مرتين خلال ثلاثة أسابيع، تلاعب مجهولون ليلًا وعن بُعد بوحدات التحكم في أنظمة التبريد: أولًا في مئات المتاجر الكبرى الفرنسية، ثم في أكثر من اثنتي عشرة دولة أوروبية، من بينها ألمانيا وسويسرا. وارتفعت حرارة ثلاجات العرض وغرف التبريد في وضع إذابة الجليد، وفسدت البضائع. ولم تكن البرمجيات الخبيثة ضرورية لذلك؛ بل كفت وحدات تحكم مكشوفة يمكن الوصول إليها من الإنترنت، غالبًا بكلمة المرور الافتراضية أو ببرامج ثابتة متقادمة. ويبيّن تقرير الوضع لدينا ما هو مؤكد، وما يشترطه NIS2 وقانون المرونة السيبرانية (CRA) من الجهات المشغّلة والشركات المصنِّعة، ولماذا تُعدّ سلسلة التوريد العامل الحاسم.
لم تكن الهجمات على أنظمة التبريد اختراقًا عالي التقنية، بل نتيجة إخفاقات معروفة كان يمكن تجنّبها: فقد كانت وحدات التحكم مكشوفة على الإنترنت، وبقيت بيانات الدخول على إعدادات المصنع، وكانت التحديثات غائبة أو لم تعد متاحة أصلًا للأجهزة القديمة. وينبغي لمن يشغّل سلاسل تبريد أو يصنّع تقنيات تبريد أو يصون أنظمة عن بُعد أن يتحقق الآن مما إذا كان يمكن الوصول إلى أنظمته، وأن يُدرج النتيجة على نحو قابل للإثبات في إدارة المخاطر لديه وفق NIS2 وCRA.
من تحليل Claroty في أغسطس حتى التحذير المشترك للجهات الحكومية الأمريكية. القيم المضبوطة ليست درجات حرارة مقيسة: فمدى ارتفاع الحرارة فعليًا توقّف على سرعة تدخّل أحدٍ ما.
تتعطل أنظمة التبريد في ستة على الأقل من متاجر القواعد العسكرية الأمريكية، أي متاجر المواد الغذائية في هذه القواعد. وبحسب وكالة Reuters، يتعامل البنتاغون مع هذه الحالات على أنها هجوم سيبراني مشتبه به؛ ولم يُؤكَّد ذلك، كما لم يُؤكَّد أي ارتباط بأوروبا. [34]
تُحوَّل وحدات التحكم في التبريد في متاجر كبرى فرنسية عن بُعد إلى إذابة جليد متواصلة، وتبلغ القيم المضبوطة ما يصل إلى 50 °C. ومن بين المتضررين متاجر تابعة لـ Intermarché وCarrefour وSuper U وMonoprix وE.Leclerc. ويتحدث وزير المالية Roland Lescure عن نحو 700 متجر؛ وتنظر النيابة العامة أيضًا في حرائق أُبلغ عنها. [7][8][9][10]
ترصد مصائد (honeypot) تابعة لـ Lupovis وPrevidian محاولات وصول وتسجيل دخول إلى وحدات تحكم تحاكي أجهزة Danfoss، وفي حالة Previdian باستخدام كلمة مرور المصنع لطراز أقدم. وبحسب Lupovis، لم تتفاعل سوى المصائد الموجودة في أوروبا؛ أما ما إذا كان الجناة وراء ذلك فأمر غير محسوم. [26][27][62]
يتأثر أكثر من 100 متجر. وتُحصي وكالة الأنباء AFP اثنتي عشرة دولة، من بينها ألمانيا وبلجيكا وهولندا والسويد وأيرلندا وإيطاليا وبريطانيا وإستونيا؛ وتُعدّ بلجيكا من أكثر الدول تضررًا. وفي وقت لاحق تتكشّف حالات في سويسرا أيضًا. وفي اليوم نفسه، يجري في فرنسا التلاعب بغرف تبريد تابعة لخدمة التبرع بالدم EFS عبر نظام المراقبة عن بُعد لدى مزوّد خدمات تبريد، دون أن تُفقد أي منتجات دم. [11][12][13][14][15][17][61]
وفق التحليلات المنشورة حتى الآن، اتبعت الهجمات نمطًا بسيطًا قابلًا للتوسّع بسهولة. ولا توجد مؤشرات على ثغرات غير معروفة؛ بل كان العامل الحاسم وحدات تحكم يمكن الوصول إليها مباشرة من الإنترنت.
يُعثر على واجهات الويب لوحدات التحكم في التبريد عبر محركات البحث المخصصة للأجهزة المتصلة وعمليات المسح الآلي.
يستعلم مجهولون عن الإصدارات ويجرّبون كلمات مرور المصنع؛ وبحسب Lupovis لم تتفاعل سوى المصائد الموجودة في أوروبا. أما ما إذا كان هؤلاء هم الجناة فأمر غير محسوم.
