المشهد التالي تصوّر تقريبي مبني على ما نُشر عن الحادثة، وأسماء المتاجر والأشخاص فيه افتراضية.

صباح الإثنين… رائحة لم يتوقعها أحد

في السادسة صباحًا من يوم الإثنين 12 أكتوبر 2026، فتح «مارك»، مدير مناوبة الصباح في أحد المتاجر الكبرى بضواحي مدينة فرنسية، الباب الخلفي كعادته. لكن شيئًا ما لم يكن طبيعيًا: هواء دافئ ثقيل يخرج من ممرات الأغذية الطازجة، وقطرات ماء تسيل من أسفل ثلاجات الألبان، وصناديق اللحوم في المجمدات أصبحت طرية كأنها خرجت للتو من الفرن.

أول ما خطر بباله: انقطاع كهرباء. لكن الأضواء تعمل، والضواغط تدور، ولوحة التحكم تقول إن كل شيء «يعمل وفق الجدول». المشكلة لم تكن في الكهرباء… بل في من كان يتحكم بالجدول.

في الساعة نفسها تقريبًا، كان المشهد يتكرر في مئات المتاجر الأخرى في أنحاء فرنسا.

ماذا حدث فعلًا؟

خلال ليلة 11 إلى 12 أكتوبر 2026، تمكّن مهاجمون من الوصول عن بُعد إلى وحدات التحكم المركزية لأنظمة التبريد في مئات المتاجر الفرنسية، من بينها فروع تابعة لعلامات معروفة مثل Intermarché وCoopérative U وE.Leclerc. وبحسب التقارير الأولية، أجبر المهاجمون الأنظمة على تشغيل دورة إذابة الجليد (Defrost) مع ضبط الحرارة على نحو 50 درجة مئوية، فتحولت الثلاجات والمجمدات عمليًا إلى أفران طوال الليل.

النتيجة: كميات ضخمة من الأغذية التالفة، وخسائر تُقدّر بملايين اليوروهات، وتصريح من مجموعة Les Mousquetaires بأن نحو 300 من متاجرها في فرنسا تأثرت. رئيس Coopérative U وصف استهداف معدات أساسية لحفظ الأغذية الطازجة وتموين الفرنسيين بأنه أمر بالغ الخطورة وغير مسبوق، وفتحت النيابة العامة في باريس تحقيقًا جنائيًا.

تحذير CERT-FR الرسمي

في 12 أكتوبر أصدر فريق الاستجابة الوطني الفرنسي CERT-FR (التابع لوكالة ANSSI) التنبيه CERTFR-2026-ALE-012، وحدّثه في 13 أكتوبر لإضافة أجهزة أخرى. الأجهزة المتأثرة وفق التنبيه:

  • Danfoss سلسلة AK-SM
  • Danfoss سلسلة AK-SC
  • Copeland XWEB
  • Dixell XWEB

وأكد CERT-FR أنه على علم بـ«العديد من الاختراقات» لهذه الأجهزة، مشددًا على أن تعريض واجهة إدارة على الإنترنت مخالف لأفضل الممارسات، وأن حملات الهجوم ما زالت مستمرة على الأرجح.

كيف وصل المهاجمون؟

حتى 13 أكتوبر، لم تُسمِّ CERT-FR ولا Danfoss ثغرة محددة أو رقم CVE مرتبطًا بالهجوم. لكن الصورة العامة واضحة:

