فرنسا تنسب هجوم ثلاجات 700 متجر إلى الحرس الثوري الإيراني: كيف تُبنى “أدلة الإسناد” في هجوم على أنظمة التحكم الصناعي، وما الذي لا تقوله؟

ماذا حدث؟

قال وزير الخارجية الفرنسي جان نويل بارو للصحفيين على هامش اجتماع وزاري لمجموعة السبع في باريس إنه “يؤكد” أن الحرس الثوري الإيراني نفذ الهجوم، ووصفه بأنه “غير مسبوق في حجمه ومستوى عدوانيته”، وفق ما أوردته BBC والجزيرة الإنجليزية. وأضاف أنه “أول هجوم سيبراني واسع بهدف التخريب على الأراضي الفرنسية”، وأن السفير الإيراني استُدعي، وأن فرنسا ستسعى إلى عقوبات “على المستوى الأوروبي” بحق المسؤولين.

وفي اليوم نفسه أعلنت المدعية العامة في باريس لور بيكو فتح تحقيق قضائي بحق رئيس وحدة “شهيد كاوه” ونائبيه، وطلبت مذكرات توقيف دولية بحقهم، بحسب الجزيرة الإنجليزية وموقع The Record. كما نشر مركز تنسيق الأزمات السيبرانية الفرنسي (C4)، الذي يضم الوكالة الوطنية لأمن نظم المعلومات ANSSI والقيادة السيبرانية العسكرية وجهازي الاستخبارات الخارجية والداخلية، تقريراً علنياً يشرح أسباب الإسناد.

ولم ترد إيران رسمياً حتى مساء الاثنين، فيما وصفت وسائل إعلام إيرانية الاتهامات بأنها بلا أساس، بحسب BBC.

الأرقام

• نحو 700 موقع: عدد مواقع البيع بالتجزئة التي استُهدفت وحدات التحكم في التبريد فيها، بحسب تقرير C4.
• 15 حالة على الأقل: اندلعت فيها حرائق بعد رفع حرارة المعدات، وفق التقرير نفسه.
• 50 درجة مئوية: الحرارة التي بلغتها بعض الثلاجات خلال الليل، بحسب BBC والجزيرة.
• أكثر من 100 متجر لسلسلة Coopérative U و180 متجراً لسلسلة Intermarché وعلامتها Netto، بحسب BBC، وتذكر الجزيرة الإنجليزية أرقاماً أعلى لـIntermarché (300 متجر على الأقل).
• 3 مطلوبين بمذكرات توقيف دولية: رئيس الوحدة ونائباه.
• منذ 2020: بداية سلسلة هجمات قالت فرنسا إن وحدات الحرس الثوري نفذتها ضدها، منها هجوم على صحيفة شارلي إيبدو في 2023 ومحاولة اختراق شاشات عرض خلال أولمبياد باريس 2024، بحسب تقرير C4.

شرح مبسط: كيف تقول دولة “هذا هو الفاعل”؟

الإسناد في الفضاء السيبراني لا يشبه العثور على بصمة إصبع واحدة. هو تجميع لما يسميه التقرير الفرنسي “حزمة من المؤشرات”. وقد عرض C4 خمسة عناصر رئيسية:

1. إعادة استخدام البنية التحتية: الخوادم التي استُخدمت في الهجوم استُخدمت في الفترة نفسها لاستطلاع معدات Schneider Electric في محطات صغيرة للطاقة والمياه.
2. أسلوب معروف: هذا الاستطلاع اعتمد على بروتوكول Modbus عبر المنفذ 502، وهي تقنية يقول التقرير إن الوحدة تستخدمها منذ أبريل 2026 على الأقل.
3. أداة مسح محددة: استخدم المهاجمون محرك البحث FOFA الذي يفهرس الأجهزة المتصلة بالإنترنت، وهو أداة يقول التقرير إنها ضمن عادات هذا الفاعل.
4. التبني الإعلامي: نشرت قناة CyberbanNews المرتبطة بالوحدة خبر الهجوم منذ 13 أكتوبر.
5. آثار لغوية: وُجدت آثار استخدام للغة الفارسية في البنية التحتية للهجوم. وأضاف الادعاء، بحسب الجزيرة، عناوين إنترنت مرتبطة بأجهزة في إيران.

ويربط التقرير وحدة “شهيد كاوه” بواجهات “هاكتيفية” عدة، أبرزها CyberAv3ngers التي ربطتها الأجهزة الأمريكية سابقاً بهجمات على أجهزة تحكم صناعية من إنتاج شركة Unitronics الإسرائيلية في مرافق مياه أمريكية عام 2023، بحسب The Record.

