Sebuah serangan siber berskala besar yang menargetkan pengontrol mesin pendingin di sekitar 700 toko ritel Prancis pada bulan Oktober lalu resmi dikaitkan dengan unit siber Korps Garda Revolusi Islam Iran (IRGC), demikian konfirmasi dari otoritas pemerintah Prancis kemarin.
Para pelaku berhasil menyusup ke sistem pengendali tersebut tepat pada malam 11 Oktober dengan mengubah konfigurasi pencairan es (defrost) menuju tingkat suhu yang sangat tinggi. Modifikasi ilegal ini memicu kerusakan bahan pangan dalam jumlah masif serta menimbulkan kebakaran setidaknya di 15 lokasi ritel yang berbeda.
Satuan siber militer tersebut dikenal dengan nama Shahid Kaveh. Menurut keterangan resmi dari pihak Prancis, kelompok ini umumnya beroperasi di balik kedok kelompok peretas bayangan, seperti CyberAveng3rs dan Cyber Isnaad Front, yang kerap mengklaim secara terbuka beberapa operasi serangan mereka ke publik.
Menindaklanjuti insiden sabotase ini, Kementerian Luar Negeri Prancis bersiap untuk memanggil duta besar Iran sekaligus mendesak seluruh mitra diplomatiknya di Uni Eropa agar segera menjatuhkan sanksi baru terhadap organisasi serta individu asal Iran yang terlibat.
Di ranah hukum, Kantor Kejaksaan Paris kemarin telah resmi memulai proses penyelidikan yudisial terhadap pimpinan unit Shahid Kaveh, dua wakil komandannya, serta siapa pun pihak yang terbukti terlibat. Otoritas kejaksaan juga secara resmi telah mengajukan permohonan penerbitan surat perintah penangkapan internasional. Berbagai pelanggaran berat yang tengah diselidiki mencakup akses tanpa hak atau interfensi ilegal terhadap sistem komputer serta menimbulkan kerusakan yang membahayakan keselamatan publik, di mana kasus ini diperberat oleh motif aksi untuk melayani kepentingan kekuasaan negara asing, yaitu Republik Islam Iran.
Pada rentetan serangan siber Oktober lalu, para peretas menguasai pengendali pendingin industri merek Danfoss dan Dixell secara jarak jauh dengan mengeksploitasi antarmuka web, sebagaimana dipaparkan oleh pihak kejaksaan melalui siaran pers resminya. Para pelaku mengaktifkan siklus defrost abnormal tanpa batasan waktu durasi serta mematikan sistem alarm peringatan probe suhu yang seharusnya berbunyi saat mendeteksi suhu melebihi batas toleransi. Aksi sabotase berbahaya ini tercatat mengakibatkan sekitar 20 kebakaran.
Mayoritas entitas yang menjadi sasaran merupakan jaringan supermarket dan pusat ritel skala raksasa, berdasarkan laporan gabungan pusat koordinasi krisis siber Prancis yang bernama C4. Korban-korban tersebut di antaranya mencakup perusahaan ritel terkemuka seperti Casino, Leclerc, Coopérative U, Metro, Carrefour, hingga Intermarché.
Tidak hanya gerai skala nasional, target serangan sabotase fisik ini juga menyasar tempat pemotongan hewan, toko-toko daging tradisional berukuran kecil, serta pabrik pengolahan makanan berbasis koperasi.
Pusat investigasi siber tersebut juga menemukan keterkaitan kuat antara operasi ritel ini dan penargetan bersamaan pada perangkat Schneider Electric yang beroperasi di fasilitas pembangkit listrik tenaga air skala kecil di Prancis. Walau demikian, dampak sabotase pada peralatan pembangkit air tersebut tergolong pada level moderat.
Dalam pernyataan atribusi resminya, kementerian memprediksi total kerugian materiil akibat pembusukan bahan pangan mencapai angka beberapa puluh juta euro. Pemerintah Prancis menyebut insiden ini sebagai kampanye siber ofensif pertama yang berlangsung di wilayah nasional Prancis yang sepenuhnya murni dirancang demi tujuan sabotase destruktif.