يحصلون على الوصول باستخدام بيانات دخول افتراضية لم تُغيَّر؛ وفي حالة البرامج الثابتة المتقادمة، تُعدّ ثغرات معروفة، مثل تجاوز تسجيل الدخول، احتمالًا واردًا.
باستخدام الوظائف الاعتيادية، يحوّلون وحدات التبريد إلى وضع إذابة الجليد ويغيّرون القيم المضبوطة وحدود الإنذار؛ وفي حالة خضعت لتحليل جنائي رقمي، سُجّلت أيضًا أوامر لكتم الإنذارات وقفل لوحة الأزرار.
تُنفَّذ التغييرات على ما يبدو بواسطة نصوص برمجية وفي وقت واحد خلال الليلة السابقة ليوم الاثنين، حين لا يوجد موظفون في الموقع. ويُلاحَظ الضرر عبر الإنذارات، أو لا يُلاحَظ إلا في الصباح.
كفت للتلاعب وظائف أتاحتها الشركة المصنِّعة. ولذلك تبدو التغييرات الخبيثة كأنها تشغيل عادي. ولا تُجدي هنا برامج مكافحة الفيروسات التي تبحث عن شيفرات خبيثة. والعوامل الحاسمة هي مدى إمكانية الوصول إلى الأجهزة، وحماية الدخول، ومراقبة القيم المضبوطة وتغييرات الإعدادات وعمليات تسجيل الدخول.
يمكن ربط الخطوات الموصوفة علنًا بتقنيات من إطار ATT&CK الخاص بأنظمة التحكم الصناعية. وهذا الربط هو تصنيفنا استنادًا إلى التحليلات المنشورة حتى الآن.
| التقنية | الاسم | الصلة بالهجمات |
|---|---|---|
| T0883 | Internet Accessible Device | كان يمكن الوصول إلى وحدات التحكم مباشرة من الإنترنت، غالبًا عبر إعادة توجيه المنافذ أو أجهزة مودم خلوية. |
| T0859 | Valid Accounts | أتاحت حسابات مسؤول صالحة، كثيرًا ما كانت بكلمات مرور افتراضية لم تُغيَّر، إجراء تغييرات تبدو كأنها تشغيل عادي. |
| T0836 | Modify Parameter | جرى تغيير القيم المضبوطة وفترات إذابة الجليد وقيم إنهاء إذابة الجليد؛ وفي فرنسا، وبحسب صحيفة Le Monde، مُدّدت دورات إذابة الجليد من ساعة واحدة إلى ما يصل إلى ثماني ساعات. |
| T0838 | Modify Alarm Settings | ضُبطت حدود الإنذار وتأخيرات الإنذار على قيم قصوى. |
| T0878 | Alarm Suppression | كان الغرض من أوامر كتم الإنذارات منع أي شخص من التصرف في الوقت المناسب. |
| T0813 | Denial of Control | في حالة موثقة واحدة على الأقل، أُرسلت أوامر لقفل لوحة الأزرار كان الغرض منها تصعيب التدخل في الموقع. |
| T0879 | Damage to Property | بضائع فاسدة وأنظمة مُجهَدة؛ كما تحذّر الجهات الحكومية الأمريكية من خطر الحريق. |
لا يوجد حتى الآن إسناد مؤكد: فلم تُسمِّ أي حكومة ولا أي جهة رسمية جانيًا. وهناك تبنٍّ، وتقييمات من باحثين أمنيين، ونفي من موسكو.
تبنّت قناة تابعة لـ NoName057(16) على Telegram الهجمات في 3 نوفمبر، بالاشتراك مع Z-Pentest، في مقطع فيديو مولَّد بالذكاء الاصطناعي. وبحسب مدققي حقائق سويديين، تعود الأدلة المزعومة إلى تسريبات بيانات أقدم، ولا توجد أدلة تقنية.
بحسب الجهات الحكومية الأمريكية، نشأت المجموعة عام 2024 في أوساط القراصنة الناشطين الموالين لروسيا، وتخصصت في الهجمات على أنظمة التحكم الصناعية. وفرض الاتحاد الأوروبي عقوبات على المجموعة في يوليو 2026 بسبب هجمات على بنى تحتية حيوية، منها هجوم على مزوّد مياه دنماركي، وليس بسبب أنظمة التبريد.
لا ترى Sekoia حتى الآن أدلة تقنية تشير إلى جماعات ناطقة بالروسية. وتلاحظ Lupovis تداخلات مع بنية تحتية تُنسب إلى جهات فاعلة روسية، لكنها لا تستطيع تحديد الجناة بشكل مؤكد. وتصف هيئة الأمن السيبراني الرومانية الأسلوب بأنه شبه هاوٍ.
سبق أن هاجمت جهات فاعلة قريبة من إيران أنظمة تحكم صناعية مكشوفة على الإنترنت؛ لكن لا يوجد دليل على ذلك في الموجات الحالية. وترى Sekoia أيضًا أن تورط جماعات مختلفة أو مقلّدين أمر ممكن.
