Fransa, Ekim'deki süpermarket soğutucu saldırısını İran'a bağladı

Fransa Avrupa ve Dışişleri Bakanlığı, 9 Kasım’da yayımladığı açıklamada, 11 Ekim’i 12 Ekim’e bağlayan gece Fransa’da 700’den fazla büyük perakende mağazasındaki soğutma kontrol cihazlarını hedef alan saldırıyı İran İslam Cumhuriyeti’ne bağladı. Bakanlığa göre saldırıyı, İran İslam Devrim Muhafızları Ordusu’nun (Fransızca kısaltmasıyla CGRI) elektronik ve siber merkezine bağlı Shahid Kaveh adlı siber saldırı birimi yaptı. Bakanlık saldırıların büyük maddi hasara, yangın başlangıçlarına ve on milyonlarca euro olarak tahmin edilen gıda kaybına yol açtığını, bunun ülke topraklarında yalnızca sabotaj amacıyla yürütülen ilk siber saldırı kampanyası olduğunu belirtti.

Bakanlık, İran’ın Paris Büyükelçisi’ni çağırarak saldırıları en sert biçimde kınayacağını, Avrupa Birliği’ndeki ortaklarına saldırıya ve başka kötü amaçlı siber etkinliklere katılan İranlı kurum ve kişilere yönelik yeni yaptırımlar önereceğini açıkladı. Fransa ayrıca kamuya açık olan ya da olmayan, gerekli ve orantılı gördüğü ek önlemleri alma hakkını saklı tuttu. Bakanlığa göre AB, Mart 2026’da önceki saldırılara katkıda bulunan İranlı Emennet Pasargad kuruluşuna yaptırım uygulamıştı.

Aynı gün Fransız devletinin Siber Kriz Koordinasyon Merkezi (C4), atfın dayanaklarını anlatan ortak bir rapor yayımladı. C4, Fransa’nın siber güvenlik ajansı ANSSI’yi, Silahlı Kuvvetler Siber Savunma Komutanlığı’nı (COMCYBER), silahlanma ajansı DGA’yı, dış istihbarat servisi DGSE’yi ve iç istihbarat servisi DGSI’yi bir araya getiren bakanlıklar arası bir yapı. Raporu CERT-FR yayımladı.

Saldırının ayrıntıları

C4’ün raporuna göre merkez 12 Ekim’de, Fransa’da yaklaşık 700 büyük perakende mağazasındaki soğutma kontrol cihazlarını hedef alan bir saldırı nedeniyle alarma geçti. Cihazlar 11 Ekim Pazar’ı 12 Ekim Pazartesi’ye bağlayan gece ele geçirildi ve buz çözme ayarları yüksek sıcaklıklara çekildi. Rapora göre bu, büyük ürün kayıplarına ve en az 15 yerde yangın başlangıcına yol açtı.

Etkilenen kuruluşlar ağırlıkla büyük perakende zincirleriydi. Rapor bunlar arasında Casino, Leclerc, Coopérative U, Metro, Carrefour ve Intermarché gruplarını sayıyor. C4 ayrıca gıda sektöründen başka kurbanların da olduğunu, bunlar arasında birkaç küçük kasap, bir mezbaha ve kooperatif gıda fabrikaları bulunduğunu belirtiyor. Rapora göre aynı saldırıyla bağlantılı olarak Fransa’daki küçük hidroelektrik tesislerine ait birkaç Schneider Electric cihazı da eş zamanlı olarak hedef alındı ve bu cihazlardaki etki orta düzeyde kaldı.

Atfın dayanakları

C4’e göre bir dizi ipucu, saldırıyı Devrim Muhafızları’nın yaptırdığını ve Shahid Kaveh biriminin gerçekleştirdiğini gösteriyor. Rapor bu ipuçlarını şöyle sıralıyor:

• Saldırıda kullanılan altyapı aynı dönemde, özellikle küçük ve orta ölçekli enerji ve su üretim tesislerinde kullanılan Schneider Electric cihazlarına yönelik keşif çalışmalarında da kullanıldı. Bu çalışmalardaki teknikler, Modbus protokolünün 502 numaralı port üzerinden kullanılması, Shahid Kaveh tarafından en az Nisan 2026’dan beri kullanılıyor.
• Saldırganlar soğutma sistemlerini hedef almak için FOFA adlı internet tarama aracını kullandı. Rapora göre bu araç, birimin saldırılarında genellikle kullanılıyor.
• Saldırı, Shahid Kaveh ile ilişkilendirilen propaganda kanalı CyberbanNews’te 13 Ekim’den itibaren duyuruldu.
• Saldırı altyapısında Farsça kullanıldığına dair izler bulundu.

