Frankrijk schrijft aanval op ruim 700 retaillocaties toe aan Iraanse eenheid

Frankrijk schrijft op 9 november de aanval op koelregelaars bij ruim 700 retaillocaties toe aan Shahid Kaveh, een cyberoffensieve eenheid binnen het cybercentrum van de Iraanse Revolutionaire Garde. De Franse regering schat het voedselverlies op tientallen miljoenen euro’s en meldt materiële schade en branden. Voor Nederlandse retailers, koelhuizen en voedselbedrijven raakt de zaak aan digitale toegang tot installaties die fysieke voorraad en apparatuur aansturen.

De officiële telling omvat meer dan winkels

De Franse verklaring dateert de campagne in de nacht van 11 op 12 oktober. Zij meldt dat koelregelaars waren ingezet op meer dan 700 locaties in de Franse detailhandel. Het interdepartementale Franse cybercrisisteam C4 zet de omvang op circa 700 retaillocaties en noemt minstens vijftien branden. Het ministerie raamt de voedselverliezen op tientallen miljoenen euro’s.

De getroffen bedrijven waren onder meer Casino, Leclerc, Coopérative U, Metro, Carrefour en Intermarché. De C4 kende ook kleinere slachtoffers in de voedselketen: slagerijen, een slachthuis en coöperatieve voedselverwerkers. Tegelijkertijd werden Schneider Electric-systemen bij kleine Franse waterkrachtinstallaties benaderd. De Franse onderzoekers schrijven die activiteit toe aan dezelfde aanvalscampagne, al waren de gevolgen daar beperkt.

De eerste incidentmeldingen lieten de aantallen per winkelgroep uiteenlopen en bevestigden de gevonden controllerkwetsbaarheid niet als aanvalsvector. De nieuwe rapportage geeft een officiële totaalschatting en breidt de bekende doelwitten uit naar kleinere voedselbedrijven en energie-installaties. Zij noemt geen aantal getroffen apparaten per keten.

C4 noemt vier aanwijzingen voor Shahid Kaveh

Het Centre de Coordination des Crises Cyber, kortweg C4, brengt de Franse cyberdienst ANSSI, de militaire cyberorganisatie en de Franse inlichtingen- en defensiediensten samen. Het rapport schrijft de aanval op de koelregelaars toe aan Shahid Kaveh, een eenheid binnen het elektronische en cybercentrum van de Iraanse Revolutionaire Garde. Voor die attributie noemt C4 vier aanwijzingen:

• Gedeelde infrastructuur: dezelfde infrastructuur werd gebruikt om Schneider Electric-apparatuur bij kleine energie- en waterinstallaties te verkennen.
• Verkenning via Modbus: in april 2026 gebruikte de eenheid het industriële communicatieprotocol Modbus via poort 502 om systemen van Schneider Electric te onderzoeken.
• FOFA-scans: de operators gebruikten die zoekdienst om verbonden apparaten op te sporen; C4 zegt dat Shahid Kaveh dat vaker doet.
• Publieke en taalkundige sporen: het aan de eenheid gelieerde kanaal CyberbanNews verspreidde de aanval op 13 oktober en onderzoekers vonden Farsi-sporen in de aanvalsinfrastructuur.

De openbare analyse beschrijft waarop de Franse attributie steunt, maar geeft geen volledige reconstructie. Het rapport noemt geen specifieke kwetsbaarheid, account of exacte toegangsmethode waarmee de koelregelaars zijn binnengedrongen. Ook ontbreken modelnummers en een overzicht per winkelgroep. Daardoor is niet vast te stellen of een Nederlands bedrijf dezelfde apparatuur of toegangsroutes gebruikt.

Parijs koppelt de aanval aan een bredere reeks

C4 plaatst de aanval in een reeks cyberoperaties tegen Franse belangen die minstens tot 2020 teruggaat. Het rapport maakt daarbij onderscheid tussen Shahid Kaveh en Shahid Shoostari. Die tweede eenheid schrijft het toe aan eerdere operaties rond de webwinkel van Charlie Hebdo en het beheer van digitale reclameborden tijdens de Olympische Spelen van Parijs in 2024. Die voorgeschiedenis verbindt de gebeurtenissen aan hetzelfde Iraanse cybercentrum, maar maakt de uitvoerders niet tot één groep.

De Raad van de EU sanctioneerde in maart 2026 het Iraanse bedrijf Emennet Pasargad voor eerdere cyberaanvallen op een Franse abonneedatabank en reclameborden tijdens de Spelen. C4 noemt Emennet Pasargad een andere naam waaronder Shahid Shoostari opereert. De Franse regering wil nu de Iraanse ambassadeur ontbieden en stelt nieuwe Europese sancties voor tegen personen en organisaties die bij de koelingsaanval betrokken zouden zijn. Dat voorstel is nog geen aangenomen sanctiebesluit.

Andere koelincidenten blijven apart

De Franse toeschrijving geldt voor de campagne van 11 en 12 oktober. Op 5 november waarschuwden CISA, FBI, HHS, USDA en het Amerikaanse ministerie van Transport voor wereldwijde activiteit tegen niet-gepatchte of via internet bereikbare koelregelaars en systemen voor koudeketenbewaking. De Amerikaanse publicatie noemt geen dader en maakt geen koppeling met Shahid Kaveh. Ze adviseren onder meer directe internettoegang te verwijderen, standaardwachtwoorden te wijzigen, apparaten bij te werken en niet meer ondersteunde apparatuur te vervangen.

Ook de Nederlandse meldingen zijn een afzonderlijke ontwikkeling. Danfoss vertelde de NOS op 2 november dat koelsystemen bij minstens zeventien Nederlandse bedrijven waren aangevallen en dat temperaturen waren aangepast. De Nederlandse meldingen over koelinstallaties bij zeventien bedrijven, Belgische winkels en onbevestigde Zweedse problemen staan ook in de eerdere berichtgeving over de aanvallen buiten Frankrijk. Geen van die bronnen schrijft de Nederlandse incidenten toe aan de Franse eenheid.

Op 2 november meldde ook de Franse bloedservice EFS een incident bij een koeltechniekleverancier. De EFS zegt dat alarmsystemen afwijkingen op drie locaties snel signaleerden en productverlies voorkwamen. The Guardian meldt dat een verband met de supermarktcampagne niet duidelijk is. De drie EFS-locaties waar alarmen bloedproducten hielpen beschermen, zijn beschreven in de berichtgeving over het incident bij de bloedservice en vijf Duitse winkels.

De officiële attributie voegt een naam en een diplomatieke reactie toe aan één Franse campagne. De technische rapportage maakt tegelijk duidelijk dat de toegang tot de koelregelaars zelf nog niet openbaar is vastgesteld. De waarschuwingen en incidenten in andere landen tonen dat vergelijkbare apparatuur ook buiten Frankrijk wordt aangevallen, zonder dat daaruit één gezamenlijke dader volgt. Voor een Nederlandse organisatie blijft de operationele vraag welke accounts op afstand instellingen kunnen wijzigen en wie een afwijking op tijd ziet.