بحسب لائحة اتهام أمريكية، عطّل قراصنة ناشطون موالون لروسيا عام 2024 نظام التبريد لدى شركة لمعالجة اللحوم في كاليفورنيا. وتذكر نشرة صادرة عن Danfoss في أكتوبر 2025 هجمات على متاجر في روسيا وإسرائيل عام 2022؛ وكانت الأنظمة الإسرائيلية تفتقر إلى حماية كافية بجدار ناري أو VPN.
تتحدث المفوضية الأوروبية عن محاولة متعمَّدة لتعطيل الإمدادات الغذائية، لكنها لا تُسمّي أي جانٍ. ولا تذكر ورقة الحقائق الأمريكية الجناة ولا الشركات المصنِّعة. ويرفض الكرملين فكرة أي تورط له، واصفًا إياها بالسخيفة.
بالنسبة إلى الدفاع، تأتي مسألة هوية الجناة في المرتبة الثانية. فسواء أكانوا موجَّهين من دولة أم قراصنة ناشطين أم مقلّدين، فإنهم جميعًا يستغلون الثغرة نفسها، أي وحدات تحكم يمكن الوصول إليها وتحميها بيانات دخول ضعيفة. ومن يسدّ هذه الثغرة يكون مستعدًا لمواجهة جميع هذه الاحتمالات. ولا ينبغي لكم أن تأخذوا إعلانات التبنّي الصادرة عن مثل هذه الجماعات دون تحقق؛ إذ تحذّر الجهات الحكومية الأمريكية والأوروبية صراحةً من الادعاءات المبالغ فيها أو الكاذبة.
لا يشمل توجيه NIS2 كل جهة تشغّل ثلاجة عرض، لكنه يشمل أجزاءً كبيرة من سلسلة التبريد. والمعيار هو النشاط والحجم: في العادة اعتبارًا من 50 موظفًا، أو أكثر من 10 ملايين يورو في حجم المبيعات السنوي ومجموع الميزانية العمومية السنوية. وفي ألمانيا يسري NIS2 منذ 6 ديسمبر 2025 من خلال قانون BSI الجديد.
| المجال | مَن في سلسلة التبريد | NIS2 | ملاحظة |
|---|---|---|---|
| الأغذية: تجارة الجملة والصناعة | تجار الجملة ومصنّعو الأغذية ومعالجوها | مشمول | مشمولة بوصفها كيانات مهمة اعتبارًا من الحجم المتوسط. وليس واضحًا ما إذا كانت المستودعات المركزية لسلاسل البيع بالتجزئة تُعدّ تجارة جملة. |
| الأغذية: البيع بالتجزئة | المتاجر الكبرى والفروع والملاحم | ليس مباشرةً | البيع بالتجزئة والتخزين والنقل غير مشمولة. ومع ذلك، قد يُعدّ كبار تجار التجزئة في ألمانيا، من خلال عتبات البنية التحتية الحيوية (KRITIS)، كيانات مهمة بشكل خاص. |
| الصحة | المستشفيات والمختبرات ومصنّعو الأدوية | مشمول | مشمولة اعتبارًا من الحجم المتوسط، والكيانات الكبيرة ضمن الفئة الأشد صرامة. ولا يذكر NIS2 خدمات التبرع بالدم صراحةً؛ وفي ألمانيا تشمل عتبات البنية التحتية الحيوية (KRITIS) الكبيرة منها. |
| الشركات المصنِّعة لتقنيات التبريد والتحكم | صناعة الآلات والهندسة الكهربائية والإلكترونيات | مشمول | مشمولة بوصفها كيانات مهمة اعتبارًا من الحجم المتوسط. أما شركات التركيب والخدمة البحتة فليست مشمولة بهذه الصفة. |
| الصيانة والمراقبة عن بُعد | المزوّدون الذين يديرون أنظمة عملائهم عن بُعد | جزئيًا | قد يكونون مشمولين بوصفهم مزوّدي خدمات مُدارة إذا كانوا يديرون أنظمة الشبكات والمعلومات لدى عملائهم أو يصونونها، بما في ذلك عن بُعد. ولم يُحسم ذلك حتى الآن بالنسبة إلى المراقبة عن بُعد لأنظمة التبريد. |
| النقل والخدمات اللوجستية | النقل المبرّد على الطرق | ليس مباشرةً | النقل البري للبضائع ليس من قطاعات NIS2، أما نقل البضائع بالسكك الحديدية أو السفن أو الطائرات فهو منها. وقد تكون الخدمات اللوجستية الحيوية للأغذية مشمولة أيضًا بقواعد مرونة الكيانات الحيوية. |
عرض مبسّط، وليس استشارة قانونية. ويتوقف شمول الشركة على نشاطها وحجمها والقانون الوطني. وحتى الشركات غير المشمولة تتأثر بشكل غير مباشر إذا كان عملاؤها خاضعين لـ NIS2 ويمرّرون متطلبات الأمن إلى مورّديهم.
ينبغي إدراج وحدات التحكم في التبريد وأنظمة إدارة المباني ومنافذ الوصول للصيانة عن بُعد في جرد الأصول وتحليل المخاطر، لا الخوادم ومحطات العمل فحسب.
