צרפת מייחסת ליחידה במשמרות המהפכה חבלה במערכות קירור ומקדמת מהלך סנקציות

צרפת האשימה את משמרות המהפכה של איראן בהכוונת מתקפת הסייבר על מערכות קירור בסופרמרקטים באוקטובר, והודיעה ב-9 בנובמבר כי תזמן את שגריר איראן ותבקש לקדם סנקציות אירופיות נוספות. בהערכה הטכנית שלה זוהתה יחידת שהיד כאווה כמי שביצעה את החבלה.

ייחוס האחריות קושר את האירוע ישירות למערכה נגד ציוד תעשייתי ישראלי ואמריקאי. לפי החוקרים הצרפתים, אותה יחידה פועלת נגד שתי המדינות והרחיבה את יעדיה לצרפת ולמדינות נוספות באירופה.

הגדרות ההפשרה גרמו לציוד להתחמם

המרכז הבין-משרדי לתיאום משברי סייבר בצרפת, C4, מסר כי קיבל התרעה ב-12 באוקטובר, לאחר שבקרי קירור נפרצו בלילה שקדם לכך. הגדרות ההפשרה שונו לטמפרטורות גבוהות, והדבר גרם לאובדן ניכר של סחורה ולדליקות בלפחות 15 מקרים.

בהודעת משרד החוץ מ-9 בנובמבר נכתב כי נפגעו יותר מ-700 אתרי מסחר. דוח C4 שפורסם באותו יום מציין כ-700 אתרים. המסמכים אינם מיישבים את הפער. משרד החוץ העריך את אובדן המזון בעשרות מיליוני אירו ודיווח גם על נזק חומרי ניכר.

C4 מנה בין הקבוצות שנפגעו את קזינו, לקלר, קואופרטיב U, מטרו, קרפור ואינטרמרשה. הוא זיהה נפגעים גם בחלקים אחרים של ענף המזון, ובהם אטליזים קטנים, בית מטבחיים ומפעלי מזון קואופרטיביים. הפגיעה חרגה אפוא ממדפי הסופרמרקטים והגיעה גם למתקנים המספקים להם סחורה.

כמה סימנים טכניים תומכים בייחוס האחריות

ההערכה הצרפתית משייכת את שהיד כאווה למערך האלקטרוניקה והסייבר של משמרות המהפכה. במסגרת C4 השתתפו בבחינת הפעילות סוכנות הסייבר ANSSI, שירותי המודיעין הפנימי והחיצוני, סוכנות הרכש הביטחוני ופיקוד הסייבר הצבאי.

החוקרים תיארו חפיפה בתשתיות התקיפה, פעילות איסוף מידע על ציוד תעשייתי אחר, שיטות סריקה חוזרות ועקבות שימוש בפרסית בתשתית. הדוח מציג את הסימנים כמכלול ראיות התומך בייחוס הפעולה ליחידה האיראנית.

C4 קשר לאותה מתקפה גם פעילות מקבילה נגד ציוד במתקנים הידרואלקטריים קטנים בצרפת. הוא הגדיר את ההשפעות שם כמתונות. תיאור הפגיעה במתקנים אלה מצומצם יותר מתיאור הנזק שנגרם למערכות הקירור.

הקשר לטכנולוגיה ישראלית כבר תועד בעבר

הפגיעה בציוד תעשייתי קדמה לאירוע בצרפת. התרעה משותפת שפרסמו גופים אמריקאיים ומערך הסייבר הלאומי של ישראל בדצמבר 2023 תיעדה תקיפות נגד בקרים מתוכנתים מתוצרת יוניטרוניקס הישראלית, המשמשים להפעלת תהליכים פיזיים.

ההתרעה תיארה פריצות לציוד במתקני מים וביוב בכמה מדינות בארצות הברית. הבקרים שנפגעו היו חשופים לאינטרנט והשתמשו בסיסמאות ברירת מחדל. בין הענפים המשתמשים בציוד כזה צוינו גם ייצור מזון, אנרגיה ובריאות.

התיעוד מסביר כיצד תקיפה הקשורה לישראל עלולה להשפיע גם במדינות אחרות: ציוד של חברה ישראלית מותקן בתשתיות ובעסקים בחו"ל. ההתרעה מ-2023 עסקה ישירות בבקרים שנפרצו וקראה למפעילים לבדוק גם את רשתות הבקרה המחוברות אליהם.

סנקציות אמריקאיות כבר הוטלו על בכירי מערך הסייבר

משרד האוצר האמריקאי הטיל ב-2 בפברואר 2024 סנקציות על שישה בכירים במערך הסייבר של משמרות המהפכה בתגובה לפעילות נגד ציוד יוניטרוניקס. המשרד מסר כי אותה פעולה לא שיבשה שירותים חיוניים וכי האירועים טופלו תוך צמצום השפעתם.

האזהרה התמקדה במה שגישה בלתי מורשית עלולה לאפשר. בקרים בשירותים חיוניים מחברים הוראות דיגיטליות לציוד פיזי, ולכן הסיכון חורג מגניבת מידע או משינוי מראהו של אתר אינטרנט. הממצאים הצרפתיים מתארים כעת השמדת מלאי ושריפות בעקבות שינוי הגדרות.

המהלך האמריקאי הקפיא נכסים של הבכירים שהיו כפופים לסמכות ארצות הברית, ואסר ככלל עסקאות הנכללות בסנקציות. זהו תקדים לשימוש בכלי הכלכלי שצרפת הודיעה כי תקדם עם שותפותיה באירופה.

פריז הודיעה על זימון השגריר ועל הצעה אירופית

משרד החוץ הצרפתי הודיע שיזמן את שגריר איראן כדי להעביר לו את גינויו, ויציע סנקציות נגד אישים וגופים איראניים המעורבים במתקפה ובפעילות סייבר זדונית אחרת. הוא גם שמר לעצמו אפשרות לנקוט צעדים נוספים, פומביים או חשאיים, שיראה כנחוצים ומידתיים.

ההודעה מ-9 בנובמבר מפרטת צעדים דיפלומטיים מתוכננים; היא אינה מודיעה על אימוץ חבילת סנקציות אירופית חדשה. ממשלת צרפת הגדירה את הפעולה באוקטובר כמערכת תקיפות הסייבר הראשונה בשטחה שבוצעה למטרות חבלה בלבד.

ההתפתחות המיידית היא זיהויה הפומבי של יחידה מדינתית איראנית וההחלטה לבקש תגובה מתואמת. עבור מפעילי מערכות תעשייתיות, התיעוד הנלווה מחבר את המהלך הדיפלומטי לפגיעה פיזית מוגדרת: שינוי מרחוק של בקרי קירור שהשמיד סחורה ובמקרים שמספרם לפחות 15 הצית דליקות.