Sebuah serangan siber berskala besar yang menargetkan pengontrol pendingin di sekitar 700 gerai ritel Prancis pada Oktober lalu secara resmi dituduhkan kepada divisi siber Korps Garda Revolusi Islam (IRGC) Iran, demikian pernyataan pemerintah Prancis kemarin.
Para pelaku kejahatan siber tersebut membobol sistem kendali pendingin tepat pada malam 11 Oktober lalu dan langsung memanipulasi pengaturan pencairan es (defrost) ke temperatur yang sangat tinggi. Tindakan berbahaya ini mengakibatkan rusaknya pasokan makanan secara masif dan, setidaknya pada 15 insiden terpisah, memicu timbulnya kebakaran fisik di lokasi.
Unit peretas tersebut dikenal dengan nama Shahid Kaveh. Menurut penjelasan otoritas Prancis, kelompok ini umumnya beroperasi di balik kedok kelompok peretas aktivis (hacktivist), seperti CyberAveng3rs serta Cyber Isnaad Front, yang kerap mengklaim sejumlah aksi serangan secara terang-terangan kepada publik.
Kementerian Luar Negeri Prancis telah bersiap untuk memanggil duta besar Iran serta meminta seluruh mitra kerja sama di kawasan Uni Eropa guna segera memberlakukan sanksi baru terhadap entitas maupun warga negara Iran yang terbukti terlibat dalam aksi tersebut.
Sementara itu, Kejaksaan Paris kemarin telah resmi menggelar penyelidikan yuridis terhadap pucuk pimpinan unit itu, dua wakil komandan, beserta seluruh pihak lain yang terbukti terlibat. Otoritas penegak hukum tersebut bahkan telah mengajukan permohonan penerbitan surat perintah penangkapan internasional. Pelanggaran berat yang sedang diusut mencakup sabotase ilegal terhadap sistem komputasi serta perusakan aset dengan sarana yang membahayakan nyawa manusia, di mana seluruh perbuatan ini diperberat oleh motif melayani kepentingan kekuatan asing, yaitu Iran.
Dalam gelombang peretasan bulan Oktober tersebut, para pelaku mengambil alih instrumen pendingin merek Danfoss dan Dixell dari jarak jauh memanfaatkan antarmuka berbasis web publik, jelas kejaksaan dalam siaran resminya. Para peretas sengaja mengaktifkan siklus defrost ekstrem secara terus-menerus tanpa henti sekaligus menonaktifkan sensor peringatan keselamatan suhu yang seharusnya berbunyi ketika temperatur melampaui batas aman. Total insiden kebakaran akibat ulah ini diperkirakan mencapai sekitar 20 kasus.
Sebagian besar korporasi yang terdampak merupakan jaringan toko serba ada terkemuka, sebagaimana diungkapkan oleh laporan bersama pusat koordinasi krisis siber Prancis, atau C4. Daftar korban mencakup nama-nama raksasa seperti Casino, Leclerc, Coopérative U, Metro, Carrefour, hingga Intermarché.
Selain jaringan ritel modern, toko daging skala kecil, fasilitas rumah pemotongan hewan, dan pabrik koperasi pengolahan pangan juga dilaporkan menjadi korban dari pembobolan sistem terkoordinasi ini.
Pusat tanggap krisis turut mengaitkan insiden ini dengan aktivitas pembajakan perangkat Schneider Electric yang berlangsung bersamaan pada beberapa fasilitas pembangkit listrik tenaga air skala kecil di daratan Prancis. Untungnya, dampak operasional terhadap peralatan pembangkit tersebut tergolong pada tingkat moderat.
Dalam keterangan resmi atribusi serangannya, pihak kementerian memperkirakan nilai kerugian bahan pangan yang terbuang sia-sia mencapai angka beberapa puluh juta euro, seraya menegaskan peristiwa ini sebagai operasi siber ofensif pertama di wilayah kedaulatan Prancis yang sengaja dirancang murni bermotif sabotase fisik.
