Kyberzápisník #92: Íránský kybernetický útok na chladicí systémy 700 francouzských supermarketů

Francie oficiálně obvinila Írán z dosud nejrozsáhlejšího kybernetického sabotážního útoku na svém území. V noci z 11. na 12. října 2026 hackeři na dálku převzali kontrolu nad chladicími jednotkami v přibližně 700 francouzských maloobchodních provozovnách, přenastavili odmrazovací cykly na extrémní teploty a vyřadili bezpečnostní alarmy. Výsledkem byly ztráty potravin za desítky milionů eur a nejméně 20 požárů. Za útokem podle francouzských zpravodajských služeb stojí jednotka IRGC s názvem Shahid Kaveh, která operuje pod hacktivistickými persónami CyberAveng3rs a Cyber Isnaad Front.

Írán, IRGC a jednotka Shahid Kaveh: kdo za kybernetickým útokem stojí

Atribuci provedlo francouzské koordinační centrum C4, které sdružuje pět klíčových institucí: ANSSI (obdoba českého NÚKIBu), vojenské kybernetické velitelství COMCYBER, zbrojní ředitelství DGA a dvě zpravodajské služby DGSE a DGSI. Výsledný report nese označení CERTFR-2026-CTI-009 a byl zveřejněn 9. listopadu 2026.

Shahid Kaveh je ofenzivní kybernetická jednotka spadající pod Elektronické a kybernetické centrum Íránských revolučních gard (IRGC-CEC). Název údajně odkazuje na Mahmouda Kaveha, velitele IRGC zabitého během íránsko-irácké války v roce 1986. Jednotku vede Reza Salarvand a jeho zástupce Mahdi Lashgarian. Nadřízeným celého IRGC-CEC je Hamid Reza Lashgarian, kterého americké ministerstvo financí sankcionovalo už v únoru 2024.

Shahid Kaveh pro veřejné přihlašování se k útokům využívá několik hacktivistických persón: CyberAveng3rs, Soldiers of Solomon, Mr. Soul a Cyber Isnaad Front. Propagandistickým kanálem jednotky je outlet CyberbanNews.

Francie v rámci IRGC-CEC rozlišuje ještě druhou jednotku, Shahid Shoostari (známou také jako Emennet Pasargad nebo Iliyanet). Té C4 přisuzuje útok na e-shop Charlie Hebdo v lednu 2023 a kompromitaci francouzské firmy na digitální displeje během pařížské olympiády v červenci 2024.

Jak Íránský kybernetický útok na chladicí systémy probíhal

Technicky šlo o triviální útok, který nevyžadoval žádný malware ani zero-day zranitelnosti. Útočníci jednoduše zneužili chladicí řídící jednotky Danfoss (série AK-SM a AK-SC) s webovým rozhraním přímo vystaveným do internetu a chráněným pouze slabými nebo výchozími hesly.

Šéf ANSSI Vincent Strubel to popsal jednoznačně: útočníci se dostali k přibližně 700 zařízením Danfoss „exploitováním přímého připojení těchto zařízení k internetu a slabých hesel“. Strubel také před Senátem uvedl, že veřejně známé zranitelnosti (CVE od firmy Claroty) podle hodnocení ANSSI nebyly tím vektorem, který útočníci použili.

Postup útočníků po získání přístupu:

  • Spuštění abnormálních odmrazovacích cyklů bez časového limitu
  • Deaktivace bezpečnostních alarmů teplotních sond
  • V některých případech změna přihlašovacích údajů, aby se zablokoval přístup servisním technikům

Teploty v zasažených mrazicích zařízeních údajně dosáhly až 50 °C. Pařížská prokuratura uváděla teploty „až 122 stupňů Fahrenheita“.

O několik dní později byly zasaženy i další provozovny využívající řídící jednotky Copeland xweb a Dixell xweb.

