شهدت فرنسا هجومًا سيبرانيًا واسع النطاق استهدف مئات المتاجر الكبرى، مما أدى إلى تعطيل أنظمة التبريد وإفساد كميات كبيرة من الأطعمة واندلاع حرائق في نحو 700 متجر. الغريب أن هذا الهجوم جاء بعد أشهر من تحذيرات الباحثين الأمنيين بوجود ثغرات قابلة للاستغلال في وحدات التحكم الصناعية هذه.
تفاصيل الهجوم والخسائر
في وقت متأخر من ليل الأحد، تمكن مجرمون مجهولون من اختراق آلاف وحدات التحكم في التبريد، ورفع درجة الحرارة فيها إلى 50 درجة مئوية (122 فهرنهايت). وقد حذرت الوكالة الوطنية الفرنسية للأمن السيبراني (ANSSI) من تعرض أنظمة Danfoss وCopeland وعلامتها التجارية Dixell للخطر. كانت الأجهزة المخترقة متاحة عبر الإنترنت، والعديد منها لم يعد يتلقى تحديثات برمجية أو أمنية، أو كان يعمل ببرامج ثابتة قديمة.
أقرت شركة Copeland بوجود «ثغرة أمنية في جيل متوقف عن الإنتاج من وحدات التحكم انتهى عمره الافتراضي»، مشيرة إلى أنها تعمل مع العملاء المتضررين للتخفيف من المخاطر. نرى أن هذا يؤكد أهمية التحديث المستمر للأجهزة وعدم الاعتماد على الأنظمة القديمة، خاصة تلك المتصلة بالإنترنت.
تحذيرات سابقة تجاهلتها الجهات المعنية
ما يجعل هذا الحادث مثيرًا للاهتمام هو التسلسل الزمني للأحداث. فقبل أشهر، وتحديدًا في أغسطس، دقت شركة Claroty للأمن التشغيلي جرس الإنذار بشأن هذه الأجهزة المعرضة للخطر، محذرة من أن المتسللين يمكنهم «تجميد وحدة التحكم» و«إذابة الطعام». وقد نشر الباحثون تفاصيل عشرات الثغرات الأمنية، بما في ذلك ثغرات تجاوز المصادقة وتنفيذ أوامر نظام التشغيل، التي تؤثر على وحدات التحكم Danfoss AK-SM 800A وCopeland XWEB.
ليس هذا فحسب، بل سبق لوكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أن نشرت تحذيرات حول عيوب أمنية في وحدات التحكم لكلا الشركتين. ففي فبراير، تحدثت CISA عن نحو 20 ثغرة أمنية في Copeland XWEB وXWEB Pro يمكن استغلالها لتجاوز المصادقة، أو التسبب في هجمات رفض الخدمة، أو تلف الذاكرة، أو تنفيذ تعليمات برمجية عشوائية. وفي مايو 2025 (مع تحديث في أغسطس 2025)، أصدرت CISA تحذيرًا مشابهًا بخصوص أجهزة Danfoss AK-SM 8xxA.
على الرغم من توفر التحديثات، كشف Tiago Henriques، كبير مسؤولي الاكتتاب في شركة Coalition للتأمين السيبراني، أن عمليات الفحص التي أجرتها شركته أظهرت استمرار «التعرض الحرج لهذه التهديدات حتى الخريف». بين 7 سبتمبر و6 أكتوبر، رصدت مستشعرات Coalition وجود 1,506 عنوان IP فريد يعرض لوحة تحكم StoreView من Danfoss علنًا عبر الويب، و820 منها (أي 54 بالمئة) كانت مرتبطة بالشبكات الفرنسية.
حتى بعد الهجمات السيبرانية، ظلت 618 جهاز Danfoss متصلة بالإنترنت حتى يوم الخميس، وفقًا لإحصاءات الشركة، منها 206 أجهزة متصلة بشبكات فرنسية، و50 في الولايات المتحدة، واثنان في المملكة المتحدة. هذا لا يعني أن جميع هذه الوحدات كانت ضعيفة، بل إنها كانت مكشوفة على الإنترنت المفتوح.
ماذا يعني هذا للمطورين ومصممي الأنظمة؟
يشير هذا الحادث إلى أن المخاطر الرقمية تتجاوز بكثير محطات العمل وخوادم البريد الإلكتروني التقليدية. فالمجرمون يستهدفون الآن التقنيات التشغيلية (OT) والأجهزة الصناعية الأخرى المتصلة بالإنترنت.
دعت مجموعة من مزودي تكنولوجيا وأمن OT في أمريكا إلى حماية أقوى لقطاعي الغذاء والزراعة، مؤكدين أن الهجمات الفرنسية «تذكير صارخ آخر بأهمية تنفيذ تدابير الأمن السيبراني الأساسية لتعزيز أمن التقنيات التشغيلية». يجب على المطورين ومصممي الأنظمة إدراك أن «جهازًا غير محدث مزودًا بلوحة تحكم يمكن الوصول إليها عبر الويب يمكن أن يكون نقطة دخول رئيسية» للمهاجمين، وأن تحديد هذه النقاط المكشوفة قبل استهدافها يساهم بشكل مباشر في الحفاظ على استمرارية الأعمال.
المصدر: theregister.com