Тази атака не е била извършена от хакери, които искат откуп, а е терористичен акт, който налага европейски "единен отговор".
Иран е обвиняемият и именно той ще се изправи пред „единен отговор", след като Европейският съюз го обвини за кибератаките през октомври срещу хладилниците на стотици магазини в Европа, което предизвика опасения от разширяване на обхвата на подобни атаки срещу гражданската инфраструктура.
Френският външен министър Жан Ноел Баро обяви, че Париж разполага с доказателства, че Иранската революционна гвардия стои зад „атаката с безпрецедентен мащаб и безпрецедентна агресивност". Той посочи, че Франция ще се стреми към налагане на европейски санкции срещу отговорните страни.
Същия ден издание „Фигаро" излезе с разследване за групата, заподозряна в извършването на атаката, известна като „Шахид Каух", която използва и имената „Cyber Avengers" и „Intelligence Team 13". Разследването се основава на разузнавателни доклади и специализирани проучвания в областта на киберсигурността и проследява структурата на групата, връзките ѝ с Революционната гвардия и историята на нейните операции срещу жизненоважни съоръжения в редица държави.
От охладителни системи до водоснабдителни и енергийни съоръжения
Според „Фигаро" са атакувани свързани с интернет охладителни системи в около 700 френски търговски обекта. Унищожени бяха тонове хранителни продукти, а някъде имаше и мини пожари.
Такива атаки имаше и във Великобритания, Германия, Италия, Португалия и Холандия. Прокуратурата в Париж обяви, че подозира иранската група и започна съдебно разследване срещу лидера на „Шахид Каух".
Фондацията „Домейн Тулс Инвестигейшън" класифицира групата като една от най-агресивните от оперативна гледна точка и най-идеологически свързаните единици в киберарсенала на Иранската революционна гвардия.
Domain Tools Investigation е общностна изследователска инициатива, която се фокусира върху наблюдението, разследването и ограничаването на последиците от атаки, които експлоатират домейн имена и системата за имена на домейни DNS.
От своя страна Агенцията за киберсигурност на САЩ (CISA) класифицира „Шахид Каух" в категорията „усъвършенствани постоянни заплахи" – термин, използван за организирани групи, разполагащи с напреднали технически възможности и насочващи атаките си срещу жизненоважната инфраструктура на държави и организации.
Крило за разузнаване и друго за атака
Разследването сочи, че групата работи под ръководството на Хамид Реза Лашгрян, отговорен за ръководството на кибер и електронната война в Иран и един от лидерите на Корпуса на Имамите, външното крило на Революционната гвардия.
Задачите са разпределени между две крила: първото е „Интелиджънс Тим 13", ръководено от Реза Саларунд, което отговаря за разузнавателния аспект чрез събиране на информация за западни обекти, достъпни в интернет, и установяване на уязвимости в програмите и корпоративните сметки.
Второто крило, Cyber Avengers, отговаря за провеждането на електронни атаки и обявяването им чрез приложението Telegram, както и за публикуването на пропаганден материал, възхваляващ иранския режим.
Дейностите на групата не се ограничават до проникване в системите и нанасяне на технически щети, според докладите тя разчита на съчетание от киберсаботаж и психологическа война. Това включва публикуване на снимки на нанесените щети, демонстриране на операциите по проникване в системите и отправяне на заплахи преди извършването на атаките.
Изследванията на Domain Tools сочат, че публикациите на групата съдържат термини, свързани с религиозния национализъм и мъчениците за исляма, както и анти израелска реторика, което отразява идеологическото измерение в дейността ѝ.
Името „Шахид Кау" съдържа символична препратка към Мохамед Кау, един от лидерите на Революционната гвардия, убит по време на ирано-иракската война през 1986 г., когато е бил на 25 години. Изследователският център счита, че позоваването на понятието „мъченичество" позволява на групата да представя своите киберсаботажи като продължение на историческа и духовна битка, а не просто като технически дейности.
През 2021 г. британският телевизионен канал „Скай Нюз" се сдоби с 57 страници документи, изготвени от разузнавателния екип на групата.