  • أجهزة منتهية الدعم (End of Life): أوضحت Danfoss أن معظم الوحدات المتأثرة قديمة ولم تعد تتلقى تحديثات أمنية، ومنها AK-SM 800 (انتهى دعمه في مايو 2021) وAK-SC 355 (أُوقف عام 2016).
  • برمجيات ثابتة قديمة: بعض وحدات AK-SM 800A الحديثة تأثرت أيضًا لأنها كانت تعمل بإصدارات قديمة لم تُحدَّث.
  • واجهات إدارة مكشوفة على الإنترنت: واجهات ويب تتيح تغيير درجات الحرارة وجداول التشغيل من المتصفح، متاحة مباشرة على عناوين IP عامة. وقدّرت شركة Claroty وجود قرابة 2,765 وحدة تحكم Danfoss مكشوفة على الإنترنت.
  • أبحاث معلنة مسبقًا: في أغسطس 2026 عرض فريق Team82 من Claroty في مؤتمر DEF CON كيف يمكن الاستيلاء على AK-SM 800A، وكيف يمكن لجهاز مخترق أن يوقف التبريد بينما يعرض قراءات حرارة مزيفة تُخفي المشكلة. وقد أصلحت Danfoss تلك الثغرات في الإصدار R4.3.1، لكن كثيرًا من الأجهزة لم تُحدَّث.

واللافت أن هذا ليس أول هجوم من نوعه: تشير مواد Danfoss نفسها إلى استهداف نحو 16 متجرًا في روسيا و40 متجرًا في إسرائيل تستخدم AK-SM 800 خلال عام 2022. أي أن التحذيرات كانت موجودة منذ سنوات.

لماذا هذه الحادثة مختلفة؟

اعتدنا أن نسمع عن اختراقات تستهدف قواعد بيانات العملاء أو أنظمة الدفع. أما هنا، فلم تُسرق بيانات ولم تُشفَّر ملفات؛ الضرر كان ماديًا مباشرًا: طعام فاسد، رفوف فارغة، وسلسلة تبريد مكسورة قد تمس صحة الناس. إنه مثال حي على أن الأنظمة التشغيلية (OT) وإنترنت الأشياء (IoT) أصبحت جزءًا أصيلًا من سطح الهجوم لأي منشأة، حتى لو كانت «مجرد متجر» أو «مجرد مقهى».

ماذا أوصت CERT-FR؟

إذا لم تكن الأجهزة مخترقة

  1. إزالة تعرّض الوحدات للإنترنت فورًا، وكذلك أي وحدة أخرى مكشوفة على عنوان IP عام (مع مراجعة شروط التأمين قبل قطع إرسال البيانات لمقدّم خدمة التبريد).
  2. مراجعة الإعدادات كاملة، خصوصًا جداول وفترات إذابة الجليد.
  3. إعادة الوصول فقط عبر VPN آمن أو شبكة محمية. وفي حالات الطوارئ يمكن تقييد الوصول بعناوين IP الخاصة بمقدمي الخدمة عبر جدار الحماية، كحل مؤقت لا دائم.
  4. تطبيق توصيات الشركة المصنعة: تحديث البرمجيات الثابتة، تفعيل مستوى الأمان «Strict» في أجهزة Danfoss، والتأكد من تغيير كلمات المرور الافتراضية.

إذا كانت الأجهزة مخترقة

  1. إزالة التعرّض للإنترنت فورًا.
  2. إعادة الجهاز لإعدادات المصنع (Factory Reset).
  3. إعادة الوصول عبر VPN أو شبكة محمية فقط.
  4. إعادة ضبط الجهاز وتطبيق جميع توصيات المصنع.

تنبيه مهم: إعادة ضبط المصنع وحدها لا تكفي للأجهزة المنتهية الدعم. ستُزال آثار الاختراق، لكن الجهاز سيبقى ضعيفًا، وإذا بقي مكشوفًا على الإنترنت فسيُخترق مجددًا بشكل شبه مؤكد.

