در شب ۱۱ اکتبر، مهاجمانی از راه دور سیستم‌های یخ‌زدایی (Defrost) در چندین سوپرمارکت فرانسوی را فعال کردند. در فروشگاه‌های Intermarché و Netto، دمای یخچال‌ها و فریزرها به حدود ۵۰ درجه سانتی‌گراد رسید که باعث از بین رفتن حجم عظیمی از محصولات غذایی شد. این حملات که خساراتی در حد ده‌ها میلیون یورو بر جای گذاشته، نشان‌دهنده یک رویکرد جدید در تخریب زیرساخت‌های عملیاتی (OT) است.
۱. پیمانکار شما، مرز امنیتی شماست
یکی از نکات کلیدی این حمله، سوءاستفاده از دسترسی‌های از راه دور پیمانکاران است. بسیاری از فروشگاه‌ها تجهیزات خود را مستقیماً از سازنده نمی‌خرند، بلکه از پیمانکاران خدمات نگهداری تهیه می‌کنند. این پیمانکاران برای مدیریت از راه دور (Remote Access)، رابط‌های مدیریتی را روی اینترنت قرار می‌دهند یا از مسیرهای غیرامن استفاده می‌کنند.
- ریسک زنجیره تأمین (Supply Chain Risk): مهاجمان ممکن است از طریق حساب‌های کاربری سرقت شده یا رابط‌های مدیریتی بدون محافظت (Exposed Management Interfaces) وارد شبکه شوند.
- کنترل مرزها: اگر برای پاسخ به سوال “چه کسی می‌تواند به کنترلرها دسترسی داشته باشد” نیاز به تماس با پیمانکار دارید، یعنی شما کنترل مرزهای امنیتی خود را در اختیار ندارید و در واقع آن را اجاره کرده‌اید.
۲. قابلیت‌های استاندارد را به عنوان رویداد امنیتی رصد کنید
مهاجمان در این حمله از قابلیت‌های داخلی دستگاه‌ها (مانند دستور Defrost) استفاده کردند. این یک روش هوشمندانه برای انجام خرابکاری بدون تحریک سیستم‌های هشدار سنتی است. در واقع، مهاجم از یک عملکرد قانونی برای ایجاد یک پیامد مخرب استفاده کرده است؛ مشابه حملاتی که در حوزه کنترل فرآیند (Process Control) رخ می‌دهد.
راهکار: به جای تمرکز صرف بر تغییرات دما، باید تغییرات ناگهانی در تنظیمات (Setpoint) یا حالت‌های عملیاتی (Mode) را که خارج از بازه‌های تعمیر و نگهداری برنامه‌ریزی شده هستند، به عنوان یک رویداد امنیتی (Security Event) رصد کرد. رصد کردن تغییرات در تنظیمات از راه دور، حتی اگر توسط یک کاربر مجاز انجام شود، باید در صورت غیرمنتظره بودن، مورد بررسی قرار گیرد.
۳. مدیریت سیستم‌های قدیمی و از رده خارج (EoL)
بسیاری از دستگاه‌های آسیب‌دیده، مدل‌های قدیمی از برند Danfoss هستند که پشتیبانی نرم‌افزاری آن‌ها (End-of-Life) به پایان رسیده است. برای این تجهیزات، امکان اعمال وصله امنیتی (Patch) وجود ندارد. پیش از این نیز حملات مشابهی به ۴۰ فروشگاه در رژیم صیهونیستی و ۱۶ سوپرمارکت روسی با استفاده از مدل‌های مشابه رخ داده بود که در آن‌ها عدم استفاده از فایروال یا VPN مناسب، عامل اصلی آسیب‌پذیری بود.
استراتژی پیشنهادی برای مدیران امنیت:
- کاهش سطح اکسپوژر (Exposure Reduction): تمامی کنترلرهای قدیمی را از اینترنت عمومی جدا کرده و دسترسی به آن‌ها را تنها از طریق VPN یا شبکه‌های محافظت‌شده فراهم کنید.
- جایگزینی سیستم‌ها: برای تجهیزاتی که دیگر آپدیت دریافت نمی‌کنند، باید برنامه بودجه‌بندی شده برای جایگزینی (Replacement) در نظر گرفته شود. امنیت باید از سطح “وصله کردن” به سطح “مدیریت ریسک و جایگزینی” ارتقا یابد.
به‌روزرسانی (اکتبر 20, 2026 — therecord.media)
به‌روزرسانی: در بررسی‌های تکمیلی، تجهیزات آسیب‌دیده متعلق به برندهای Danfoss (سری AK-SM و AK-SC)، Copeland (سری xweb) و Dixell (سری xweb) شناسایی شده‌اند. این حملات زنجیره‌های بزرگی از سوپرمارکت‌ها از جمله Intermarché، Carrefour، Monoprix، Leclerc و Coopérative U را هدف قرار داده است.
تخمین زده می‌شود که این حادثه حدود ۷۰۰ قربانی داشته باشد و به دلیل فساد گسترده مواد غذایی، خسارات مالی آن به ده‌ها میلیون یورو برسد. این موضوع نشان‌دهنده آسیب‌پذیری بالای سیستم‌های کنترل دمایی در زنجیره تأمین مواد غذایی است.
از نظر حقوقی، اگرچه قانون جدید تاب‌آوری سایبری اتحادیه اروپا (EU Cyber Resilience Act) تولیدکنندگان را ملزم به گزارش حملات علیه محصولات قدیمی (End-of-Life) می‌کند، اما برخلاف محصولات فعال، آن‌ها را مجبور به ارائه اصلاحیه (Patch) یا به‌روزرسانی‌های امنیتی برای این تجهیزات قدیمی نمی‌کند. این خلأ قانونی باعث می‌شود محصولات خارج از چرخه پشتیبانی، همچنان به عنوان اهداف ساده برای مهاجمان باقی بمانند.