Документите съдържаха техническа информация за германската компания „Фаго", специализирана в електрически компоненти и системи за управление на осветлението, вентилацията и отоплението в сградите, както и информация за навигационните и комуникационните системи, използвани в морския транспорт.
Докладите бяха класифицирани като „строго секретни", което показа, че интересът на групата към индустриалната инфраструктура е много голям и тя не се ограничава само до традиционните информационни мрежи.
Откакто се появи през 2020 г., групата обяви отговорност за атаки срещу сървъри на израелската железопътна мрежа, твърдеше също, че е проникнала в израелски водоснабдителен обект и е манипулирала настройките му.
През ноември 2023 г. хакерите ѝ успяха да проникнат в системата за управление на водни помпи в американски град и я извадиха от строя. Между ноември 2023 г. и януари 2024 г. е проникнато в 75 устройства в САЩ, като 34 от тях са свързани с пречистването на вода, според ФБР.
Атаки са засегнали също бензиностанции и водни съоръжения в различни държави. През 2024 г. компанията Claroty разкри ирански зловреден софтуер, наречен IO Control, предназначен да атакува устройства, свързани с интернет, сред които рутери, камери, индустриални системи за управление и системи за управление на горивото.
Разследването на "Фигаро" проследява и използването изкуствен интелект за развитие на техническите способности на групата.
През 2024 г. компанията OpenAI обяви, че блокира акаунти, свързани с групата Cyber Avengers, след като се установи, че те са използвали моделите на компанията за търсене на пропуски в сигурността, коригиране на програмния код и искане на помощ при писането на програмни кодове.
Тогава компанията заяви, че акаунтите, свързани с тази злонамерена група, са използвали нейните модели за задачи, които имат за цел укрепване на техническите ѝ възможности в областта на проникването. През 2026 г. обхватът на дейността на групата се разширява, като включва големи промишлени компании, сред които „Рокуел", „Шнайдер Електрик" и „Сименс". През август американски хранителни и военни съоръжения претърпяха повреди в системите за охлаждане.
Разследването на „Фигаро" разглежда вероятността Френската кръвна служба да е била цел на атака на 3 ноември, когато някои от нейните охладителни съоръжения отбелязаха огромно повишение на температурите.
В интервю за Al-Hurra.net ливанският експерт по киберсигурност и консултант по дигитални медии Башир Тагрини обяснява сериозността на тези атаки с факта, че те са насочени срещу инфраструктурата и предизвикват сериозна тревога за нови атаки срещу жизненоважни инфраструктурни обекти като водоснабдителните мрежи, летищата и други подобни".
Манипулирането на системите за охлаждане, водоснабдяване или гориво може да пренесе ефекта си от киберпространството към основни активи и услуги, което да доведе до огромни материални загуби и сериозни смущения в работата на гражданските съоръжения.
Практиката на групата да разпространява снимки на нанесените щети и заплахите, съпътстващи атаките, придава психологическо измерение на проникванията, като представя способността на извършителите да получат достъп до системи, които се предполага, че са сериозно защитени.
Иранска атака повдига уместен въпрос: защо Европа?
Войната срещу Иран беше една от причините за разрива между САЩ и Европа, тъй като американците не информираха европейците за плановете си, а някои европейски държави забраниха на САЩ да използват техните военни бази за нанасяне на удари по ирански цели. Откакто Тръмп се оттегли от ядреното споразумение през 2018 г. Европа се опита да го възстановява, но без успех. Има поне две вероятности, които обясняват защо Иран е избрал европейските държави за свои цели.
Иран изпълнява поръчка... от Русия
С нарастването на атаките в „сивата зона" срещу Европа и повдигнатите обвинения от европейски представители, че Москва стои зад тях, кибератаката представлява допълнителен удар по европейската инфраструктура. Времето на атаката е изключително показателно, тъй като съвпада с ескалацията на „хибридната война" срещу Европа, която започва приблизително в края на миналия месец. Теорията за „руската поръчка" намира основание в размяната на военна и икономическа подкрепа, която Москва предостави на Техеран през последните месеци, особено чрез Каспийско море.