Langkah Prancis Mengidentifikasi Keterlibatan Iran
Lembaga koordinasi C4 menyatukan berbagai entitas pertahanan, meliputi badan keamanan siber nasional Prancis (ANSSI), dinas intelijen luar negeri DGSE dan dalam negeri DGSI, direktorat persenjataan, serta komando pertahanan siber militer. Lembaga gabungan ini menyatakan ada empat indikator utama yang menegaskan keterlibatan IRGC sebagai sponsor aksi dan unit Shahid Kaveh sebagai pelaksana teknis lapangan.
Infrastruktur komputer yang digunakan untuk meretas ritel rupanya dipakai bersamaan dalam periode waktu serupa untuk melakukan pemindaian atau pengintaian sistem Schneider Electric. Seluruh perangkat kontrol tersebut dipasang di area fasilitas energi serta instalasi pengolahan air bersih skala kecil hingga menengah. Pola reconnaissance ini memanfaatkan teknik yang identik dengan manuver Shahid Kaveh sejak setidaknya bulan April lalu.
Selain itu, para peretas memanfaatkan alat pemindai internet bernama FOFA, sebuah perkakas yang menjadi ciri khas unit tersebut. Saluran propaganda CyberbanNews yang memiliki afiliasi langsung dengan kelompok ini juga telah mempublikasikan laporan mengenai serangan tersebut paling awal pada 13 Oktober. Infrastruktur serangan pun meninggalkan jejak digital bertuliskan bahasa Persia.
Pihak penuntut umum mengonfirmasi bahwa penyelidikan pidana yang dijalankan oleh kantor anti-kejahatan siber Prancis (OFAC) bersama intelijen DGSI berhasil mengungkap metode peretasan yang menjadi tanda tangan khas Shahid Kaveh. Analisis forensik juga menemukan penggunaan bahasa Persia dan alamat protokol internet yang bermuara langsung pada perangkat yang berlokasi geografis di wilayah kedaulatan Iran.
Unit Shahid Kaveh memang memiliki rekam jejak panjang dalam mengklaim serangan terhadap perangkat industri, menurut analisis C4. Meminjam nama samaran CyberAveng3rs, grup ini mengaku bertanggung jawab atas serangan terhadap Unitronics, vendor sistem kendali industri Israel, pada November 2023. Pada Maret dan April, kelompok ini mengklaim sabotase masif terhadap fasilitas industri Israel dan Amerika Serikat, termasuk menyasar mesin refrigerasi komersial Israel.
Laporan atribusi resmi Prancis ini tidak menyinggung potensi keterkaitan dengan gelombang serangan pendingin terbaru yang menghantam banyak supermarket di negara Eropa lainnya pada pekan lalu.
Langkah Mitigasi dan Rekomendasi Operator
Pusat respons insiden siber nasional Prancis, CERT-FR, melalui dokumen peringatan resminya menyatakan bahwa pihaknya telah mengidentifikasi maraknya kompromi pada pengontrol pendingin jarak jauh di empat lini produk utama. Lini perangkat tersebut mencakup seri Danfoss AK-SM dan AK-SC, Copeland xweb, serta rangkaian Dixell xweb.
Peringatan teknis yang diperbarui pada tanggal 16 Oktober tersebut menggarisbawahi bahwa operasi sabotase terhadap perangkat-perangkat ini kemungkinan masih terus berlangsung aktif hingga kini. Instansi tersebut kembali mengingatkan pengelola bahwa membuka antarmuka manajemen langsung ke jaringan internet publik merupakan tindakan fatal yang melanggar prinsip dasar keamanan sistem.
Bagi perangkat pengontrol yang belum terinfeksi, langkah penanganan yang wajib diterapkan adalah melakukan audit konfigurasi serta menutup akses luar.
Bagi perangkat yang telah terindikasi mengalami pembobolan, tahapan pemulihan terstruktur harus segera dijalankan untuk membersihkan intrusi.
Perangkat yang telah berstatus akhir masa pakai (EOL) dan tidak lagi memperoleh pembaruan keamanan menanggung risiko peretasan yang luar biasa tinggi apabila pengelola tetap membiarkannya terhubung ke internet terbuka. Dokumen peringatan tersebut menekankan bahwa pengembalian ke setelan pabrik tidak lagi memadai: langkah itu mungkin membersihkan persistensi penyerang sesaat, tetapi celah dasarnya tetap terbuka dan hampir pasti akan disusupi kembali.