Bagaimana Prancis Mengaitkan Serangan Ini dengan Iran
Lembaga C4 merupakan gabungan dari badan keamanan siber nasional Prancis (ANSSI), badan intelijen DGSE dan DGSI, direktorat jenderal persenjataan, beserta komando pertahanan siber. Lembaga gabungan ini menyatakan terdapat empat parameter utama yang membuktikan keterlibatan IRGC selaku penyandang dana dan Shahid Kaveh sebagai pelaksana teknis operasi.
Infrastruktur peladen yang dipakai selama penyerangan terdeteksi aktif pada periode waktu yang sama untuk memetakan perangkat Schneider Electric. Perangkat pengatur tersebut terpasang di lokasi-lokasi krusial seperti unit fasilitas produksi energi dan instalasi pengolahan air bersih skala kecil dan menengah. Metode pengintaian ini identik dengan teknik penyerangan yang sudah diterapkan Shahid Kaveh setidaknya sejak bulan April.
Para pelaku peretasan juga kedapatan memanfaatkan FOFA, peranti pemindai jaringan daring yang lazim mereka gunakan. Selain itu, CyberbanNews, media corong propaganda yang berafiliasi kuat dengan unit siber tersebut, telah mempublikasikan rincian serangan sejak tanggal 13 Oktober. Pada infrastruktur peretasan pun ditemukan rekam jejak digital serta kode berbahasa Persia.
Pihak kejaksaan memaparkan bahwa investigasi pidana yang dikawal oleh kantor anti-kejahatan siber Prancis (OFAC) bersama DGSI berhasil mengidentifikasi pola penyerangan khas unit militer siber ini. Bukti penyelidikan juga mengonfirmasi penggunaan bahasa Persia serta alamat protokol internet (IP) yang merujuk langsung pada perangkat yang berlokasi di wilayah Iran.
Shahid Kaveh sendiri memiliki rekam jejak panjang menargetkan infrastruktur industri, menurut temuan C4. Memakai nama samaran CyberAveng3rs, kelompok ini mengklaim bertanggung jawab atas kampanye peretasan Unitronics, produsen sistem kendali asal Israel, pada November 2023. Pada Maret dan April, mereka kembali mengklaim operasi sabotase besar terhadap fasilitas vital milik Amerika Serikat dan Israel, termasuk sistem pendingin industri.
Pernyataan atribusi resmi otoritas Prancis tersebut tidak menyinggung gelombang serangan pendingin terbaru yang melanda pertokoan di beberapa negara Eropa lain pekan lalu.
Langkah Penting yang Harus Diambil Operator
Badan CERT-FR dalam rilis peringatan resminya menyatakan bahwa pihaknya mendeteksi banyaknya kasus peretasan pada kontroler pendingin jarak jauh yang mencakup empat lini produk. Perangkat yang rentan adalah seri Danfoss AK-SM dan AK-SC, lini Copeland xweb, serta rangkaian Dixell xweb.
Pemberitahuan darurat yang diperbarui pada 16 Oktober ini memperingatkan bahwa kampanye peretasan kemungkinan besar masih berlangsung aktif, dan membuka akses antarmuka manajemen langsung ke internet publik melanggar standar praktik keamanan yang baik.
Bagi instrumen kontroler yang dipastikan belum terinfeksi, tahapan mitigasi meliputi pengamanan ketat akses jaringan.
Bagi kontroler pendingin yang sudah telanjur disusupi, tindakan pemulihan harus segera diupayakan secara menyeluruh.
Perangkat yang telah berstatus akhir masa pakai (EOL) dan tidak lagi memperoleh pembaruan tambalan keamanan memiliki risiko peretasan yang amat tinggi apabila tetap tersambung ke jaringan luar, tegas peringatan itu. Dalam situasi tersebut, penyetelan ulang ke pengaturan pabrik semata sama sekali tidak memadai: langkah tersebut memang menghapus jejak akses penyusup, namun kerentanan mendasar tetap terbuka sehingga perangkat dipastikan akan kembali dibobol.