تعرضت مئات المتاجر الكبرى في فرنسا لهجوم سيبراني هذا الشهر، حيث تمكن المهاجمون من السيطرة عن بُعد على الثلاجات والمجمدات ورفع درجة حرارتها، مما أجبر المتاجر على التخلص من المواد الغذائية. ووصل المهاجمون إلى الأنظمة عبر وحدة التحكم التي تدير جميع الثلاجات والمجمدات في المتجر، وهي جهاز تصنعه الشركة الدنماركية Danfoss وتستطيع شركات الصيانة إدارته عن بُعد. وقالت مجموعة Les Mousquetaires المالكة لسلسلة Intermarché إن ثلاجاتها ومجمداتها دخلت في وضع إزالة الصقيع وارتفعت حرارتها إلى 50 درجة مئوية.
تحذير رسمي فرنسي عاجل
أصدرت CERT-FR، فريق الاستجابة لطوارئ الحاسوب التابع للحكومة الفرنسية، تنبيهاً في 12 أكتوبر أفادت فيه بمعرفتها بحالات اختراق عديدة تؤثر على سلسلتي وحدات تحكم من Danfoss هما AK-SM وAK-SC. وطالبت المشغلين بفصل وحدات التحكم أو تصفية الوصول إليها. وتعد CERT-FR جزءاً من ANSSI، وكالة الأمن السيبراني الوطنية الفرنسية. ونقلت وكالة فرانس برس عن رئيس ANSSI، فانسون ستروبل، قوله إنه من العاجل إخراج السلسلتين من الإنترنت أو تصفية الوصول إليهما بشكل صارم جداً. ولم تكشف السلطات الفرنسية ولا Danfoss حتى الآن عن هوية منفذي الهجوم أو كيفية دخولهم إلى وحدات التحكم. وقالت Danfoss إن معظم الوحدات المتضررة كانت من الطرز الأقدم التي لم تعد الشركة توفر لها تحديثات.
السلاسل التجارية المتضررة
قدمت السلاسل التجارية أرقامها الخاصة لوكالات فرانس برس ورويترز وإذاعة RTL، وكل منها يحصي المتاجر التي وصل إليها الهجوم. سلسلة Intermarché وNetto التابعة لـ Les Mousquetaires: ما لا يقل عن 300 متجر عبر العلامتين وفقاً لفرانس برس، وحوالي 150 متجراً وفقاً لرويترز. سلسلة Coopérative U: 80 متجراً من أصل 2000، وفقاً لما ذكره الرئيس التنفيذي دومينيك شيلشر على RTL في 13 أكتوبر. سلسلة Carrefour: 80 متجراً كبيراً. سلسلة Monoprix: حوالي 30 متجراً. سلسلة E.Leclerc: عدة متاجر. ولم تفقد كل المتاجر الموجودة في القائمة مخزونها بالضرورة، إذ قال شيلشر إن سلسلة التبريد صمدت في معظم متاجر Coopérative U الثمانين المتضررة، وإن أقلية فقط لم تستطع التصرف بسرعة كافية وفقدت بضائعها. وأشاد بسرعة تفاعل موظفي المتاجر ومقاولي التبريد. في المقابل، قالت Intermarché إن متاجرها المتضررة اضطرت للتخلص من جميع المنتجات المعنية. وقال تيري كوتيار، رئيس Les Mousquetaires، لقناة BFMTV إنه يتوقع خسائر بعشرات الملايين من اليورو على مستوى فرنسا.
وحدات التحكم وإمكانية تحديثها
أبلغت Danfoss وكالة فرانس برس أن معظم الوحدات المتضررة كانت منتجات أقدم لا تحصل على تحديثات برمجية أو أمنية، وسمت طرازين: AK-SM 800 وAK-SC 355. وأعلنت Danfoss إنهاء عمر AK-SM 800 في مايو 2021، وأوقفت إنتاج AK-SC 355 في 2016. وفي نشرة صادرة في أكتوبر 2025، قالت إنها ستوقف جميع الخدمات لهذه المنتجات الأقدم وحثت العملاء على التخطيط لاستبدالها. كما تعرضت بعض وحدات الطراز الحالي AK-SM 800A للهجوم، وكانت تعمل ببرامج ثابتة قديمة وفقاً لبيان Danfoss لمجلة Cooling Post المتخصصة. وبحسب CERT-FR وDanfoss، يجب فصل AK-SM 800 وAK-SC 355 أو تصفية الوصول إليهما، مع حث الشركة على استبدالهما، بينما بالنسبة لـ AK-SM 800A ينصح بفصل الوحدة أو تصفية الوصول مع إبقاء البرامج الثابتة محدثة. وحتى 13 أكتوبر، لم تدرج صفحة الاستشارات الأمنية لـ Danfoss أي تحذير بشأن الهجوم أو بشأن أي من الطرازين الأقدم.
