هجوم سيبراني على السوبرماركت الفرنسية: السيطرة على وحدات التحكم في التبريد من Danfoss
في ليلة 11 إلى 12 أكتوبر 2026، جرت السيطرة عن بُعد على أنظمة التبريد في مئات السوبرماركت الفرنسية. لم تتعطل صناديق الدفع ولم تُسرق بيانات العملاء: استهدف المهاجمون التبريد التجاري. يعرض هذا المقال ما هو مؤكد، والثغرة التي لم تُعرف بعد، والإجراءات الموصى بها، وما يعنيه الحادث لشركتك. سيتم تحديثه مع تقدّم التحقيق.
معلومات قيد التطور. الأرقام مصدرها الصحافة (وكالة الصحافة الفرنسية، رويترز، وسائل متخصصة) وتصريحات الموزّعين؛ وهي أولية وتختلف بين المصادر. لم نتمكن من الاطلاع على بيانات رسمية من Danfoss أو ANSSI: مواقفهما منقولة عن الصحافة.
ما هو مؤكد
| التاريخ | ليلة 11 إلى 12 أكتوبر 2026 |
|---|---|
| الهدف | وحدات التحكم في التبريد من الشركة الدنماركية Danfoss (سلسلتا AK-SM وAK-SC) في السوبرماركت |
| التأثير | تشغيل إذابة الجليد عن بُعد في كل الثلاجات، وارتفاع الحرارة حتى 50 درجة مئوية وفق Mousquetaires؛ واستمر نحو ست ساعات |
| النتيجة | انقطاع سلسلة التبريد: إتلاف منتجات طازجة ومجمّدة |
| السلاسل المتأثرة | Intermarché/Netto (Mousquetaires)، Coopérative U، E.Leclerc (عدة متاجر)، Carrefour، Monoprix |
| عدد المتاجر (أولي) | أكثر من 400 وفق التقديرات الأولى، ونحو 500 وفق بعض الوسائل. وكالة الصحافة الفرنسية: 300 على الأقل من Intermarché/Netto، وأقل من 100 من Coopérative U، و80 من Carrefour، ونحو ثلاثين من Monoprix. رويترز: نحو 150 من Intermarché |
| بيانات مسروقة | لم يُعلن عن أي منها حتى الآن |
| تبنّي الهجوم | لا يوجد؛ الفاعلون غير معروفين |
| التحقيق | نيابة باريس، أُسند إلى مكتب مكافحة الجرائم السيبرانية (OFAC)؛ وتعبئة ANSSI؛ تنبيه CERT-FR رقم CERTFR-2026-ALE-012 بتاريخ 12 أكتوبر |
| الأضرار | عدة ملايين من اليورو، وفق النيابة |
كيف عمل الهجوم
وفق المعلومات المتاحة لم يكسر المهاجمون الأجهزة، بل أساؤوا استخدام وظيفة مشروعة هي إذابة الجليد. وعند تشغيلها في كل الثلاجات معاً ترتفع الحرارة داخل الواجهات والغرف الباردة.
يفيد CERT-FR بوجود «اختراقات عديدة» تطال سلسلتين من وحدات Danfoss هما AK-SM وAK-SC. وتقول Danfoss إن معظم الوحدات المتأثرة قديمة (لا سيما AK-SM 800 وAK-SC 355) ولم تعد تتلقى تحديثات برمجية أو أمنية.
الثغرة: ما نعرفه وما لا نعرفه
لم يُعلن علناً عن نقطة الدخول. لم تحدد Danfoss ولا السلطات كيف دخل المهاجمون، ولا يذكر تنبيه CERT-FR أي ثغرة أو إصدار برنامج ثابت أو CVE. إليكم الوقائع وفرضيات الباحثين:
- الانكشاف على الإنترنت (ثابت بعمليات المسح، دون ربط مثبت بالهجوم). أحصى الباحث Baptiste Robert (Predicta Lab) نحو 2752 نظام Danfoss مكشوفاً على الإنترنت، منها 1590 في فرنسا؛ ويرصد Shodan أكثر من 4500. هذه أرقام مسح سلبي ولا تثبت أن هذه الأجهزة تعرضت للهجوم. ويذكّر CERT-FR بأن كشف واجهة الإدارة على الإنترنت يخالف الممارسات الجيدة.
