Frankrijk wijst in een uitzonderlijke formele beschuldiging naar Iran als verantwoordelijke voor de cyberaanval op de koelsystemen van Franse supermarkten in oktober.
De Franse veiligheidsdiensten beschuldigen Iran van de cyberaanval op de koelsystemen van Franse supermarkten in oktober. Dat gebeurt via een gezamenlijk rapport van het Centre de Coordination des Crises Cyber (C4), dat Franse cyber- en inlichtingendiensten omvat.
In het rapport windt C4 er geen doekjes om: de cyberaanvallen zijn de verantwoordelijkheid van de Iraanse Revolutionaire Garde, en dan specifiek twee cybereenheden die onder bevel van de garde opereren. Het gaat om Shahid Kaveh en Shahid Shoostari.
‘Ongeziene agressiviteit’
De aanval van de nacht van 11 op 12 oktober was volgens C4 ongezien in zowel omvang als agressiviteit. De koelcontrollers van 700 Franse supermarkten werden gekraakt en ontdooid. Dat zorgde niet alleen voor miljoenen aan schade en bedorven voedsel, zeker vijftien keer brak er ook brand uit.
Tegelijkertijd werden controllers van Schneider Electric bij kleine waterkrachtcentrales aangevallen. Dat deel van de aanval werd overschaduwd door de impact op de supermarkten, en had slechts beperkte gevolgen.
Uitzonderlijke beschuldiging
Het is heel uitzonderlijk dat een cyberaanval door een officiële instantie zo direct wordt toegeschreven. De Fransen noemen zelfs namen: Hamid Reza Lashgarian, hoofd van het CGRI-CEC, en de twee commandanten van Shahid Kaveh, Mahdi Lashgarian en Reza Salarvand, worden verantwoordelijk gehouden.
Het Franse openbaar ministerie heeft een internationaal aanhoudingsbevel aangevraagd tegen de beschuldigden. Frankrijk heeft de ambassadeur van Iran op het matje geroepen, en dreigt met verdere Europese sancties tegen het land. Iran heeft nog niet formeel gereageerd, maar zal de beschuldigingen naar alle waarschijnlijkheid ontkennen.
Duidelijke sporen
De krachtige respons impliceert een grote zekerheid van de bevoegde instanties. Die benoemen verschillende gevonden sporen die duidelijk naar Iran wijzen.
In de infrastructuur die voor de aanval gebruikt werd, vonden de onderzoekers sporen van Farsi, de taal die in Iran gesproken wordt. Diezelfde infrastructuur werd in dezelfde periode ook gebruikt om installaties van Schneider Electric af te tasten bij kleine en middelgrote energie- en watervoorzieningen. De techniek die de aanvallers daarvoor gebruikten, kent C4 al minstens sinds april 2026 van Shahid Kaveh. Toen zagen de Franse diensten de eenheid al op grote schaal industriële systemen van Schneider Electric verkennen, ook in Frankrijk.
Om de koelcontrollers te vinden, gebruikten de hackers FOFA, een scantool waarmee je apparaten vindt die met het internet verbonden zijn. Volgens C4 duikt dat hulpmiddel geregeld op in acties van de groep. Shahid Kaveh heeft bovendien minstens sinds juni 2024 scripts in handen om industriële apparatuur van Schneider Electric, Siemens en Rockwell op te sporen en over te nemen. Op 13 oktober, een dag na de aanval, verscheen de hack al op CyberbanNews, een propagandakanaal dat bij Shahid Kaveh hoort.
Eerdere ervaring
De Iraanse diensten die de hack hebben uitgevoerd, staan ook bekend onder ‘hacktivistische’ schuilnamen zoals CyberAveng3rs, Soldiers of Solomon, Mr. Soul en Cyber Isnaad Front.
Dat zijn geen onbekenden. Onder de naam CyberAveng3rs hebben de Iraniërs bijvoorbeeld al ervaring opgedaan in het aanvallen van kritieke infrastructuur gerelateerd aan water en energie. Israël is een voornaam doelwit, al claimen de hackers daar soms ook aanvallen waar ze eigenlijk niets mee te maken hebben.
Niet automatisch schuldig voor alles
Dat Iran achter de aanval in Frankrijk zit, betekent niet meteen dat de Revolutionaire Garde ook het bevel heeft gegeven voor de vervolgaanvallen op koelinstallaties in andere Europese landen, waaronder België.
De ongepatchte controllers van de Danfoss-koelsystemen die met internet verbonden waren, waren nooit complexe doelwitten. Met de aanval op Frankrijk werd er bovendien meer ruchtbaarheid gegeven aan de kwetsbaarheid van dergelijke systemen. De tweede aanval kan door Iran zijn uitgevoerd, maar net zo goed een andere mogendheid of zelfs enkele tieners met te veel tijd en te weinig normbesef.
Digitale industriële sabotage is Iran niet vreemd. Het land werd zelf één van de eerste doelwitten van dergelijke aanvallen toen in 2010. Toen werd duidelijk dat de Stuxnet-worm, ontwikkeld door de VS en Israël, centrifuges van de nucleaire site in Natanz had vernietigd door stiekem parameters aan te passen.