حمله به فریزر سوپرمارکت‌های اروپا دست‌کم ۱۱ کشور را گرفت؛ عامل و انگیزه هنوز معلوم نیست

حمله‌های سایبری به سامانه‌های سردسازی فروشگاه‌های اروپا گسترده‌تر شد. به گزارش ورج در ۴ نوامبر ۲۰۲۶، فروشگاه‌ها و تأمین‌کنندگان مواد غذایی در آلمان، ایتالیا، رومانی و بریتانیا هم از قربانیان مشکوک این حمله‌ها هستند و دست‌کم ۱۱ کشور آسیب دیده‌اند. این رویداد تکرار موجی است که ۱۱ و ۱۲ اکتبر فروشگاه‌های فرانسه را زده بود.

چه اتفاقی افتاد؟

طبق گزارش مرکز تحلیل Censys، بامداد دوشنبه ۲ نوامبر فروشگاه‌های بلژیک، استونی، ایرلند، لوکزامبورگ، هلند و سوئد گزارش حمله دادند. بنا بر گزارش‌های بی‌بی‌سی و روزنامه‌های اروپایی، پرتغال و فنلاند هم مشکل داشتند و روز سه‌شنبه آلمان، رومانی و بریتانیا به فهرست اضافه شدند. دمای برخی فروشگاه‌ها تا ۵۰ درجه سانتی‌گراد رفت.

در آلمان چهار فروشگاه و در رومانی شش فروشگاه آسیب دیدند. در ایتالیا حدود ۲۰ فروشگاه گزارش شد؛ مدیر گروه کوپ سیسیل گفت چهار فروشگاه از ۳۰۰ فروشگاه گروه آسیب دیده و «همه چیز را دور ریختیم». در سوئد کوپ از هفت فروشگاه و ایکا از ۲۳ فروشگاه خبر داد. فروشگاه Rewe در بوسکن آلمان به گفته شرکت دانفوس در پی حمله به ارائه‌دهنده سامانه دچار اختلال شد و از بعدازظهر دوشنبه دوباره کار کرد. در بریتانیا مدیر مرکز ملی امنیت سایبری از «چند مورد بهره‌برداری از فناوری آسیب‌پذیر» گفت.

سازوکار حمله چیست؟

کنترلرهای سردسازی فروشگاه‌ها معمولاً به اینترنت وصل‌اند تا پیمانکاران از راه دور دما را زیر نظر بگیرند و خرابی را رفع کنند. مرکز امنیت سایبری بلژیک در هشدار خود می‌نویسد مهاجمان از رابط‌های مدیریتی در معرض اینترنت دستگاه‌های Danfoss سری AK-SC و AK-SM، Dixell xweb و Copeland xweb سوءاستفاده می‌کنند و واحدها را در چرخه‌ی یخ‌زدایی با دمای تا ۵۰ درجه به کار می‌اندازند. به نوشته‌ی همین مرکز، نشانه‌ها به نرم‌افزار وصله‌نشده، رابط وب باز به اینترنت و رمز پیش‌فرض دستگاه اشاره می‌کنند.

شرکت Censys می‌گوید حدود هزار نمونه Danfoss StoreView در جهان در معرض اینترنت دیده می‌شود؛ تعداد نمونه‌های فرانسه از ۱٬۸۲۵ پیش از حمله اکتبر به ۲۲۰ رسیده و ۴۱ درصد از آن‌ها نسخه‌ی وصله‌شده دارند. در بلژیک ۶۸ درصد و در سوئد ۵۸ درصد نمونه‌های در معرض اینترنت وصله‌شده‌اند. این آمار نشان می‌دهد وصله‌کردن ممکن است راه‌حل ناقص باشد.

آنچه باید بدانیم

چه چیزی واقعاً تغییر کرده؟

حمله‌ی اکتبر عمدتاً فرانسه و هلند را هدف گرفته بود و شمار فروشگاه‌های آسیب‌دیده‌ی آن را حدود ۷۰۰ فروشگاه گزارش کرده‌اند. موج تازه به‌سرعت به ده‌ها کشور رسید و کمیسیون اروپا آن را «تلاشی عمدی برای مختل‌کردن زنجیره‌ی تأمین غذا» خوانده است.