استبدال كلمات المرور الافتراضية، واعتماد حسابات شخصية، وتأمين الوصول عن بُعد بالمصادقة متعددة العوامل.
إبقاء البرامج الثابتة محدّثة، ومتابعة إرشادات الشركات المصنِّعة، واستبدال الأجهزة غير المدعومة أو عزلها.
عدم توصيل وحدات التحكم بالإنترنت مباشرة؛ والوصول فقط عبر صيانة عن بُعد مؤمَّنة ومناطق شبكية منفصلة.
مراقبة تغيّرات درجات الحرارة والإعدادات، وتوجيه الإنذارات ليلًا أيضًا إلى فريق مناوب، ومعالجة الحوادث بشكل منظم.
الإبلاغ عن الحوادث الأمنية الجوهرية: إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي بعد شهر من ذلك.
التخطيط لتبريد بديل وتجاوز يدوي وحماية البضائع في حالات الطوارئ، والتدرّب على ذلك.
تحديد متطلبات الأمن للشركات المصنِّعة ومقاولي أنظمة التبريد ومزوّدي خدمات الصيانة عن بُعد، وتثبيتها تعاقديًا، والتحقق منها.
يجب على الإدارة العليا تنفيذ التدابير ومراقبة تنفيذها والمشاركة بانتظام في التدريبات؛ وتتحمّل المسؤولية عن الإخلال بالواجبات الناتج عن خطأ. وتصل الغرامات إلى 10 ملايين يورو أو 2% من حجم المبيعات السنوي العالمي، وإلى 7 ملايين يورو أو 1.4% للكيانات المهمة، أيهما أعلى في كل حالة.
يسري القانون الألماني لتنفيذ NIS2 منذ 6 ديسمبر 2025. ويتوقع BSI نحو 29,500 كيان معني، وكان ما يزيد قليلًا على 20,000 منها قد سجّل حتى نهاية سبتمبر 2026. ويمكن أن تكون شركات التجارة والخدمات اللوجستية الكبيرة وكذلك خدمات التبرع بالدم، من خلال عتبات البنية التحتية الحيوية (KRITIS)، كيانات مهمة بشكل خاص.
سويسرا غير ملزمة بـ NIS2. لكن يتعيّن على الجهات المشغّلة للبنى التحتية الحيوية منذ 1 أبريل 2025 إبلاغ BACS بالهجمات السيبرانية على أنظمتها الخاصة خلال 24 ساعة من اكتشافها، واستكمال البيانات الناقصة خلال 14 يومًا، ومن بين هذه الجهات المستشفيات، ومورّدو السلع اليومية التي لا غنى عنها، والشركات المصنِّعة لمنتجات الصيانة عن بُعد ومنتجات OT. ويُستثنى المورّدون الأصغر حجمًا، والبلاغات الطوعية مرحَّب بها صراحةً. ومن يورّد إلى الاتحاد الأوروبي يخضع بالفعل، بصفته شركة مصنِّعة، لالتزامات الإبلاغ بموجب CRA؛ ويجري إعداد قانون سويسري خاص بالأمن السيبراني.
تنفّذ النمسا NIS2 من خلال قانون NISG 2026 الساري منذ 1 أكتوبر 2026؛ ويستمر التسجيل الأولي حتى 1 يناير 2027. وبحسب الغرفة الاقتصادية النمساوية، يشمل القانون نحو 4,000 شركة. وعثر CERT.at في أكتوبر على أربع واجهات مكشوفة فقط لأنظمة التبريد.
لمزيد من المعلوماتاستشارات NIS2 نظرة عامة على NIS2 استشارات KRITIS
ينظّم قانون المرونة السيبرانية الأمن السيبراني للمنتجات ذات العناصر الرقمية. وفي أسئلتها الشائعة، تذكر دوائر المفوضية الأوروبية صراحةً ضمن الأمثلة أجهزة التبريد الذكية وأجهزة إنترنت الأشياء الصناعية والآلات أيضًا. ويُلزم CRA الشركات المصنِّعة والمستوردين والموزّعين، لا الجهات المشغّلة. ومن المتوقع أن تندرج وحدات التحكم في التبريد ضمن الفئة الافتراضية، التي يجوز فيها للشركات المصنِّعة تقييم المطابقة بنفسها. ووفق تقييم BSI، يبدو بحسب المعلومات المتوفرة حاليًا أن آليات الدخول إلى وحدات التحكم المتأثرة لم تكن مؤمَّنة بشكل كافٍ منذ تسليمها؛ وينبغي في الحالة المثلى أن يُكتشف ذلك مستقبلًا خلال تقييم المطابقة.
دخلت اللائحة حيّز النفاذ، وتسري التزاماتها على مراحل.
تسري القواعد الخاصة بإخطار جهات تقييم المطابقة.