Възможно е Русия да няма нужда от логистична помощ при кибератаките срещу европейската инфраструктура, но разпалването на атмосфера на тревога в Европа чрез различни източници служи на Русия в преговорите за бъдещето на Украйна и европейската подкрепа за нея. Едновременните атаки допринасят за укрепването на координацията, макар и не строга, между двете държави в подготовка за по-напрегнато бъдеще със Запада.
Рами Ал-Халифа Ал-Али, професор по политически науки в Парижкия университет, в интервю за Al-Hurra.net заявява, че Иран постепенно ще ескалира кибер атаките си, като ги разшири към сектори, „в които е трудно да се разграничи гражданския от стратегическия ущърб, включително в секторите на храните и здравеопазването, а може би и в енергетиката, транспорта и водоснабдяването".
От своя страна Русия все още упражнява разнообразен кибернатиск, вариращ от шпионаж до опити за саботаж и кампании за дезинформация. Франция и Европейският съюз приписват дългосрочни шпионски операции на подразделения, свързани с руската Федерална служба за сигурност (ФСБ), сред които е подразделение 61240, свързано с групата TURLA, която е атакувала правителствени институции, министерствата на отбраната и външните работи, както и изследователски центрове, свързани с отбраната.
Появиха се опити за атака на водоснабдителните и енергийните мрежи в Полша, в момент, в който групи, свързани с Русия, активно публикуват дезинформация в европейските общества. Пример за това е операция Operation Overload, която се възползва от вътрешни разногласията и политически и социални събития, включително събитията от октомври 2026 г. във Франция, за да подхрани дискусиите относно миграцията и слабостта на институциите на правителствата. На фона на тези събития групи от проруски киберактивисти обявиха отговорност за подобни атаки, насочени срещу системи за охлаждане. Това заявление обаче не доказва отговорността им за основната атака във Франция, а и официалните обвинения, обявени от Париж, се фокусираха върху иранската страна, докато Кремъл отричаше отговорността на Москва за вълната от атаки, засегнали европейски обекти.
Това е единствената област, в която американският президент не се нуждае от никаква помощ
Подкопаването на трансатлантическите отношения е почти запазена марка на Доналд Тръмп. От търговската война, през заплахите към Гренландия, до пренебрегването на Украйна и Европа по въпроси на регионалната сигурност, американският президент успя да навреди на отношенията с Европа, макар и да не стигна до пълен разрив.
Но докато връзките между Вашингтон и Брюксел се развиваха по две различни линии, изглежда, че Иран реши да се намеси, за да опита да запълни пропастта.
Ирански изчисления
Покойният върховен лидер Али Хаменей не спести критики към европейската тройка дори в разгара на усилията ѝ да защити Европа от американските санкции по време на първия мандат на Тръмп. Исторически погледнато, съществуват дългогодишни ирански недоволства, датиращи от периода на британската (и съветската) окупация между 1941 и 1946 г. Според белгийските съдебни органи Иран се е опитвал да взриви конференция на иранската опозиция на френска територия през 2018 г. А ракетната атака срещу базата "Диего Гарсия" по време на последната война не беше насочена само срещу американците, а и срещу британците, и представляваше послание към Европа, че иранските ракетни системи са способни да достигнат дълбоко в Стария континент.
Освен това мнозина определиха задържането на европейски граждани с двойно гражданство от Иран като „дипломация на заложниците". Възможно е предполагаемата иранска атака да е просто опит да възпрепятства Европа да подкрепи Съединените щати в евентуална нова война срещу Техеран. Във всеки случай Иран може би няма да загуби много от този опит. Той знае, че европейската реакция най-вероятно ще бъде слаба и че атака срещу Европа няма да я сближи отново с администрацията на Тръмп.
„Студен фронт" - горещо ескалиране
Иран отдавна се считаше за киберзаплаха от втори ред, за разлика от Китай, Русия и Северна Корея. Днес обаче, с продължаването на конфликта между САЩ и Иран, Техеран демонстрира ново ниво на агресивност, което накара експертите по киберсигурност да предупредят, че Ислямската република се е превърнала в по-опасен противник.