- ثغرات معروفة قبل الهجوم (فرضية). كان باحثو Claroty (Team82) قد وثّقوا في أغسطس ثغرات في AK-SM 800A منها تجاوز المصادقة. وأصلحت Danfoss في 2025 الثغرات CVE-2025-41450 (تجاوز المصادقة، الإصدار 4.2) وCVE-2025-41451 (حقن أوامر بعد تسجيل الدخول) وCVE-2025-41452 (حجب خدمة بعد تسجيل الدخول)، والأخيرتان في الإصدار 4.3.1. لا يربط أي مصدر رسمي هذه الثغرات بالهجوم؛ وقد تكون الثغرة المستغلة غير منشورة.
- سيناريوهات أخرى متداولة (فرضيات): بيانات اعتماد ضعيفة أو افتراضية على واجهات مكشوفة، أو بيانات صيانة مخترقة، أو السيطرة على وصول عن بُعد لدى مقاول تبريد.
الإجراءات الموصى بها
هذه هي الإجراءات التي ذكرها CERT-FR/ANSSI وDanfoss كما نقلتها الصحافة:
- الفصل عن الإنترنت أو تصفية الوصول بصرامة لكل وحدات AK-SM وAK-SC. وإذا كانت الإدارة عن بُعد ضرورية فيُقصر الوصول على عناوين IP موثوقة (يعدّها CERT-FR إجراءً مؤقتاً).
- استبدال الطرازات المنتهية العمر (AK-SM 800 وAK-SC 355): لم تعد تتلقى أي تصحيح. وإن تعذر ذلك فتُعزل في شبكة مجزّأة.
- تحديث البرنامج الثابت لوحدات AK-SM 800A التي لا تزال مدعومة.
- جهاز يُشتبه في اختراقه: لا يكفي التحديث وحده. ويحدد CERT-FR إجراء استعادة أشمل؛ راجعوا التنبيه CERTFR-2026-ALE-012 على cert.ssi.gouv.fr.
- إجراءات عامة: تغيير كلمات المرور الافتراضية، وإلغاء الصيانة عن بُعد غير الضرورية، وتجزئة شبكة OT، وتسجيل عمليات الوصول.
ما لم يثبت بعد
- الفاعلون ودوافعهم: لا تبنٍّ ولا إسناد رسمي.
- مسار الدخول الدقيق: لا رابط رسمي بالثغرات المذكورة؛ تبقى الوحدات المكشوفة أو بيانات الاعتماد المخترقة أو وصول مقاول عن بُعد مجرد فرضيات.
- الحصيلة النهائية: يختلف عدد المتاجر بحسب المصدر والسلسلة.
- تأثر صناديق الدفع أو بيانات العملاء: تفيد عدة مصادر بعدم حدوثه. أما الأخبار عن شلل صناديق الدفع فغير مؤكدة.
دروس لشركتك
- الأجهزة المتصلة المنتهية العمر دَين أمني. جهاز بلا تصحيحات ويمكن بلوغه من الإنترنت هدف. أحصوا ما هو متصل (التبريد، التكييف، الكاميرات، الطابعات، المحطات، الأجهزة الصناعية).
- الثغرة المعروفة تبقى قابلة للاستغلال طويلاً. المدة بين نشر التصحيح ونشره فعلياً هي نافذة الهجوم الحقيقية. ومتابعة ثغرات CVE الخاصة بأجهزتكم وإضافاتكم أجدى إجراء.
- حادث بلا سرقة بيانات قد يكلّف الكثير. الخسارة هنا مادية: مخزون متلف ومتاجر متعطلة. وبحسب الصحافة يتحمل الموزّعون هذه الخسائر دون تغطية تأمينية. تحققوا مما تغطيه وثيقتكم السيبرانية فعلاً.
- NIS2. إذا كانت جهتكم ضمن القطاعات المعنية (ومنها توزيع المواد الغذائية بحسب الحجم)، فراجعوا التزاماتكم في إدارة المخاطر والإبلاغ عن الحوادث.
🔍 ما حجم سطح الهجوم المكشوف لديكم؟
يحلل تدقيقنا ما يراه المهاجم في موقعكم: الإصدارات المكشوفة، ورؤوس الأمان المفقودة، والخدمات المتاحة، ومؤشرات الاختراق، مع تقرير وخطة عمل مرتبة بالأولوية عبر البريد الإلكتروني.
🔍 افحصوا موقعي الآنالمصادر
نُشر المقال في 13 أكتوبر 2026 استناداً إلى معلومات صحفية لا تزال أولية. آخر تحقق: 13 أكتوبر 2026.