Rapora göre Shahid Kaveh birimini Reza Salarvand ve Mahdi Lashgarian yönetiyor. Birim ağırlıkla CyberAveng3rs, Soldiers of Solomon, Mr. Soul ve Cyber Isnaad Front gibi hacktivist görünümlü kimlikler üzerinden tanınıyor ve bu kimlikler birimin bazı saldırılarını kamuoyu önünde üstleniyor. Birim, endüstriyel cihazlara yönelik geniş ölçekli sabotaj kampanyaları yürütüyor. Rapora göre bu kampanyalar ağırlıkla İsrail’i ve ABD’yi, ancak Fransa’yı ve başka Avrupa ülkelerini de hedef alıyor.

Rapora göre birim CyberAveng3rs kimliğiyle, Kasım 2023’te İsrailli Unitronics şirketinin ABD’de ve Avrupa’da kullanılan endüstriyel kontrol sistemlerini hedef alan bir kampanyayı üstlendi. Birim, Mart ve Nisan 2026’da İsrail’e ait soğutma cihazları da dahil İsrail ve ABD çıkarlarına yönelik geniş ölçekli bir sabotaj kampanyasını da üstlenmişti. C4’e göre birim en az Haziran 2024’ten beri Schneider Electric, Siemens ve Rockwell marka endüstriyel kontrol cihazlarını tarayan, bu cihazlara erişen ve onları kontrol eden betiklere sahip. Nisan 2026’da birimin, Fransa dahil Schneider Electric endüstriyel kontrol sistemlerinde Modbus protokolüyle geniş çaplı keşif yaptığı görüldü. Raporun ekinde Devrim Muhafızları’nın elektronik ve siber merkezinin yöneticisi olarak Hamid Reza Lashgarian adı da yer alıyor.

Fransa’ya yönelik önceki İran saldırıları

Rapor, Devrim Muhafızları’nın elektronik ve siber merkezini 2020’den beri Fransa’yı ve Fransız çıkarlarını hedef alan başka saldırılardan da sorumlu tutuyor. C4’e göre bu saldırıları açık kaynaklarda Iliyanet ve Emennet Pasargad adlarıyla da bilinen Shahid Shoostari birimi yaptı:

• C4, Emennet Pasargad’ın 2020’de Charlie Hebdo dergisini hedef aldığını doğruluyor. Bu plan 2021’de kendini muhalif bir İranlı hacktivist örgüt olarak tanıtan Lab Dookhtegan tarafından açığa çıkarılmıştı. Rapor, planın derginin Eylül 2020’de Hz. Muhammed karikatürlerini yeniden yayımlamasına misilleme ve gözdağı amacıyla hazırlanmış olabileceğini değerlendiriyor. 4 Ocak 2023’te, derginin o dönemki İran dini lideri Ali Hamaney’e ilişkin bir karikatür yarışmasının sonuçlarını yayımlayacağı gün, derginin çevrim içi mağazasının görünümü değiştirildi ve mağazanın veritabanındaki bilgiler çalındı. C4 bu saldırıyı Shahid Shoostari’ye bağlıyor.
• 20 Temmuz 2024’ten itibaren, video ekran yönetim sistemi işleten bir Fransız şirketi ele geçirildi. Saldırganlar ekranlarda İsrailli sporcuların Paris 2024 Olimpiyat ve Paralimpik Oyunları’na katılımını kınayan fotomontajlar göstermeye çalıştı, ancak ele geçirme görüntüler ekrana çıkmadan fark edildi. Rapora göre görüntüler ilk kez, ele geçirmenin fark edilmesinden bir gün önce, 24 Temmuz 2024’te Farsça paylaşım yapan bir Instagram hesabında yayımlandı ve saldırganlar kurbanın ağında İranlı internet servis sağlayıcılarına ait iki IP adresi kullandı.

Diğer saldırılarla bağlantısı

Sitede saldırıyı 13 Ekim’de yazmıştık. Fransa’nın atfı yalnızca Fransa’daki 11 ve 12 Ekim saldırısını kapsıyor. C4’ün raporu, 1 Kasım’ı 2 Kasım’a bağlayan gece Belçika, İsveç ve diğer Avrupa ülkelerinde süpermarket dondurucularına yapılan saldırılardan ya da o saldırıları üstlenen Rusya yanlısı gruplardan söz etmiyor.