يجب على الشركات المصنِّعة الإبلاغ عن الثغرات المستغلة بشكل نشط والحوادث الجسيمة، وإعلام المستخدمين المتأثرين، بما في ذلك بالنسبة إلى المنتجات الأقدم وبعد انتهاء فترة الدعم.
تسري جميع المتطلبات الأساسية على كل منتج يُطرح في السوق اعتبارًا من ذلك التاريخ، حتى لو كان الطراز أقدم. ومن ذلك الحين يمكن أن تُفرض غرامات تصل إلى 15 مليون يورو أو 2.5% من حجم المبيعات السنوي العالمي.
لا تقتصر التزامات المصنِّع على الشركات المصنِّعة لوحدات التحكم. فمن يجمّع مكونات في منتج متصل جديد ويطرحه في السوق، أو يسوّق منتجًا باسمه الخاص، أو يعدّله تعديلًا جوهريًا، يُعدّ هو نفسه مصنِّعًا بموجب CRA. لذلك ينبغي لمقاولي أنظمة التبريد والشركات المصنِّعة لخزائن العرض المبرّدة توضيح دورهم.
إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي بعد 14 يومًا من إتاحة إجراء تصحيحي، وفي حالة الحوادث بعد شهر من الإبلاغ. وتبدأ المهلة من لحظة العلم بعد فحص أولي يُجرى دون تأخير، بما في ذلك إثر تنبيهات من العملاء أو السلطات أو وسائل الإعلام. ويجري الإبلاغ عبر منصة الإبلاغ الموحدة لدى ENISA إلى فريق CSIRT المختص، وهو في ألمانيا BSI؛ أما الشركات المصنِّعة التي ليس لها مقر في الاتحاد الأوروبي، كالشركات السويسرية، فتبلّغ فريق CSIRT في دولة ممثلها المفوَّض، وإلا ففي دولة مستوردها أو موزّعها.
إعدادات افتراضية آمنة، وحماية من الوصول غير المصرَّح به، مثلًا عبر المصادقة، وسطح هجوم أصغر ما يمكن. ولا يتضمن CRA حظرًا صريحًا لكلمات المرور الافتراضية؛ لكن وفقًا لإرشادات المفوضية الأوروبية، لا يجوز تعويض عيوب التصميم بتحميل المخاطر على المستخدمين.
تحديثات أمنية دون تأخير ومجانية من حيث المبدأ. وتُحدَّد فترة الدعم وفق مدة الاستخدام المتوقعة، ولا تقل عن خمس سنوات؛ ويجب بيان تاريخ انتهائها عند الشراء.
توثيق المكونات في قائمة مكونات البرمجيات (SBOM)، والاختبار بانتظام، والإفصاح المنسَّق عن الثغرات ومعالجتها دون تأخير.
بالنسبة إلى الأجهزة التي تُطرح في السوق قبل 11 ديسمبر 2027، لا يسري سوى التزام الإبلاغ، دون التزام بالمعالجة اللاحقة؛ ويشمل ذلك أيضًا الأجهزة التي لا تزال تُشترى اليوم. ومن يشغّل مثل هذه الأجهزة عليه أن يسيطر على المخاطر بنفسه: بالتحصين أو العزل أو الاستبدال.
تخضع الثغرة لالتزام الإبلاغ إذا توفرت أدلة موثوقة على استغلال خبيث لها. وتذكر حيثيات اللائحة (الديباجة) نقاط الضعف في تحديد الهوية والمصادقة مثالًا على ذلك؛ أما ما إذا كانت إساءة استخدام كلمات المرور الافتراضية تندرج تحت ذلك في حالة بعينها، فيتطلب فحصًا قانونيًا.
يُلزم CRA الشركات المصنِّعة، لا الجهات المشغّلة. ومع ذلك فهو أداة ضغط في يد الجهات المشغّلة: فمن يشتري تقنيات التبريد يمكنه أن يشترط تعاقديًا المطابقة لـ CRA، وقائمة مكونات البرمجيات، وفترة دعم محددة، والتزامات بمعالجة الثغرات، ويغطي بذلك جزءًا من متطلبات NIS2 المتعلقة بسلسلة التوريد.
لمزيد من المعلوماتاستشارات CRA التزام الإبلاغ بموجب CRA نظرة عامة على CRA
نادرًا ما يكون نظام التبريد منتجًا من مصدر واحد. فوحدة التحكم مصدرها الشركة المصنِّعة، أما تركيبها وصيانتها فيتولاهما مقاول أنظمة التبريد، الذي كثيرًا ما يتابعها عن بُعد بشكل دائم. ولم يكن كثير من المتاجر المتأثرة عملاء مباشرين للشركة المصنِّعة أصلًا، بل عملاء لمقاولي أنظمة التبريد. وهنا تحديدًا يتدخل NIS2: إذ يتعيّن على الكيانات المشمولة مراعاة المخاطر الأمنية لدى المورّدين ومزوّدي الخدمات المباشرين.
