于意大利的情况，我们在发生了什么以及该怎么做中做过讨论。
政治后果与美国的警示是什么？
外交部长Jean-Noël Barrot表示，这是法国领土上首次以破坏为目的的大规模网络攻击。巴黎召见了伊朗大使，并提议新的欧盟制裁。据Cybersecurity360，巴黎检察机关已对该单位的负责人展开调查。
同时，据The Hacker News报道，CISA、FBI等美国机构警告，制冷系统正被全球范围内的攻击者瞄准，受影响国家包括意大利。Censys显示，暴露的Danfoss StoreView实例数量在10月9日至11月5日间从3004降至708。
需要了解的局限
把责任归于伊朗是法国官方的立场，并非司法认定的结果。谁攻击了后续几波、亲俄团体是否真的参与，都没有得到证实。我们不知道检察机关调查的结果，也不知道欧盟制裁能否通过。损失估算来自官方，可能会被修正。
这对数字行业从业者意味着什么
如果你经营门店、仓库，或使用联网控制器的设施，风险是实际存在的。美国相关机构建议你找出可从互联网访问的系统，更改默认密码，关闭不必要的远程访问，并保护仍需使用的访问通道。应隔离OT设备，更换过时的设备。问问设备供应商固件是否已更新。关于意大利的情况，参见对联网设施管理者意味着什么。
我们的看法
这起事件说明，网络安全不只关乎数据和邮件。一台被遗忘在网上、仍用出厂密码的控制器，就可能引发火灾。国家公开曝光责任人，我们认为是对的，但政治关注容易让人忽略实际问题。卖出和安装联网设备的人，应当交付时就已加固、并且可以更新。只要暴露数量仍然很高，地缘政治解释不了太多，补丁才是关键。
常见问题
谁攻击了法国的超市冷柜？
据法国所称，是与伊斯兰革命卫队有关的伊朗单位Shahid Kaveh。这是基于技术线索的官方认定，并非法院判决。
有多少家门店受影响？
据法国官方，约700家。最初的估计是250至350家超市。至少15起事件引发了火灾。
意大利也受到攻击吗？
是的，意大利在受影响国家之列。相关声明来自亲俄团体，但对于实施者，官方尚未证实。
哪些设备容易受攻击？
可从互联网访问、未更新或配置薄弱的控制器。来源提到Danfoss StoreView和Copeland/Dixell XWEB是暴露的系统之一。
作为负责人我该怎么做？
立即检查控制器是否可从互联网访问，更改默认密码，并关闭不必要的远程访问。
制裁、调查与暴露数据的后续进展
未来几个月将揭示法国的指控能否站得住脚，以及设备暴露情况是否真的下降。
- 关注欧盟是否通过针对相关人员和组织的制裁。
- 留意巴黎检察机关或其他调查人员是否也将11月的攻击与同一团体联系起来。
- 查看Censys关于暴露实例的数据，以及你的设备供应商发布的安全公告。
来源
- punto-informatico.it, Attacco contro i frigoriferi francesi – gli autori sono iraniani
- bleepingcomputer.com, France blames Iranian hackers for supermarket attacks that sparked fires
- cybersecurity360.it, Attacchi ai frigoriferi, Iran o Russia? Le prove e i dubbi
- thehackernews.com, U.S. Agencies Warn Refrigeration Controller Attacks Could Cause Fires and Inventory Losses