Според служители в областта на киберсигурността и експерти по отбрана Техеран разширява обхвата на целите си и преминава от заплахи към атаки, които нанасят реални щети във физическия свят. Тази промяна отразява по-голямата способност на Иран за използване на нови инструменти — като изкуствения интелект — и готовността му да ги приложи срещу по-широк кръг от цели.
В изявление пред вестник „Уол Стрийт Джърнъл" Йоси Каради, директор на Националната дирекция за киберсигурност в Израел, заяви: „Това, което Иран прави в момента, е да се учи от предишната война. Винаги предполагам, че врагът ми в следващата война няма да е същият като в миналата; той ще бъде по-развит противник".
Откакто започна да развива кибер възможностите си в началото на първото десетилетие на 21-ви век, Израел беше основната цел на Иран; страната предприемаше непрекъснати атаки срещу него и го използваше като полигон за изпитване на своите технологии. С течение на времето Иран разшири обхвата на целите си, за да включи конкурентите си в региона на Персийския залив, докато атаките му в САЩ бяха насочени срещу устройства, произведени в Израел.
Техеран значително ускори темпото на своята киберпрограма, след като стана жертва на атака от компютърен вирус, наречен Stuxnet, разработен от САЩ и Израел с цел проникване в системите за управление на иранските ядрени центрофуги, за да бъдат програмирани се самоунищожат. Този вирус беше открит през 2010 г., а тази атака се споменава винаги като първата кибероперация, причинила реални материални щети. С малки изключения – като атаката Shamoon през 2012 г., която доведе до изтриването на данни от десетки хиляди компютри, принадлежащи на саудитския петролен гигант „Арамко" – иранските кибератаки бяха предимно примитивни операции, кампании за въздействие. Освен това свързаните с Иран групи „хактивисти" са известни с провеждането на атаки, основани на „проникване и изтичане на информация"; те крадат лични данни и ги разпространяват с цел да навредят на публични личности и институции. Напоследък тези групи започнаха да се насочват към камери за наблюдение, свързани с интернет.
Американски и израелски официални лица посочват, че през последните години Иран е пренасочил вниманието си към две тактики, които могат да се използват заедно, за да се постигне максимална вреда на място. Първата тактика е „изтриване на данни", което представлява унищожаване на файловете, необходими за работата на компютрите.
Втората тактика е проникването в „програмируеми логически контролери" (PLC); това са устройства, които все по-често се използват за автоматизация на различни промишлени процеси – от пренасянето до производството и логистиката. Тези контролни устройства са неразделна част от „оперативната технология" (OT), която представлява връзката между цифровите команди и физическите активи. Те се срещат в светофарите, канализационните помпи и енергийните мрежи; с други думи, те са дълбоко вградени в жизненоважната инфраструктура на всяка държава.
Последиците от иранската кибератака срещу охладителните системи във Франция и Европа разкриват политическа и икономическа конфронтация, която заплашва регионалния ред и сигурност.
След като Франция обвини Иранската революционна гвардия, че стои зад атакитеи срещу охладителните системи, случаят премина от техническо разследване към политическо и дипломатическо противопоставяне, включващо привикване на иранския посланик и стремеж към налагане на европейски санкции. Дали тези атаки отварят вратата за разширяване на конфликта между Техеран и европейските столици?
Франция посочи трима заподозрени във връзка с подразделението „Шехид Каух" – Хамид Реза Лашгрян, Мехди Лашгрян и Реза Саларунд, а прокуратурата в Париж поиска издаването на международни заповеди за арест.
Непосредствена заплаха, предшестваща войната
Д-р Рами Хатар Диаб, специалист по политическа география, казва пред ливанският вестник Al-Nahar, че случилото се „не е изненада за специалистите в тази област", тъй като иранската заплаха за Франция продължава и се потвърждава от събития, предшестващи последната война, на които се позовава изявлението на френското външно министерство, сред които атаката срещу „Шарли Ебдо" през 2023 г. и опитите за хибридни и кибератаки на Олимпийските игри в Париж през 2024 г. Диаб счита, че събитието представлява „доказателство за провала на стратегията на френския президент Еманюел Макрон, основана на избягване на дразненето на Иран". Новото, според него, е мащабът на атаката и „ясното намерение да се подкопае френската икономика".