الدروس المستفادة

  1. واجهة الإدارة لا مكان لها على الإنترنت. أي لوحة تحكم بجهاز تشغيلي يجب أن تكون خلف VPN أو شبكة معزولة، بلا استثناء.
  2. اعرف أصولك. كثير من المنشآت لا تعرف أصلًا أن نظام التبريد أو التكييف أو الكاميرات لديها متصل بالإنترنت. جرد الأصول التشغيلية وإنترنت الأشياء هو الخطوة الأولى.
  3. «منتهي الدعم» يعني «مكشوف للأبد». الجهاز الذي لا يتلقى تحديثات أمنية يجب أن يُعزل تمامًا أو يُستبدل، لا أن يُترك يعمل وكأن شيئًا لم يكن.
  4. مقدّم الخدمة جزء من سطح الهجوم. شركات الصيانة والتبريد تحتاج وصولًا عن بُعد، لكن يجب أن يكون هذا الوصول محكومًا: VPN، حسابات فردية، مصادقة متعددة العوامل، وسجلات دخول.
  5. غيّر كلمات المرور الافتراضية. قاعدة بسيطة ما زالت تُهمل بشكل مخيف في الأجهزة الصناعية.
  6. لا تثق بالشاشة وحدها. كما أظهرت أبحاث Claroty، الجهاز المخترق قد يعرض قراءات سليمة بينما الواقع مختلف. وجود حساسات حرارة مستقلة وتنبيهات خارجية يُحدث فرقًا كبيرًا.
  7. الأمن السيبراني صار أمنًا غذائيًا وتشغيليًا. خطة الاستجابة للحوادث يجب أن تشمل سيناريوهات الضرر المادي: من يتصل بمن؟ متى تُتلف البضائع؟ كيف تُبلَّغ الجهات الرقابية؟
  8. راجع عقد التأمين. CERT-FR نفسها نبّهت إلى ذلك؛ بعض بوالص التأمين تشترط ربط الأنظمة بمقدّم الخدمة، فاعرف شروطك قبل أن تحتاجها.
  9. التحذيرات كانت موجودة. أبحاث علنية، تحديثات منشورة، وهجمات سابقة في 2022. الفجوة لم تكن في المعرفة، بل في التطبيق.

ماذا يعني هذا لنا في المملكة؟

أسواق التجزئة، سلاسل المطاعم والمقاهي، مستودعات الأغذية والأدوية، والمستشفيات في المملكة تعتمد على أنظمة تبريد وتحكم مماثلة، وكثير منها يُدار عن بُعد من قبل مقدّمي خدمات. وتؤكد الضوابط الوطنية للأمن السيبراني للأنظمة التشغيلية (OTCC) الصادرة عن الهيئة الوطنية للأمن السيبراني على مبادئ العزل والتحكم في الوصول عن بُعد وإدارة الأصول التشغيلية.

اسأل نفسك اليوم:

  • هل أعرف كل جهاز متصل بالإنترنت في منشأتي، بما في ذلك أنظمة التبريد والتكييف والكاميرات؟
  • هل يصل مقدم خدمة الصيانة لأنظمتنا عبر VPN، أم عبر رابط مفتوح وكلمة مرور قديمة؟
  • هل لدينا أجهزة انتهى دعمها وما زالت متصلة؟
  • لو ارتفعت الحرارة في الثلاجات الساعة الثالثة فجرًا، من سيعرف؟

الخلاصة

المهاجمون لم يحتاجوا إلى سرقة بيانات أو طلب فدية ليُحدثوا خسائر بالملايين؛ كفاهم جهاز منسي على الإنترنت وتحديث لم يُطبَّق. الأمن السيبراني لم يعد شأن قسم تقنية المعلومات وحده، بل يمتد إلى كل جهاز متصل في المنشأة، وإلى وعي كل موظف ومدير ومقدّم خدمة.

في سابري نؤمن بأن الوعي هو خط الدفاع الأول. تواصل معنا لمعرفة كيف تساعدك منصة زيروفيش على بناء ثقافة أمنية حقيقية في منشأتك.

المصدر الرسمي: تنبيه CERT-FR رقم CERTFR-2026-ALE-012 (12 أكتوبر 2026، آخر تحديث 13 أكتوبر 2026)، إضافة إلى تقارير منشورة من Claroty Team82 وبيانات Danfoss والتغطيات الإعلامية للحادثة.