وحدات التحكم، والبرامج الثابتة، وواجهة الويب
التخطيط، والإنشاء، والتشغيل الأولي
الخدمة، وخدمة الأعطال، والبوابات السحابية
المتجر، والمستودع، والمستشفى، والإنتاج
العملاء النهائيون، والسلطات
جرى التلاعب بغرف تبريد في ثلاثة مواقع عبر نظام المراقبة عن بُعد لدى مزوّد خدمات تبريد. ويُلقي مزوّد الخدمة بالمسؤولية على مكوّن من طرف ثالث، أي على خطر لدى مورّد المورّد. [12]
كانت Danfoss قد نصحت عملاءها الهولنديين في 13 أكتوبر بفصل الأنظمة عن الإنترنت. وبعد الهجوم في فرنسا كانت معظم المنشآت قد استجابت، باستثناء قلة قليلة. وبحسب الشركة المصنِّعة، لم تكن الأنظمة المستهدفة موصولة بشبكة مؤمَّنة، وكانت تستخدم كلمة مرور افتراضية. [44]
بحسب Coopérative U، لم تكن المتاجر المتأثرة عملاء مباشرين لـ Danfoss، بل عملاء لمقاولي أنظمة تبريد ورّدوا النظام. وفي مثل هذه الحالات، كثيرًا ما تقع الصيانة والوصول عن بُعد على عاتق أطراف ثالثة، بينما يعود قرار الاستبدال غالبًا إلى كل متجر على حدة. [45]
في متجر كبير تابع لـ AWO في Wetter-Volmarstein، استهدف الهجوم، بحسب وكالة الأنباء dpa، الشركة التي تتولى صيانة أنظمة التبريد عن بُعد. وفي Lilienthal قرب بريمن، اضطر متجر متأثر إلى التخلص من بضائع تزيد قيمتها على 360,000 يورو. [13]
يشترط NIS2 صراحةً تدابير لأمن سلسلة التوريد، بما في ذلك العلاقات مع المورّدين ومزوّدي الخدمات المباشرين. ويجب مراعاة الثغرات لدى كل مورّد مباشر، وجودة منتجاته، وممارساته الأمنية. وبحسب BSI، فإن من يجعل أنظمة OT مكشوفة على الإنترنت دون حماية كافية يُخلّ بواجباته من حيث المبدأ؛ ويوصي BSI الجهات المشغّلة بالمطالبة الفاعلة بتدابير من مُكامِلي الأنظمة ومزوّدي الخدمات.
لمزيد من المعلوماتنظرة عامة على أمن سلسلة التوريد إدارة المورّدين أمن OT والأمن الصناعي
أجيبوا عن الأسئلة بالنسبة إلى مواقعكم. يجري التقييم في متصفحكم فقط، ولا يغني عن الفحص، لكنه يبيّن لكم من أين ينبغي أن تبدؤوا.
تمت الإجابة عن 0 من أصل 6 أسئلة. يظهر التقييم بمجرد الإجابة عن جميع الأسئلة.
لا تُحفظ إجاباتكم ولا تُرسَل.
تجمع هذه الخطوات توصيات الجهات الحكومية الأمريكية وCERT-FR وBSI وBACS، وتستكملها بخبرتنا المكتسبة من فحوص OT ومشروعات GRC.
إذا تعرّضت أنظمة التبريد لديكم للتلاعب: افصلوا الوصول عن بُعد، ووثّقوا الحالة والأوقات بلقطات شاشة، وقيسوا درجات حرارة المنتجات مباشرة وقيّموا حالة البضائع، واستعيدوا القيم المضبوطة من نسخة احتياطية من الإعدادات، ولا تعيدوا توصيل الجهاز إلا بعد تحصينه؛ فإعادة الضبط إلى إعدادات المصنع وحدها لا تكفي. وتحققوا من التزامات الإبلاغ، مثلًا بموجب NIS2 تجاه BSI أو في سويسرا تجاه BACS، وقدّموا بلاغًا جنائيًا، في ألمانيا لدى نقطة الاتصال المركزية للجرائم الإلكترونية (ZAC) لدى شرطة ولايتكم، وأبلغوا شركة التأمين لديكم مبكرًا. ويدعمكم فريق CSIRT لدينا على مدار الساعة.
تُظهر الهجمات مواطن الخلل: فتقنيات التبريد كثيرًا ما تغيب عن الجرد وعن إدارة المورّدين وعن الرؤية من الخارج. ترسّخ VamiGRC متطلبات NIS2 وCRA في التشغيل اليومي، وتدعم VamiAppSec الشركات المصنِّعة في أمن البرمجيات والمنتجات، وتُبقي VamiRedteam سطح الهجوم المصرَّح به لديكم تحت المراقبة على مدار الساعة.
منصة GRC وكيليةVamiGRC هي منصة GRC الوكيلية من VamiSec. تطبّق بها الجهات المشغّلة NIS2 وتُبقي مورّديها تحت المراقبة، وتدير بها الشركات المصنِّعة التزاماتها بموجب CRA – وكلتاهما على الأصول والمورّدين والأدلة نفسها. يتولّى وكلاء الذكاء الاصطناعي المهام الروتينية وفق قواعد الموافقة التي تحددونها، ويتخذ فريقكم القرار.
