Frankrijk ontvangt Iraanse gezant na cyberaanval op supermarktkoeling

Frankrijk ontving dinsdag de Iraanse ambassadeur via de secretaris-generaal van het ministerie van Buitenlandse Zaken, meldt AFP; het Parijse parket zegt dat aanvallers koelsystemen via webinterfaces op afstand bedienden en temperatuuralarmen uitschakelden.

Voor een Nederlandse supermarkt, koelhuis of voedselverwerker komen daarmee twee digitale functies samen. De regeling bepaalt de temperatuur en ontdooicycli; alarmen horen een medewerker te waarschuwen zodra een temperatuurgrens wordt overschreden. Als een aanvaller beide kan wijzigen, kan voorraad opwarmen terwijl de waarschuwing uitblijft. Digitale toegang raakt zo direct aan voedselkwaliteit en bedrijfscontinuïteit.

De bediening en het alarm veranderden tegelijk

Procureur Laure Beccuau beschreef wat de toegang opleverde. Aanvallers startten afwijkende, onbeperkte ontdooicycli en schakelden tegelijk veiligheidsmeldingen uit. Die meldingen moesten afgaan wanneer sensoren een ingestelde temperatuurdrempel overschreden. De aanval trof zo zowel de koelbesturing als de waarschuwing.

Het parket meldde in een eigen bericht dat het onderzoek een kenmerkende aanvalsmethode had opgeleverd en onder leiding van onderzoeksrechters verdergaat. De zaak valt onder gezamenlijk onderzoek van de Franse dienst voor cybercriminaliteit (OFAC) en de binnenlandse veiligheidsdienst DGSI. Het strafrechtelijke onderzoek loopt nog; er is geen rechterlijke einduitspraak.

De ontvangst volgt op de Franse toeschrijving

De diplomatieke stap volgde op de bekendmaking van maandag: Frankrijk schreef de aanval op ruim 700 retaillocaties toe aan Shahid Kaveh. Minister van Buitenlandse Zaken Jean-Noël Barrot zei dat Frankrijk niets uitsluit en ook proportionele maatregelen kan nemen die niet publiek worden aangekondigd.

Het Franse ministerie zegt in zijn verklaring van 10 november dat het verdere Europese sancties wil voorstellen tegen Iraanse personen en organisaties. Dat is een voorstel aan de Europese partners, geen aangenomen sanctiebesluit. De Europese Commissie zegt dat lidstaten de reactie bespreken en dat de Unie snel en gezamenlijk wil optreden.

Teheran heeft dinsdag geantwoord. Het Iraanse ministerie van Buitenlandse Zaken noemde de Franse beschuldiging ongegrond en vijandig. De BBC meldde dat dit de eerste officiële reactie van Iran op de Franse aantijging was. Frankrijk schrijft de aanval toe aan een Iraanse eenheid. Iran wijst die beschuldiging af.

Een waarschuwing reikt tot Nederlandse bedrijven

Op 5 november publiceerden CISA, de FBI, het Amerikaanse ministerie van Volksgezondheid, het ministerie van Landbouw en het ministerie van Transport een waarschuwing voor wereldwijde activiteit tegen niet bijgewerkte of via internet bereikbare koelregelaars en systemen voor koudeketenbewaking. De diensten zeggen dat aanvallers daarmee temperaturen kunnen aanpassen en schade aan voorraad of apparatuur kunnen veroorzaken. Hun waarschuwing noemt de Franse zaak niet en schrijft de activiteit niet aan een specifieke groep toe.

Ook de eerdere Belgische waarschuwing benoemde publiek bereikbare koelregelaars als risico, maar bevestigde niet dat die blootstelling de toegang tot de Franse supermarkten verklaarde. Het nieuwe detail van het parket maakt de gebruikte webinterfaces concreet. Het laat nog open of de interfaces publiek toegankelijk waren, of aanvallers accounts misbruikten of een softwarefout benutten.

De Nederlandse meldingen zijn afzonderlijk. Danfoss vertelde de NOS op 2 november dat koelsystemen bij minstens zeventien Nederlandse bedrijven waren aangevallen en temperaturen waren aangepast. Geen van de openbare Franse bronnen koppelt die incidenten aan Shahid Kaveh. De Amerikaanse waarschuwing gaat over wereldwijde activiteit, maar levert op zichzelf geen bewijs dat de Franse en Nederlandse aanvallen één campagne vormen.

De technische route blijft deels onbekend

De Parijse aanklager noemt webinterfaces als route om de installaties op afstand te bedienen. De openbare stukken noemen geen specifiek koelregelaarmodel, softwareversie, kwetsbaarheid of manier waarop de aanvallers toegang kregen. De analyse van het Franse coördinatiecentrum voor cybercrises (C4) beschrijft aanwijzingen voor de toeschrijving aan Shahid Kaveh, maar publiceert geen exacte route naar de koelregelaars. Een webinterface bewijst op zichzelf niet dat een apparaat openstond voor het publieke internet.

De New York Times meldde op basis van drie anonieme Amerikaanse functionarissen dat Amerikaanse inlichtingendiensten de Iraanse verantwoordelijkheid voor de Franse aanvallen slechts met lage zekerheid beoordeelden en geen specifieke eenheid aanwezen. Dat is een andere inschatting dan de Franse toeschrijving. Het openbare dossier bevat een Franse technische analyse en de beschrijving van de aanklager, terwijl de strafrechtelijke onderzoeken nog lopen.

De Franse beschrijving koppelt wijzigingen aan de koelregeling aan het uitschakelen van temperatuurmeldingen. De openbare stukken noemen de gebruikte apparatuur en de toegangsvector nog niet, en de Europese sancties zijn nog niet aangenomen. Voor Nederlandse koelketenbeheerders raakt toegang op afstand daarmee ook aan de vraag wie een afwijking ziet wanneer de temperatuurregeling verandert.