Oběti kybernetického útoku: od hypermarketů po řeznictví

Mezi zasaženými řetězci byly Casino, Leclerc, Coopérative U, Metro, Carrefour a Intermarché. Podle oborového tisku LSA šlo přibližně o 300 prodejen Intermarché, 80 prodejen U, 80 prodejen Carrefour, asi 30 prodejen Monoprix a 3 prodejny Auchan. Kromě velkých řetězců byly zasaženy i menší řeznictví, jatka a potravinářské družstevní závody.

Francouzské ministerstvo zahraničí odhadlo ztráty na „desítky milionů eur“. Podle LSA se ztráta jedné malé prodejny pohybovala kolem 60 000 eur, u hypermarketů mezi 180 000 a více než 200 000 eur.

Paralelně s útokem na maloobchod C4 identifikovalo i cílení na zařízení Schneider Electric v několika malých francouzských vodních elektrárnách. Efekty byly podle Strubela „omezené“, ale útočníci prováděli masivní průzkum průmyslových řídicích systémů Schneider Electric přes protokol Modbus na portu 502 minimálně od dubna 2026.

Důkazy pro atribuci kybernetického útoku Íránu

C4 ve svém reportu uvádí čtyři hlavní indikátory, které spojují útok s IRGC a jednotkou Shahid Kaveh:

Sdílená infrastruktura: Servery použité k útoku na chladicí systémy sloužily současně k průzkumu zařízení Schneider Electric, a to technikami, které jednotka používá minimálně od dubna 2026.

Použití skeneru FOFA: Útočníci využívali čínský vyhledávač internetových aktiv FOFA (obdoba Shodanu nebo Censys), který je typickým nástrojem této skupiny.

Propagandistická amplifikace: Outlet CyberbanNews, napojený na jednotku, informoval o útoku již 13. října, tedy jen dva dny po jeho provedení.

Jazykové a síťové stopy: V útočné infrastruktuře byly nalezeny stopy perštiny a IP adresy vedly k zařízením v Íránu.

Pařížská prokuratura k tomu přidala informaci, že vyšetřovatelé identifikovali „metodu útoku typickou pro tuto jednotku“.

Je třeba dodat, že jde o soubor nepřímých důkazů (francouzsky „faisceau d’indices“), nikoli o forenzně neprůstřelné důkazy. CERT-FR nezveřejnil žádné konkrétní IOC (IP adresy, hashe, domény).

Historie kybernetických útoků jednotky CyberAveng3rs a Shahid Kaveh

Shahid Kaveh má za sebou několikaletou eskalaci od symbolických defacementů k fyzicky destruktivním sabotážím:

Listopad 2023, kampaň proti Unitronics PLC: Od 22. listopadu 2023 skupina defacovala izraelské PLC Unitronics Vision pomocí výchozích přihlašovacích údajů. Nejznámější obětí se stal vodárenský podnik v Aliquippě v Pensylvánii. Zasaženo bylo nejméně 75 zařízení v USA, Izraeli, Velké Británii a Irsku. V únoru 2024 americké ministerstvo financí sankcionovalo šest představitelů IRGC-CEC včetně Hamida Rezy Lashgariana.

Březen a duben 2026, Izrael a USA: V kontextu americko-izraelského konfliktu s Íránem, který začal 28. února 2026, jednotka provedla rozsáhlou sabotážní kampaň proti izraelským a americkým průmyslovým řídicím systémům, včetně chladicích zařízení. CISA, FBI, NSA a další agentury vydaly 7. dubna 2026 společný advisory AA26-097A, který varoval před kompromitací PLC Rockwell/Allen-Bradley. Červencová aktualizace rozšířila varování i na zařízení Schneider Electric a Siemens. Útočníci používali inženýrský software Studio 5000, EcoStruxure Control Expert a TIA Portal z pronajaté infrastruktury.

Květen 2026, izraelský potravinářský závod: Izraelská bezpečnostní firma Profero vyšetřovala útok na CO2 chladicí systém izraelského potravinářského závodu. Na starším systému útočníci změnili setpointy a limity alarmů. Na novějším vymazali I/O konfiguraci controlleru a manuálně otevřeli ventily plynového chladiče, čímž zničili tři kompresory. Obnova trvala přibližně týden. Na IT straně Profero nalezlo Go-based RAT (Remote Access Toolkit) nazvaný „GRAT“, maskovaný jako aktualizace Microsoftu, s moduly pro wiper a ransomware. Propagandistické video zveřejněné začátkem října obsahovalo provokaci ve francouzštině, což zpětně působí jako předzvěst říjnového útoku na Francii.