VamiGRC نظام إدارة متكامل وكيلي للشركات المصنِّعة والجهات المشغّلة: NIS2 لمؤسستكم وCRA لمنتجاتكم في نظام واحد. وتستخدم أنظمة ISMS وPIMS وAIMS وCSMS وBCMS الأصولَ والمورّدين والمخاطر وأدلة الإثبات نفسها على رسم بياني واحد لـ GRC؛ وتُقيَّم المخاطر والتدابير باليورو. ويتولّى وكلاء الذكاء الاصطناعي المهام الروتينية وفق قواعد الموافقة التي تحددونها.
مجاني حتى التشغيل الفعلي: شهر من Proof of Value ببيانات تجريبية أو ببياناتكم الحقيقية، ثم بعد الطلب الملزِم تنفيذ مصحوب بالدعم – ولا يبدأ سريان الترخيص إلا مع التشغيل الفعلي. وتتضمن جميع الباقات عددًا غير محدود من حسابات المستخدمين.
للشركات المصنِّعة لوحدات التحكم والبرامج الثابتة وتقنيات التبريد المتصلة: تُدخل VamiAppSec الفحوص الأمنية في مسار CI/CD الذي تستخدمونه بالفعل، وتجعل معالجة الثغرات وفق CRA قابلة للإدارة. يقدّم النموذج اللغوي الدعم، أما القرارات فيتخذها فريقكم.
للجهات المشغّلة: حالة الاستخدام الأساسية لـ VamiRedteam هي 24/7 Zero-Day Vulnerability Management. يراقب ثلاثة وكلاء ذكاء اصطناعي سطح الهجوم المصرَّح به لديكم على مدار الساعة، ويطابقون معه الثغرات التي أصبحت معروفة حديثًا، ويتحققون مما هو قابل للاستغلال فعلًا. وبذلك تُكتشف الأنظمة المكشوفة على الإنترنت والثغرات الجديدة في الوقت المناسب، بدلًا من انتظار اختبار الاختراق التالي.
سواء تعلّق الأمر بفحص تقنيات التبريد لديكم من الخارج، أو بتصنيفكم وفق NIS2، أو بخارطة طريق لـ CRA، أو بإدارة المورّدين: يساعدكم Valeri Milke وفريق VamiSec على استخلاص خطوات تالية ملموسة من تقرير الوضع هذا.
«أمن تقنية المعلومات والامتثال دون الذكاء الاصطناعي ثغرة أمنية.»
في الليلة السابقة لـ 12 أكتوبر 2026، تلاعب مجهولون بوحدات التحكم في التبريد في مئات المتاجر الكبرى الفرنسية، وتحدثت الحكومة عن نحو 700 متجر. وفي الليلة السابقة لـ 2 نوفمبر تلتها موجة ثانية طالت أكثر من 100 متجر في أكثر من اثنتي عشرة دولة أوروبية، من بينها ألمانيا وسويسرا. وحُوّلت وحدات التبريد إلى وضع إذابة الجليد ورُفعت القيم المضبوطة، وفسدت البضائع.
بحسب المعطيات المتوفرة حتى الآن، عبر وحدات تحكم يمكن الوصول إليها مباشرة من الإنترنت، ولا سيما وحدات مدير النظام من Danfoss ضمن سلسلتي AK-SM وAK-SC، ووحدات المشرف XWEB من Copeland وDixell. وقد ثبت في عدة حالات استخدام كلمات مرور افتراضية لم تُغيَّر؛ وفي حالة البرامج الثابتة المتقادمة، تُعدّ الثغرات المعروفة احتمالًا واردًا. ولم تُستخدم برمجيات خبيثة.
هذا غير محسوم. فقد تبنّت قناة تابعة لجماعة NoName057(16) الموالية لروسيا الهجمات بالاشتراك مع Z-Pentest، ولا توجد أدلة على ذلك. ولم تُسمِّ أي حكومة ولا أي جهة رسمية جانيًا، وينفي الكرملين أي تورط.
نعم. ففي ألمانيا تُجري الشرطة تحقيقات في عدة حالات، منها في شمال الراين وستفاليا وساكسونيا السفلى وبافاريا وراينلاند بفالتس؛ وقد أكد BSI وقوع حوادث لدى بعض المتاجر الكبرى. وفي سويسرا طالت الهجمات ملحمة في Köniz وثلاثة فروع لـ Volg.
البيع بالتجزئة للأغذية وحده لا يخضع له. ففي قطاع الأغذية يشمل NIS2 تجارة الجملة والإنتاج الصناعي والمعالجة الصناعية، إضافةً إلى الرعاية الصحية وكثير من الفروع الصناعية، ومنها الشركات المصنِّعة لتقنيات التبريد والتحكم. ومع ذلك، قد تجعل عتبات البنية التحتية الحيوية (KRITIS) شركات التجارة الكبيرة في ألمانيا مشمولة.