Френското външно министерство определи операцията като първата кибератака, проведена с чисто саботажни цели на френска територия, и за сериозно посегателство срещу интересите на страната и сигурността на нейните граждани.
Атаките разкриват как конфликтът може да излезе извън бойните действия и да засегне граждански сектори в държави, които не участват във войната. Достъпът до устройства, свързани с интернет, беше достатъчен, за да се наруши съхранението на хранителни продукти и да се нанесат материални щети, без да се използват традиционни оръжия. Диаб класифицира операцията като част от „хибридната война", като обяснява, че атаките в киберпространството носят политическо послание и размиват традиционните понятия за мир, война и дипломация. Според него те приличат на „война без дим", но оставят тежки икономически последици.
Нанасянето на тези щети не е изисквало непременно изключителни технически способности. Някои от засегнатите устройства са били остарели или са работели с остарял софтуер. Изследователката от компанията „Проф Пойнт" Сахар Нуман заяви пред „Ройтерс", че саботажът разкрива до каква степен системите са уязвими, повече отколкото отразява киберуменията на Иран.
Как Иран използва медийните заплахи, за да сплаши Европа?
Войната е в установен застой от месеци, на фона на продължаващите усилия да се избегне възобновяването на военните действия.
Заплахите за евентуални атаки срещу Европа се засилиха в рамките на пропагандата, разпространявана от платформи, близки до Техеран.
В пропаганден видеоклип, създаден наскоро с използване на изкуствен интелект под заглавието „Европа гори", който беше разпространен от мрежи, близки до Иран, се виждат няколко европейски военни бази, сред които базите „Феърфорд" във Великобритания и „Естер" във Франция, които са подложени на атака.
Вижда се също ракета, която пресича въздушното пространство над няколко известни града като Париж и Лондон, докато цивилни тичат по улиците при звука на сирените. Чува се глас на английски език, който казва: „Вие не сте нашите неприятели, но всеки, който където и да е в Европа помага на Америка да навреди на нашите жени и деца, е наш неприятел".
Организацията SITE, занимаваща се с наблюдение на разузнавателната дейност, твърди, че персийскоезичната платформа „Тибан" е публикувала на 8 ноември видеоклип, насочен срещу това, което тя нарича „гнездата на сатана", имайки предвид американските военни бази, включително бази в Европа като:
• база „Рамщайн" в Германия.
• база „Безмер" в България.
От терористичните заплахи до кибератаки
Клеман Терм, специалист по ирански въпроси в Университета „Пол Валери" в Монпелие, заяви пред журналисти, че „това представлява продължаване на стратегията на несиметричните заплахи, която Техеран следва, и на неговата решимост да пренесе бойното поле на европейска територия".Той добави: „Това прилича на подхода, който Русия следва в операциите си в Европа, за да нанесе удар по стратегическата дълбочина на Украйна. А каква е стратегическата дълбочина на американската армия в конфронтацията ѝ с Иран? И какво се намира между Иран САЩ, Европа?."
Клеман Терм заяви, че обхватът на възможните цели се разширява, след като предишният фокус беше насочен към американските или еврейските интереси. „Сега наблюдаваме хоризонтално ескалиране, географско разширяване на конфликта и промяна в характера на целите към гражданска инфраструктура, като например охладителните системи".
Едно от предимствата на кибероперациите е, че те позволяват отричане на отговорността, а Иран е сред водещите сили в тази област. Антъни Ши, анализатор по киберсигурност в компанията „Скуад", заяви пред Агенция „Франс Прес", че „Иран разполага с изключително развити кибератакуващи способности" и че „се специализира вече в саботажни действия, вместо в кражба на данни". За разлика от някои други държави, които използват услугите на киберпрестъпници, „Иран е широко известен с това, че сам извършва подобни операции".
Крис Ванхолст, експерт по киберсигурност в компанията „Скуад", смята, че проникването в охладителните системи в големите магазини се различава от предишните кибератаки по „естеството на целта и посланието, което тя изпраща, а именно, че можем да достигнем до всеки човек в реалния свят. Мащабът беше изключително голям. А целта беше да се предизвика нестабилност".