Druhá vlna kybernetických útoků na chladicí systémy v Evropě

Na přelomu 1. a 2. listopadu 2026 zasáhla Evropu druhá vlna útoků na chladicí systémy supermarketů, tentokrát v Belgii, Švédsku, Estonsku, Irsku, Lucembursku, Nizozemsku, Německu, Portugalsku, Itálii, Španělsku, Polsku a Finsku. V Belgii byly zasaženy desítky prodejen Delhaize, 15 prodejen Carrefour a další. Mrazicí zařízení byla opět přenastavena na teploty kolem 50 °C.

K útoku se na Telegramu přihlásily proruské hacktivistické skupiny NoName057(16) a Z-Pentest. Analytici ze SentinelLABS (report „Defrost and Disrupt“) i Palo Alto Unit 42 (report „Turning Up the Heat“) však označili tato tvrzení za neověřená. Kreml označil obvinění za „absurdní“. Americké zpravodajské služby údajně považují Írán za hlavního podezřelého, ovšem pouze s nízkou mírou jistoty.

Francie explicitně odmítla druhou vlnu spojovat s říjnovým útokem. Belgické centrum pro kybernetickou bezpečnost CCB uvedlo, že „nemusí být nikdy možné identifikovat“ pachatele.

Zvlášť znepokojivý byl útok na Établissement français du sang (EFS, francouzskou transfuzní službu). V noci z 1. na 2. listopadu byly chladicí místnosti na třech pracovištích přeprogramovány z -30 °C na setpoint 110 °C. Službukonající technik anomálii zachytil včas a žádné krevní produkty nebyly zničeny.

Separátně Pentagon vyšetřuje srpen 2026, kdy zamrzly chladicí systémy nejméně v šesti amerických vojenských obchodech (commissaries). Předběžně se pracuje s podezřením na íránské hackery.

Honeypoty odhalily další průzkumnou aktivitu

Bezpečnostní firma Lupovis mezi 20. a 30. říjnem 2026 zaznamenala na svých honeypotech simulujících systémy Danfoss přibližně 260 pokusů o přihlášení z 91 zdrojů. Útočníci používali výchozí tovární přihlašovací údaje. Aktivita vrcholila 26. října a časově odpovídala přípravě na listopadovou evropskou vlnu.

Globální expozice chladicích řídicích systémů

Data o rozsahu problému poskytly dvě nezávislé analýzy:

Censys na den útoku (11. října) evidoval 2 991 exponovaných hostitelů Danfoss StoreView, z toho 1 825 ve Francii. Do 14. října číslo kleslo na 537, protože provozovatelé odpojovali zařízení od internetu. Celkově expozice obou skupin zasažených produktů klesla mezi 9. říjnem a 5. listopadem o 53 %, z 6 695 na 3 124 hostitelů.

Forescout Vedere Labs (analýza z 22. října) identifikoval 12 976 exponovaných služeb na 6 017 IP adresách v 99 zemích: 7 075 Copeland/Dixell XWEB, 4 697 Danfoss StoreView, 551 Copeland Site Supervisor a 513 Carel pCOWeb. 80 % pozorování StoreView běželo na firmwaru AK-SM 800A starším než verze 4.3.1. Forescout také napočítal přes 20 hacktivistických útoků na chladicí systémy od ledna 2026.