چرا برای مخاطب مهم است؟

خسارت مستقیم، غذای فاسد و فروشگاه‌های خالی است، اما پیامد عملی گسترده‌تر است: هر دستگاه صنعتی یا اینترنت اشیا که رابط مدیریتی‌اش در دسترس عموم باشد می‌تواند هدف همین الگو شود. مدیران فروشگاه، سردخانه و رستوران باید بررسی کنند کنترلرها به اینترنت عمومی وصل‌اند یا نه و رمز پیش‌فرض عوض شده است یا نه. مرکز بلژیک پس از بازنشانی کارخانه‌ای هم هشدار می‌دهد اگر دستگاه همچنان به اینترنت وصل بماند، دوباره آلوده می‌شود.

چه چیزی کمتر گفته شده؟

به گفته‌ی دانفوس، بیشتر سامانه‌های آسیب‌دیده در حمله‌ی اکتبر محصولات قدیمی‌ای بودند که دیگر به‌روزرسانی امنیتی نمی‌گرفتند، و کوپلند هم آسیب‌پذیری را در نسل بازنشسته‌ی کنترلرها شناسایی کرده بود. یعنی بخشی از مشکل، تجهیزات پایان‌عمر است که خرده‌فروشان مستقل همچنان استفاده می‌کنند. رویترز یادآوری می‌کند بسیاری از فروشگاه‌های اروپا تعاونی و مستقل‌اند و سامانه‌هایشان یکسان نیست؛ ایکا هم گفته همه‌ی ۲۳ فروشگاه آسیب‌دیده‌اش تجهیزاتی خارج از شبکه‌ی مدیریت‌شده‌ی مرکزی داشته‌اند. این یعنی ریسک در حاشیه‌ی زنجیره است نه فقط در شبکه‌ی مرکزی.

برای کاربران ایرانی چه معنایی دارد؟

در منابع خوانده‌شده شاهدی درباره‌ی ارتباط مستقیم این حمله با ایران یا بازار ایران نیامده است. درس فنی آن برای هر مدیر زیرساخت صنعتی صادق است: رابط مدیریتی نباید مستقیم روی اینترنت باشد.

چه چیزهایی هنوز مشخص نیست؟

هویت مهاجم، انگیزه و اینکه دو موج کار یک گروه است یا نه معلوم نیست. مدیر مرکز ملی امنیت سایبری رومانی گفته «نیمه‌آماتوری به نظر می‌رسد» و دولتی بودن مهاجم را «به‌هیچ‌وجه» محتمل نمی‌داند؛ در مقابل پولیتیکو از تحلیلگرانی نقل می‌کند که روسیه را محتمل می‌دانند، اما می‌افزاید پاسخ قطعی وجود ندارد. رونما هیچ‌کدام را تأیید‌شده گزارش نمی‌کند. میزان کل خسارت و اینکه چند فروشگاه دیگر زیر تهدیدند نیز اعلام نشده است.

پیشینه فنی

در اوت ۲۰۲۶ پژوهشگران Claroty آسیب‌پذیری‌هایی در کنترلر Danfoss AK-SM 800A گزارش کردند که شامل مکانیزم احراز هویت پنهان و تزریق فرمان بود؛ دانفوس نسخه R4.3.1 را برای رفع آن‌ها منتشر کرد. هنوز منبعی نیست که ثابت کند حمله‌های نوامبر از همین نقص‌ها استفاده کرده‌اند؛ بلژیک فقط از نرم‌افزار وصله‌نشده، رابط باز و رمز پیش‌فرض می‌گوید. پژوهش Forescout هم نزدیک ۱۳ هزار سرویس کنترل سردسازی را در ۹۹ کشور در دسترس اینترنت یافته بود.

جمع‌بندی

موج دوم نشان می‌دهد وصله‌ی ناقص و اتصال بی‌محافظ تجهیزات کهنه می‌تواند هزینه‌ی واقعی بسازد. تا روشن‌شدن عامل، مهم‌ترین توصیه‌ی رسمی همان است که بلژیک و دانفوس تکرار کرده‌اند: رابط مدیریتی را از اینترنت عمومی خارج کنید.