يُلزم CRA الشركات المصنِّعة للمنتجات المتصلة، ومنها وحدات التحكم في التبريد، بإعدادات افتراضية آمنة، وبالحماية من الوصول غير المصرَّح به، وبتحديثات أمنية طوال فترة الدعم، وبإدارة منظمة للثغرات. وتسري هذه المتطلبات اعتبارًا من 11 ديسمبر 2027. أما التزامات الإبلاغ عن الثغرات المستغلة بشكل نشط فتسري بالفعل منذ 11 سبتمبر 2026، بما في ذلك بالنسبة إلى المنتجات الأقدم.
بموجب CRA، يجب على الشركات المصنِّعة الإبلاغ عن الثغرات المستغلة بشكل نشط والحوادث الجسيمة: إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي بعد 14 يومًا من إتاحة إجراء تصحيحي، وفي حالة الحوادث بعد شهر من الإبلاغ. أما ما إذا كانت إساءة استخدام كلمات المرور الافتراضية تُعدّ في حالة بعينها ثغرة مستغلة بشكل نشط، فيتطلب فحصًا قانونيًا.
يتوقف ذلك على دوركم. فالشركات الخاضعة لـ NIS2 في ألمانيا تبلّغ عن الحوادث الأمنية الجوهرية عبر بوابة الإبلاغ لدى BSI: إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي بعد شهر من ذلك. أما المنشآت غير المشمولة، مثل المتاجر الكبرى أو الملاحم المنفردة، فليست ملزمة بالإبلاغ؛ ويمكنها إعلام BSI طوعًا، وينبغي لها تقديم بلاغ جنائي لدى نقطة الاتصال المركزية للجرائم الإلكترونية (ZAC) لدى شرطة ولايتها. وفي سويسرا تبلّغ الجهات المشغّلة للبنى التحتية الحيوية BACS خلال 24 ساعة، ويمكن لغيرها الإبلاغ طوعًا. أما الشركات المصنِّعة فتبلّغ عن الثغرات المستغلة بشكل نشط بموجب CRA عبر منصة الإبلاغ لدى ENISA.
دور حاسم. فوحدات التحكم تأتي من الشركة المصنِّعة، أما التركيب والصيانة والوصول عن بُعد فتقع في الغالب على عاتق مقاولي أنظمة التبريد ومزوّدي الخدمات. وفي حالة خدمة التبرع بالدم الفرنسية EFS، جرى الهجوم عبر نظام المراقبة عن بُعد لدى أحد مزوّدي الخدمات. ولذلك يشترط NIS2 إدماج المورّدين ومزوّدي الخدمات في إدارة المخاطر.
تحققوا في جهاز التوجيه مما إذا كانت هناك قواعد لإعادة توجيه المنافذ أو قواعد NAT أو UPnP تشير إلى وحدات التحكم، وافتحوا من الخارج، مثلًا عبر هاتف ذكي غير متصل بالشبكة اللاسلكية، عنوان IP العام للموقع: يجب ألا تظهر هناك أي صفحة تسجيل دخول لوحدة تحكم. ويمكن كذلك التحقق مما إذا كان العنوان مُدرجًا لدى محركات بحث مثل Shodan أو Censys. وكثيرًا ما يكون لأجهزة المودم الخلوية في خزانة التحكم الكهربائية اتصال مستقل بالإنترنت؛ لذلك اسألوا مزوّد خدمات التبريد لديكم عن جميع منافذ الوصول عن بُعد. وتحققوا أيضًا من كلمات المرور والبرامج الثابتة وتاريخ انتهاء الدعم، واختبروا ما إذا كانت إنذارات الحرارة تصل ليلًا إلى فريق مناوب. وتدعمكم VamiSec بفحص من الخارج وبحصر لمورّديكم.
باستخدام VamiGRC تطبّقون NIS2 وCRA في نظام واحد وتديرون مورّديكم. ومن خلال VamiAppSec ترسّخ الشركات المصنِّعة الفحوص الأمنية في عمليات التطوير لديها وتُحضّر بلاغات CRA. وعبر VamiRedteam تُبقون سطح الهجوم المصرَّح به لديكم، والقابل للوصول من الخارج، تحت المراقبة على مدار الساعة. ويُضاف إلى ذلك اختبارات اختراق OT وIoT، واستشارات NIS2 وCRA، وفريق CSIRT لدينا لحالات الطوارئ.
تستند المعلومات إلى منشورات صادرة عن السلطات والشركات المصنِّعة والباحثين الأمنيين ووسائل الإعلام حتى 8 نوفمبر 2026. وقد أُشير إلى إعلانات التبنّي والتقييمات بوصفها كذلك؛ والقيم المضبوطة ليست درجات حرارة مقيسة.
لا يغني تقرير الوضع هذا عن الاستشارة القانونية. ويتوقف ما إذا كانت هناك التزامات تسري على شركتكم، وماهيتها، على كل حالة بعينها.
حدّدوا موعدًا لمحادثة أولية غير ملزمة: نوضّح معكم وضعكم الحالي والخطوات التالية.