أما الهجوم نفسه فكان بسيطاً في فكرته. فبحسب تقرير C4، غُيّرت إعدادات “إذابة الجليد” في وحدات التحكم لتُضبط على درجات حرارة عالية. وتقول BBC إن البرنامج المستهدف تقدمه شركة Danfoss الدنماركية ويتيح للمتاجر إدارة وحدات التبريد عن بُعد.

رأي: الإسناد رسالة سياسية مبنية على هندسة

نرى، وهذا تحليلنا لا موقف الحكومة الفرنسية، أن أهم ما في هذا الإعلان ليس اسم الفاعل بل نشر الأدلة. فالدول عادة تكتفي بجملة “لدينا ثقة عالية”. أما هنا فنشر C4 تقريراً بمستوى تصنيف TLP:CLEAR يذكر البروتوكول والمنفذ وأداة المسح. وهذا يعني أن مهندسي التشغيل في أي بلد يستطيعون الآن البحث في سجلاتهم عن المؤشرات نفسها.

لكن للإسناد حدوداً يجب أن تُقال. فقد ذكّرت BBC بأن الحكومة لم تشرح كل طريقة وصولها إلى الاستنتاج، وبأن الإسناد “صعب للغاية” لأن المهاجمين يخفون مواقعهم. والآثار الفارسية وعناوين الإنترنت يمكن تزييفها نظرياً. وقوة الحجة الفرنسية تأتي من اجتماع المؤشرات الخمسة، لا من أي واحد منها.

والنقطة الثانية أن التقرير لا يتناول الموجة الثانية من الهجمات في أوائل نوفمبر، التي طالت متاجر في بلجيكا ولوكسمبورغ والسويد وآيرلندا وغيرها، بحسب The Record. وتقول BBC إنه لا يُعرف إن كانت الموجتان مرتبطتين. فمن يستنتج أن إيران وراء كل هجمات الثلاجات في أوروبا يتجاوز ما قالته فرنسا.

وفي قراءتنا أيضاً، فإن الدرس الهندسي الأقسى هو أن المهاجم لم يحتج إلى ثغرة معقدة. فأداة مثل FOFA تعرض الأجهزة المكشوفة على الإنترنت لكل من يبحث، وبروتوكول Modbus صُمم في زمن لم تكن فيه أجهزة التحكم موصولة بالشبكة العامة، ولا يتضمن في صيغته الأساسية أي تحقق من هوية المرسل.

دروس عملية للمهندس

1. ابحث عن أجهزتك كما يبحث المهاجم: راجع ما إذا كانت وحدات التحكم في التبريد أو المضخات أو العدادات لديك تظهر في محركات فهرسة الأجهزة، وأغلق أي منفذ 502 مكشوف على الإنترنت.
2. ضع حداً مادياً لا برمجياً: حرارة إذابة الجليد التي تصل إلى 50 درجة يجب أن يمنعها مفتاح حراري أو حد في العتاد لا يمكن تغييره عن بعد.
3. افصل الإدارة عن بعد عن الشبكة العامة: استخدم شبكة افتراضية خاصة مع مصادقة متعددة العوامل، وراقب أي تغيير في نقاط الضبط ليلاً.
4. اقرأ تقارير الإسناد كمصدر مؤشرات: التقرير الفرنسي يذكر أسلوباً وأداة وتوقيتاً، وهي مادة جاهزة لفرق الأمن في المتاجر والمرافق العربية التي تستخدم المعدات نفسها.

المصادر

• BBC News، “France accuses Iran of supermarket fridge hacking” (9 نوفمبر 2026)
• بي بي سي عربي، “فرنسا تتهم إيران باختراق أنظمة التبريد في عدد من المتاجر الكبرى” (9 نوفمبر 2026)
• Al Jazeera، “France accuses Iran of cyberattack on supermarket fridges” (9 نوفمبر 2026)
• الجزيرة نت، “فرنسا تتهم الحرس الثوري الإيراني باختراق أنظمة تبريد متاجر كبرى” (9 نوفمبر 2026)
• CERT-FR / C4، “Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI” (9 نوفمبر 2026)
• The Record (Recorded Future News)، “France blames Iran for fridge cyberattacks, says some caused fires” (9 نوفمبر 2026)
• France 24، “France opens probe into Iranian cyber unit over fridge attacks” (9 نوفمبر 2026)