Francuskie służby przypisały 9 listopada 2026 roku październikowy atak na sterowniki chłodnicze w około 700 sklepach jednostce Shahid Kaveh z irańskiego Korpusu Strażników Rewolucji. Dla właścicieli sklepów i chłodni w Polsce to sygnał, że urządzenia wystawione do internetu wyszukuje także napastnik działający na zlecenie państwa. Ustalenia opisuje pięciostronicowy raport CERTFR-2026-CTI-009, podpisany przez francuskie Centrum Koordynacji Kryzysów Cyber (C4). Raport dotyczy wyłącznie Francji. Nie mówi nic o drugiej fali z listopada ani o incydentach w Polsce, które opisaliśmy w tekście o drugiej fali ataków na lodówki w Europie. Stan na 9 listopada 2026 roku, godz. 21:30.
Co Francja ustaliła w raporcie CERTFR-2026-CTI-009
Raport CERTFR-2026-CTI-009 to wspólny dokument pięciu francuskich instytucji zrzeszonych w C4. Są to: agencja cyberbezpieczeństwa ANSSI, dowództwo cyberobrony COMCYBER, agencja uzbrojenia DGA, wywiad zagraniczny DGSE i kontrwywiad DGSI. Według raportu C4 dostało alarm 12 października. Napastnicy przejęli w nocy sterowniki chłodnicze w około 700 placówkach handlu i ustawili parametry odszraniania na wysokie temperatury. Skutkiem były duże straty towaru i co najmniej 15 przypadków zapłonu.
Wśród poszkodowanych raport wymienia sieci Casino, Leclerc, Coopérative U, Metro, Carrefour i Intermarché. Ofiarami były też małe masarnie, ubojnia i spółdzielcze zakłady spożywcze. Francuskie MSZ w deklaracji o przypisaniu ataku szacuje straty żywności na kilkadziesiąt milionów euro. Nazywa to pierwszą kampanią na terytorium Francji prowadzoną wyłącznie w celu sabotażu.
Mniej nagłośniony jest drugi cel. Według C4 w tym samym czasie napastnicy zaatakowali urządzenia Schneider Electric w kilku małych francuskich elektrowniach wodnych. Skutki były umiarkowane, ale ten wątek pokazuje, że kampania nie ograniczała się do chłodni.
Kim jest Shahid Kaveh i pod jakimi szyldami działa
To według raportu jednostka ofensywna Centrum Elektronicznego i Cyber Korpusu Strażników Rewolucji (CGRI-CEC). Na zewnątrz występuje jako rzekomi hakerzy-aktywiści: CyberAveng3rs, Soldiers of Solomon, Mr. Soul i Cyber Isnaad Front. Jej kanałem propagandowym jest CyberbanNews. Te szyldy przyznają się publicznie do części ataków.
Jednostka atakuje sterowniki przemysłowe na dużą skalę, głównie w Izraelu i USA, ale też we Francji i innych krajach Europy. Jako CyberAveng3rs przyznała się w listopadzie 2023 roku do ataku na sterowniki izraelskiej firmy Unitronics, używane także w Europie. W marcu i kwietniu 2026 roku ogłosiła sabotaż urządzeń przemysłowych w Izraelu i USA, w tym izraelskich urządzeń chłodniczych.
Aneks raportu wymienia z imienia i nazwiska szefa cyberdywizji Korpusu i dwóch dowódców jednostki, ze zdjęciami. Nie powtarzamy ich danych, bo nie są potrzebne do zrozumienia ataku. Druga część raportu dotyczy innej jednostki Korpusu, znanej jako Emennet Pasargad. Według C4 to ona zaatakowała sklep internetowy Charlie Hebdo w styczniu 2023 roku. Przed igrzyskami w Paryżu w 2024 roku przejęła też firmę obsługującą ekrany reklamowe.
Jak przebiegał atak: od wyszukiwarki urządzeń do zmiany nastaw
Napastnicy szukali sterowników chłodniczych narzędziem FOFA. To wyszukiwarka urządzeń podłączonych do internetu, podobna do Shodana: pokazuje, pod jakim adresem działa panel sterownika danego typu. Jeśli sterownik widzi FOFA, widzi go każdy, kto zapłaci za dostęp albo skorzysta z darmowej wersji. Raport nie podaje, jak napastnicy logowali się do paneli. Wcześniejszy alert CERT-FR wymieniał przejęte sterowniki Danfoss z serii AK-SM i AK-SC oraz urządzenia Copeland xweb i Dixell xweb.
Drugi wątek techniczny to Modbus, przemysłowy protokół sterowania, który standardowo działa na porcie 502 i nie ma wbudowanego uwierzytelniania użytkownika. Według raportu jednostka ma od co najmniej czerwca 2024 roku skrypty do przejmowania urządzeń Schneider Electric, Siemens i Rockwell. W kwietniu 2026 roku przez Modbus na porcie 502 masowo skanowała sterowniki Schneider, także we Francji. Raport nie twierdzi, że chłodnie przejęto przez Modbus. Opisuje tę technikę jako ślad łączący infrastrukturę ataku z jednostką.
