Что общего между кибератакой на сотни холодильников в супермаркетах Франции и атаками на американские системы водоснабжения? Гораздо больше, чем вы можете подумать.
Франция возложила ответственность за октябрьский саботаж систем охлаждения примерно на 700 торговых объектах на Shahid Kaveh, наступательное киберподразделение, связанное с Электронным и кибернетическим центром Корпуса стражей исламской революции (КСИР) Ирана. Злоумышленники манипулировали контроллерами холодильного оборудования, вызывая аномальные циклы разморозки и отключая оповещения о температуре. Эти инциденты привели к масштабной порче продуктов питания и, по данным французских властей, к пожарам в нескольких местах.
Название Shahid Kaveh многим может показаться новым. Однако сама деятельность выглядит гораздо более знакомой.
Согласно недавнему заявлению Франции, CyberAv3ngers — это одна из публичных персон, связанных с подразделением Shahid Kaveh. Специалисты Check Point Research годами отслеживали активность CyberAv3ngers, в частности их интерес к операционным технологиям (OT) и системам промышленного управления. Последние события во Франции придают этой истории новый контекст.
Хронология активности CyberAv3ngers и Shahid Kaveh
В 2023 году Check Point Research задокументировала активность CyberAv3ngers после атак на критическую инфраструктуру в США.
Группа нацелилась на программируемые логические контроллеры Unitronics, используемые организациями, включая предприятия водоснабжения. Наше исследование показало, как CyberAv3ngers выходит за рамки своего традиционного фокуса на Израиле и все чаще берет на себя ответственность за атаки на организации в США, часто выставляя в качестве мишени саму технологию израильского производства.
Вслед за этой активностью, подробно описывающая связанную с КСИР кибеractивность, нацеленную на программируемые логические контроллеры Unitronics в различных организациях США, включая объекты водоснабжения и очистки сточных вод.
У этой активности была еще одна важная особенность. Check Point Research зафиксировала, что связанные с Ираном группы хактивистов комбинируют реальные атаки с тиражированием преувеличенных и потенциально ложных заявлений. Это делало задачу по отделению технической активности от сопутствующей информационной операции все более важной.
Во время операции Epic Fury в марте 2026 года специалисты Check Point Research продолжили отслеживать активность, связанную с CyberAvengers.
Наши исследователи выявили сканирование, нацеленное на доступные из интернета службы Virtual Network Computing (VNC) на промышленных объектах Израиля. Сканирование исходило из инфраструктуры виртуальных частных серверов, связанной с CyberAv3ngers, что стало еще одним свидетельством сохраняющегося интереса группы к незащищенным технологиям в промышленной среде.
Эта активность подкрепила тенденцию, которую исследователи уже наблюдали: доступные из интернета технологии, используемые в промышленной среде, могут предоставить злоумышленникам возможности для обнаружения систем, отвечающих за физические процессы, и потенциального доступа к ним.
Затем последовала Франция.
В ночь с 11 на 12 октября злоумышленники скомпрометировали контроллеры холодильного оборудования примерно на 700 французских торговых объектах. Согласно результатам французского расследования, злоумышленники удаленно манипулировали холодильными контроллерами Danfoss и Dixell, повысили настройки разморозки и отключили температурные аварийные сигналы.
Последствия быстро вышли за рамки цифрового мира. Розничные торговцы потеряли огромное количество скоропортящихся продуктов питания, причем французские власти оценили убытки в десятки миллионов евро, в то время как в нескольких точках были зарегистрированы пожары.
Франция возложила ответственность за деструктивную активность на Shahid Kaveh, назвав CyberAveng3rs одной из ее публичных персон.
Почему операционные технологии являются важной частью этой истории
В совокупности эти инциденты иллюстрируют, почему атаки на операционные технологии заслуживают особого внимания.
Речь идет не только о компьютерах, электронной почте или корпоративных сетях. Подключенные технологии все чаще управляют процессами в физическом мире: охлаждением, водоподготовкой, производственным оборудованием, энергосистемами и другими промышленными операциями. Это меняет потенциальное влияние кибератаки.
В инцидентах, задокументированных Check Point Research в 2023 году, CyberAv3ngers атаковала программируемые контроллеры, используемые в критической инфраструктуре. Во Франции последняя атака затронула технологию, отвечающую за поддержание температуры охлаждения.
Разные системы, разные инциденты, но общий урок: когда операционные технологии подключены к интернету, кибервторжение потенциально может привести к физическому ущербу.
Французское заявление также помогает поместить многолетнюю деятельность CyberAv3ngers в более широкий организационный контекст. Более ранний анализ Check Point Research определил CyberAv3ngers как публичное лицо, связанное с правительством Ирана и КСИР. Для защитников название имеет меньшее значение, чем поведение, стоящее за ним. Переход от атак на инфраструктуру водоснабжения к разведке промышленных систем, а теперь и к деструктивной деятельности против холодильной инфраструктуры показывает, почему уязвимые OT-среды остаются важной областью для мониторинга.
По мере развития геополитической напряженности Check Point Research продолжит отслеживать иранскую кибеractивность, а также инфраструктуру, методы и персоны, с ней связанные.
Следите за публикациями Check Point Research, чтобы быть в курсе последних аналитических данных об иранской кибеractивности и новых угрозах.