Zranitelnosti v zařízeních Danfoss

Ačkoli ANSSI uvedla, že veřejně známé zranitelnosti nebyly vektorem říjnového útoku, stojí za zmínku tři chyby, které 9. srpna 2026 zveřejnil tým Claroty Team82 v řadě AK-SM 800A (opraveno ve firmwaru R4.3.1):

  • CVE-2025-41450: obejití autentizace pomocí „kódu dne“ odvozeného z data (CVSS 8.2)
  • CVE-2025-41451: post-autentizační SMTP command injection (CVSS 7.6)
  • CVE-2025-41452: injekce do konfigurace Nginx

Team82 v době zveřejnění napočítal 2 765 exponovaných zařízení podle Censys. Danfoss k útoku uvedl, že zasažená zařízení byla převážně end-of-life modely: AK-SM 800 (konec životnosti květen 2021) a AK-SC 355 (vyřazeno 2016), plus AK-SM 800A na zastaralém firmwaru.

Diplomatická a právní reakce Francie na kybernetický útok Íránu

Francouzská reakce byla bezprecedentně razantní:

Ministr zahraničí Jean-Noël Barrot prohlásil, že útok „představuje první rozsáhlý kybernetický útok zaměřený na sabotáž na našem národním území a představuje zásadní útok na zájmy národa a bezpečnost francouzského lidu“. Strubel z ANSSI jej označil za „první svého druhu ve Francii, co do rozsahu i povahy cílů“.

Francie předvolala íránského velvyslance. Paříž oznámila, že navrhne evropským partnerům přijetí dalších sankcí proti íránským subjektům a osobám zapojeným do útoku. Pařížská prokuratura zahájila soudní vyšetřování pro útoky na automatizované systémy zpracování dat a způsobení nebezpečných škod, obojí s přitěžující okolností organizované skupiny „sloužící cizí mocnosti, Íránu“. Byly požadovány mezinárodní zatykače na vedoucího jednotky a jeho dva zástupce.

Írán obvinění „kategoricky odmítl“ jako „bezpodstatná a jednostranná“. Mluvčí EU Anouar El Anouni uvedl, že blok je připraven na „rychlou a jednotnou odpověď“.

Precedent pro sankce existuje: 16. března 2026 Rada EU v rámci kybernetického sankčního režimu zařadila na seznam Emennet Pasargad (sesterská jednotka Shahid Shoostari) za útok na Charlie Hebdo, útoky během olympiády a kompromitaci švédské SMS služby. Nové sankce proti Shahid Kaveh a jejím velitelům by byly logickým dalším krokem.

Známé IOC a technické indikátory

CERT-FR k samotnému francouzskému útoku nezveřejnil žádné IOC. Nejbližší veřejně dostupné indikátory se týkají stejné skupiny aktérů, ale jiných incidentů:

Z aktualizovaného advisory CISA AA26-097A (červenec 2026) pocházejí IP adresy: 185.82.73[.]175, 141.11.164[.]153, 175.110.121[.]39/41/42/107, 192.142.54[.]79, 84.200.205[.]165, 185.225.17[.]225, 79.133.46[.]209, 88.80.150[.]199/200/202. Původní dubnová sada: 185.82.73[.]162-171 a 135.136.1[.]133.

Z vyšetřování firmy Profero (izraelský potravinářský závod, Cyber Isnaad Front): C2 server na 84.201.6[.]131 s RabbitMQ/TLS na portu 7878 a Redis na portu 9988. Čtyři SHA-256 hashe malwaru GRAT, YARA pravidlo APT_Iran_GRAT_CyberIsnaadFront a persistence task pojmenovaný „OneDrive Update“.

Zajímavý detail na závěr

V celém případu existuje zajímavý spor ohledně mapování persón na jednotky. Francie řadí persónu Cyber Isnaad Front pod Shahid Kaveh. Izraelská firma Profero ji naopak „s vysokou mírou jistoty“ přiřazuje k Aria Sepehr Ayandehsazan (ASA), nástupci Emennet Pasargad, tedy k Shahid Shoostari. Obě strany se shodují, že jde o součást IRGC-CEC, ale neshodují se na konkrétní podjednotce. Mapování persón na organizační struktury v íránských operacích je obecně fluidní a tento rozpor zůstává nevyřešen.

Zdroje

Další články

Leave a Reply

Vaše e-mailová adresa nebude zveřejněna. Vyžadované informace jsou označeny *