חבלה בקירור: צרפת מאשימה את איראן

צרפת מייחסת ליחידה של משמרות המהפכה האיראניים את חבלת בקרי הקירור ברשתות השיווק

גבוהה ICS OT Schneider Electric Modbus

מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על ההודעה הרשמית של CERT-FR · ANSSI ועל דיווחים בתקשורת. Top-Secured אינה קשורה לחברה זו ולעולם לא תבקש מכם פרטי בנק או סיסמאות.

צרפת ייחסה רשמית לאיראן את התקיפה שבלילה שבין 11 ל-12 באוקטובר 2026 שינתה את ההגדרות של בקרי קירור באתרים של רשתות שיווק. דוח ה-C4 שפרסם CERT-FR מצביע על יחידת Shahid Kaveh של משמרות המהפכה ומתאר אובדן סחורה ושריפות. עבור כל ארגון, הלקח נוגע לציוד מחובר שנגיש מהאינטרנט.

מה קרה

ב-9 בנובמבר 2026 ייחס משרד החוץ הצרפתי לאיראן מתקפת סייבר שהוא מגדיר כמתקפת החבלה הטהורה הראשונה על אדמת צרפת. המשרד מצביע על יחידת Shahid Kaveh, הכפופה למרכז הסייבר של משמרות המהפכה האסלאמית (IRGC), מודיע על זימון שגריר איראן ומציין שצרפת תציע סנקציות אירופיות חדשות. באותו יום פרסם CERT-FR את דוח המרכז לתיאום משברי סייבר (C4), שמאגד את ANSSI, ‏COMCYBER, ‏DGA, ‏DGSE ו-DGSI.

לפי הדוח, בלילה שבין 11 ל-12 באוקטובר 2026 נפרצו בקרי הקירור של כ-700 אתרים של רשתות שיווק. הגדרות ההפשרה שלהם קובעו לטמפרטורות גבוהות, מה שגרם לאובדן סחורה רב ובלפחות 15 מקרים לפרוץ שריפות. ה-C4 מונה בין הנפגעים את הקבוצות Casino, ‏Leclerc, ‏Coopérative U, ‏Metro, ‏Carrefour ו-Intermarché, וכן אטליזים קטנים, בית מטבחיים ומפעלי מזון שיתופיים. לפי הערכת משרד החוץ עצמו, אובדן המזון מגיע לכמה עשרות מיליוני אירו.

איך פעלו התוקפים

הדוח אינו מפרט כיצד נפרצו הבקרים. הוא מציין שהמפעילים השתמשו ב-FOFA, כלי שממפה מכשירים הנגישים מהאינטרנט, ושאותה תשתית שימשה לסריקת ציוד של Schneider Electric באמצעות פרוטוקול Modbus ‏(פורט TCP ‏502), בעיקר בתחנות הידרואלקטריות קטנות, עם השפעה מתונה. ה-C4 קושר את משמרות המהפכה גם לתקיפות קודמות נגד Charlie Hebdo ‏(2023) ונגד חברת שילוט וידאו במהלך המשחקים האולימפיים בפריז 2024.

מה לעשות עכשיו

מפו את כל הבקרים, הבקרים המתוכנתים (PLC) וממשקי הבקרה (קירור, מיזוג, אנרגיה, בקרת כניסה), כולל אלה שהתקין ספק תחזוקה.
בדקו מבחוץ אילו מהם עונים בכתובות הציבוריות שלכם, למשל עם nmap -Pn -p 502,80,443,8080 <your-public-range>.
סגרו: שום פרוטוקול תעשייתי ושום דף ניהול של בקר ישירות באינטרנט; גישה מרחוק רק דרך VPN עם אימות רב-שלבי, גם לספקים.
החליפו סיסמאות ברירת מחדל ומחקו חשבונות שאינם בשימוש.
נטרו: התראות על שינויי ערכי יעד ועל סטיות טמפרטורה, וגיבוי של ההגדרות כדי לשחזר אותן במהירות.

הניתוח שלנו

בקר קירור הוא שרת קטן, והתוקפים מחפשים אותו בדיוק כמו שהם מחפשים שרת web נשכח. רשימת המערכות החשופות לאינטרנט חייבת לכלול גם את המכשירים האלה, ותחזוקה מרחוק צריכה לעבור דרך אותן דלתות כמו שאר הרשת.