ما ينبغي للمشغلين فعله
تغطي تعليمة CERT-FR الأولى كل وحدات تحكم AK-SM وAK-SC: فصلها أو تصفية الوصول إليها. ويشير التنبيه إلى أن تعريض واجهة إدارة للإنترنت يخالف الممارسات الجيدة. وحيث لا يمكن تجنب الإدارة عن بُعد، فإن تقييد الوصول إلى عناوين IP موثوقة يعد خطوة أولى مؤقتة. وبعد ذلك، ينصح التنبيه باتباع توصيات التقوية الصادرة عن CERT-FR والمكتوبة لقطاع الطاقة والمياه. وفي حال احتمال اختراق وحدة تحكم، يدرج التنبيه ست خطوات بالترتيب: تقييد الوصول الشبكي إلى وحدات التحكم لمزودي الخدمة فقط، وإجراء إعادة ضبط المصنع، وتطبيق جميع الإصلاحات الأمنية المتاحة، وتغيير أسرار الجهاز مثل كلمات المرور، وفحص الحسابات الموجودة، وإعادة تكوين الجهاز بالكامل. ولأن Danfoss لم تعد تصدر إصلاحات لـ AK-SM 800 وAK-SC 355، فإن الخطوة الثالثة لا تقدم لأصحابها أي إصلاح جديد. وبالنسبة لـ AK-SM 800A، كان أحدث حزمة برمجيات مدرجة لدى Danfoss في 13 أكتوبر هي 5.3.x. وينبغي للنظام الذي يعمل بالإصدار 3.x الانتقال أولاً إلى 4.x، ولا يمكن تخفيض إصدار وحدة التحكم بمجرد تشغيلها 5.3.x. وبدءاً من الإصدار 4.0، يتم تفعيل إعداد يسمى Strict Session Control افتراضياً ويجعل HTTPS إلزامياً. وقالت Danfoss لمجلة Cooling Post إنها تعمل مع العملاء على تحديثات البرامج الثابتة حيث تتوفر، وحمايات شبكية أقوى، وإزالة التعرض المباشر للإنترنت حيث ينطبق ذلك. كما تنصح إرشاداتها الأمنية العامة المشغلين بإبقاء وحدات التحكم غير قابلة للوصول من الإنترنت، وتغيير كلمات المرور الافتراضية عند تركيب النظام، ومطالبة المستخدمين عن بُعد بتسجيل الدخول عبر نقطة دخول واحدة مُدارة. ولم تكن CERT-FR قد نشرت أي مؤشرات اختراق حتى 13 أكتوبر، لذا لا تتوفر للمشغلين علامات رسمية يفحصونها. وقال شيلشر إن متاجر Coopérative U لا تشتري مباشرة من Danfoss، بل هي عملاء لمقاولي تبريد يزودونهم بنظام Danfoss.
كيفية دخول المهاجمين لا تزال غير مؤكدة
حتى 13 أكتوبر، لم تسمِّ CERT-FR أي ثغرة أو إصدار برنامج ثابت أو طريقة دخول. ويحذر تنبيهها من تعريض واجهات الإدارة للإنترنت دون أن يقول إن ذلك كان المسار. ونقلت فرانس برس عن شخص مقرب من رئيس الوزراء الفرنسي سيباستيان لوكورنو قوله إن ANSSI حددت ثغرة في برمجيات موردتها شركة دنماركية وتواصلت مع المورد. ولم يسمَّ أي CVE، ولا يقول البيان إن الثغرة استُخدمت في الهجوم. وأبلغت E.Leclerc وكالة فرانس برس أن هجوماً سيبرانياً أصاب أحد موردي معدات التبريد لديها، مع تأثيرات على معدات التبريد في عدة متاجر، دون تسمية المورد. وكانت Danfoss قد أصدرت إصلاحات لثلاث ثغرات في الطراز الأحدث AK-SM 800A في 2025، ولم تربطها السلطات الفرنسية ولا Danfoss بهذا الهجوم. الثغرة CVE-2025-41450 هي تجاوز للمصادقة في الإصدارات الأقدم من 4.2. والثغرة CVE-2025-41451 هي ثغرة حقن أوامر قد تؤدي إلى تنفيذ تعليمات برمجية عن بُعد، والثغرة CVE-2025-41452 قد تسمح بهجوم حجب الخدمة. وتتطلب كلتاهما تسجيل دخول وتم إصلاحهما في الإصدار 4.3.1. ووصف باحثون في Claroty الثغرات الثلاث في أغسطس، وقالوا إنه يمكن دمجها في سلاسل هجوم، وأبلغوا عن العثور على آلاف واجهات إدارة AK-SM 800A يمكن الوصول إليها من الإنترنت. وكانت اختباراتهم للثغرات عملاً مختبرياً على الطراز الأحدث، ولم يصف التقرير أي هجمات ولم يذكر الطرازين الأقدمين. وتوثق نشرة Danfoss الصادرة في أكتوبر 2025 هجمات سابقة على AK-SM 800: استُهدف 16 متجراً روسياً يستخدم الطراز في 2022، واخترق 40 متجراً إسرائيلياً في العام نفسه. وافتقر الأربعون جميعاً إلى حماية جدار ناري أو VPN مناسبة، ولم تسمِّ النشرة أي ثغرة في أي من الحالتين.
التحقيق وتقارير من دول أخرى
أبلغ مكتب المدعي العام في باريس وكالة فرانس برس أنه فتح تحقيقاً بمبادرة منه، ويقود التحقيق قسم الجرائم السيبرانية فيه، وهو مُسند إلى مكتب مكافحة الجرائم السيبرانية المعروف بـ OFAC. ويهدف التحقيق إلى إحصاء الضحايا وإثبات الصلة بين الهجوم والأضرار التي أبلغوا عنها، والتي تشمل فقدان الطعام وبدء اشتعال بعض المعدات. وقال الشخص المقرب من رئيس الوزراء إن ANSSI على تواصل مع وكالات الأمن السيبراني في دول أوروبية أخرى لأن تلك الدول قد تكون متأثرة. ونقلت رويترز عن فيليكس إيميه، محلل استخبارات التهديدات الأول في Sekoia، قوله إن إسبانيا والبرتغال وبولندا وألمانيا وبلجيكا تأثرت أيضاً، دون تفاصيل عن تلك الحالات.