Dlaczego Francja uważa, że stoi za tym Iran
C4 pisze o wiązce poszlak, które wskazują Korpus Strażników Rewolucji jako zleceniodawcę, a jego jednostkę jako wykonawcę. Raport wymienia cztery:
- Ta sama infrastruktura, z której zaatakowano chłodnie, w tym samym okresie skanowała urządzenia Schneider Electric w małych i średnich zakładach energetycznych i wodnych. Używała przy tym Modbusa na porcie 502, jak jednostka od kwietnia 2026 roku.
- Napastnicy szukali celów skanerem FOFA, którego ta grupa używa w swoich operacjach.
- CyberbanNews nagłośnił atak na chłodnie już 13 października.
- W infrastrukturze ataku znaleziono ślady języka farsi.
Każda z tych poszlak osobno byłaby słaba. FOFA jest ogólnodostępna, a farsi w kodzie da się podrzucić. Siłę przypisania budują razem, a także to, że francuskie służby podpisały się pod nim publicznie i dodały nazwiska. Iran zwykle zaprzecza takim oskarżeniom, a jego misja przy ONZ nie odpowiedziała Reuterowi na prośbę o komentarz.
Jak zareagowała Francja i co wiadomo o USA
Francuskie MSZ zapowiedziało wezwanie ambasadora Iranu. Francja zaproponuje też partnerom w UE nowe sankcje wobec irańskich firm i osób zamieszanych w atak. W marcu 2026 roku UE objęła już sankcjami Emennet Pasargad. Według Reutersa paryska prokuratura w osobnym oświadczeniu poinformowała o wnioskach o międzynarodowe nakazy aresztowania sprawców. Tego oświadczenia nie udało nam się otworzyć.
Według trzech rozmówców agencji Microsoft prywatnie łączył atak z Iranem co najmniej dwa tygodnie wcześniej. Firma odmówiła komentarza. W sierpniu stanęły lodówki w co najmniej sześciu sklepach dla wojska w USA. Według źródła Reutersa Pentagon uważa Iran za podejrzanego, ale śledztwo trwa.
Czy ten atak dotyczy Polski
Raport nie łączy irańskiej jednostki z żadnym incydentem w Polsce ani z drugą falą ataków. Ta fala objęła w nocy z 1 na 2 listopada sklepy w kilku krajach Europy. Reuters pisze, że ta fala dotknęła ponad sto placówek, w tym lodówki francuskich banków krwi. Kto za nią stoi, oficjalnie nie wiadomo.
Polski problem jest ten sam co francuski: sterowniki widoczne z internetu. Dyrektor CERT Polska Marcin Dudek mówił 3 listopada na konferencji NASK, że po atakach we Francji CERT znalazł w Polsce 140 chłodziarek dostępnych z sieci. Po kontakcie z właścicielami odłączono około 70, jak relacjonuje CyberDefence24. Potwierdził też jeden atak w Polsce, bez strat materialnych. Według Dudka to proste ataki: sprawcy masowo skanują sieć i próbują prostych haseł oraz podatności znanych od lat. Na stronie CERT Polska do 9 listopada nie było osobnego komunikatu o lodówkach.
Co sprawdzić w sklepie, chłodni albo małej elektrowni wodnej
Najważniejsze jest odcięcie panelu sterownika od publicznego internetu. Jeśli serwis potrzebuje zdalnego dostępu, powinien łączyć się przez VPN z osobnym kontem dla każdego technika. Raport C4 dodaje do listy właścicieli małych elektrowni wodnych i zakładów wodnych z urządzeniami Schneider Electric. Port 502 z protokołem Modbus nie powinien być osiągalny z internetu w żadnym zakładzie.
Pełną listę kroków z alertu CERT-FR, od włoskiej agencji ACN i od Głównego Inspektora Sanitarnego zebraliśmy przy ataku na lodówki we Francji i przy drugiej fali. Zasada GIS zostaje aktualna: temperaturę trzeba sprawdzać niezależnym termometrem, bo przejęty sterownik może pokazywać fałszywe wskazania. Ten sam problem dotyczy innych systemów sterowania w wodociągach.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Francuskie C4 przypisało 9 listopada 2026 roku atak na sterowniki chłodnicze w około 700 sklepach irańskiej jednostce z Korpusu Strażników Rewolucji. Do ataku doszło w nocy z 11 na 12 października. Skutkiem były straty żywności szacowane przez MSZ na kilkadziesiąt milionów euro i co najmniej 15 przypadków zapłonu. Równolegle zaatakowano urządzenia Schneider Electric w małych elektrowniach wodnych. Przypisanie opiera się na czterech poszlakach: wspólnej infrastrukturze ze skanowaniem przez Modbus na porcie 502, skanerze FOFA, wpisie CyberbanNews i śladach farsi. Francja wzywa ambasadora Iranu i chce nowych sankcji UE, a według Reutersa prokuratura wnioskuje o nakazy aresztowania. Raport nie dotyczy drugiej fali ani Polski, gdzie CERT Polska znalazł 140 chłodziarek dostępnych z internetu (stan na 9 listopada, godz. 21:30).
