50 درجة مئوية في خزانة عرض الأغذية المجمّدة: الليلة التي تحولت فيها أنظمة التبريد إلى أجهزة تسخين

تجبر الهجمات على أنظمة التبريد متاجر السوبرماركت الأوروبية على التخلص من الأغذية. وتكشف هذه الحوادث عن احتمال مقلق: حتى وظائف التشغيل العادية يمكن أن تتسبب في أضرار. لذلك، لا يقتصر السؤال الحاسم على كيفية دخول المهاجمين، بل يشمل أيضًا ما الذي يستطيع إيقافهم بعد دخولهم.

أول علامة هي بركة ماء.
صباح الاثنين، 2 نوفمبر 2026، يدخل ماتس أولسون متجره التابع لسلسلة ICA في بودا، على جزيرة أولاند السويدية، ليجد الماء على الأرض. ويقول لهيئة البث السويدية SVT إن حرارة نظام التجميد لديه بلغت 55 درجة مئوية، وإن مخزون الأغذية المبردة والمجمّدة قد تلف. يظل المتجر مفتوحًا، لكن المنتجات الغائبة هي بالضبط تلك التي صُممت تجهيزاته لإبقائها باردة.

وفي ستوكهولم أيضًا، تبدأ الحادثة في جوف الليل. فبحسب مديرة المبيعات إنغلا إنغوال، يبدأ الهجوم على أنظمة التجميد في متجر ICA الذي تعمل فيه قرابة الثانية صباحًا، ولا يُكتشف إلا بعد ساعات. وفي حديثها إلى Reuters، تتحدث عن حرارة بلغت 50 درجة مئوية ومخزون تالف. وعندما يُكتشف العبث الرقمي، تكون العمليات الفيزيائية قد أحدثت الضرر بالفعل.

وخلال يوم 2 نوفمبر، ترد تقارير مماثلة من بلجيكا ولوكسمبورغ وإستونيا. وفي هولندا، تؤكد Danfoss لهيئة NOS أن ما لا يقل عن 17 منشأة تأثرت، بينها متاجر بقالة صغيرة ومستودع للأغذية المجمّدة. وقبل ثلاثة أسابيع، كان هجوم مشابه قد أصاب مئات المتاجر في فرنسا. وحتى وقت كتابة المقال، لم تكن المعلومات العلنية تحسم ما إذا كان المهاجمون أنفسهم وراء هذه الوقائع.

لكن السؤال المباشر لا يتوقف على تحديد هوية المهاجمين: كيف يتحول نظام صُمم للتبريد إلى مصدر للحرارة؟ الإجابة تكمن في وظيفة مخصصة لتشغيله الطبيعي.

الآلة تنفذ ما يُطلب منها. لكن لحساب الشخص الخطأ.

قد يتراكم الجليد على مبخّر نظام التبريد. ويجب إزالته بانتظام للحفاظ على كفاءة التبادل الحراري. وبحسب التصميم، تتم إزالة الجليد إما بإيقاف التبريد مؤقتًا، وإما بإدخال الحرارة بصورة نشطة، باستخدام عناصر تسخين كهربائية أو وسيط تبريد ساخن. لذلك، يستطيع نظام التبريد توليد الحرارة أو إدخالها عمدًا. وخلال دورة إزالة جليد طبيعية، لا يُعد ذلك عطلًا.

العوامل الحاسمة هي المدة، وتسلسل التشغيل، والحدود. ففي الحوادث البلجيكية، أفادت شركة خدمات التبريد Sabcobel بأن المبخّرات حُوّلت عن بُعد إلى وضع إزالة الجليد. لم يحتج المهاجمون إلى ابتكار وظيفة جديدة للآلة، بل وجّهوا وظيفة موجودة أصلًا ضد الغرض الذي أُنشئ النظام من أجله.

خلف خزانة عرض مبردة، توجد غالبًا منظومة تحكم هرمية كاملة. تعمل وحدات التحكم المحلية مع الحساسات والصمامات، بينما تجمع وحدة إدارة نظام في مستوى أعلى المعلومات ويتيح الإدارة عن بُعد. ويضم جهاز Danfoss AK-SM 800A الذي فحصته Claroty واجهة ويب مدمجة لإدارة حدود الحرارة، والجداول الزمنية، والإنذارات، وحسابات المستخدمين، إلى جانب وظائف أخرى. هذا يوفر على الفني زيارة الموقع، لكنه يمنح أي شخص يمتلك صلاحيات الوصول اللازمة قدرة كبيرة على التحكم.

تنتمي هذه الأنظمة إلى التكنولوجيا التشغيلية، أو OT: أي التكنولوجيا التي تراقب العمليات الفيزيائية أو تؤثر فيها. هنا، لا يقتصر أثر الأمر على تعديل سجل بيانات. فقد يحدد ما سيفعله صمام أو محرك أو عنصر تسخين في الخطوة التالية.

لا يتطلب تغيير العملية بطريقة ضارة بالضرورة السيطرة على نظام التشغيل. فقد يكفي امتلاك صلاحيات تشغيل كافية. وفي إطار ATT&CK لأنظمة التحكم الصناعية، تصف MITRE هذا النمط باسم «Modify Parameter» ‏(T0836): تؤدي معلمات التشغيل المعدّلة إلى جعل وحدة تحكم سليمة في الجوانب الأخرى تنفذ تسلسلًا غير مرغوب فيه من العمليات. وهذا وحده لا يثبت ما إذا كانت برمجيات خبيثة قد استُخدمت أيضًا في هذه الحوادث.

هذا التمييز مهم. فمن يبحث فقط عن الملفات الخبيثة قد تفوته عملية تحكم خبيثة. قد يكون الأمر صحيحًا من الناحية الشكلية، وقد يعالجه البرنامج بصورة صحيحة، ومع ذلك ينفذ الجهاز فعلًا خاطئًا. مؤشر الحالة الأخضر لا يخبر إلا عن الشيء الذي يراقبه فعلًا. عبارة «النظام يعمل» لا تعني أن «العملية تحت السيطرة».

وتحتاج أرقام الحرارة اللافتة إلى الدقة نفسها. فلا يجوز الخلط بين درجات الحرارة المحددة في الإعدادات، وحرارة المبخّر، وحرارة الهواء، وحرارة المنتجات. تعديل إعداد الحرارة إلى 50 درجة مئوية لا يثبت أن الأغذية نفسها بلغت هذه الدرجة. ويُظهر متجر تأثر بالهجوم في إستونيا هذا الفارق: فرغم ضبط الحرارة على 50 درجة مئوية، بقي الارتفاع الفعلي المبلّغ عنه محدودًا. وكانت سرعة الاستجابة هي العامل الحاسم هناك.

الباب الجانبي الذي يتجاوز حماية تقنية المعلومات المؤسسية

ليس من الضروري أن يمر الطريق إلى نظام التبريد عبر الشبكة المركزية للمؤسسة. فقد قالت ICA إن اتصالات المتاجر المتضررة كانت تعمل خارج تلك الشبكة. وهذا ليس تقرير تحقيق جنائي رقمي متكاملًا. لكنه يفسر لماذا لا تؤمّن حتى بنية تقنية المعلومات المؤسسية المحمية على نحو احترافي كل منفذ صيانة في كل متجر تلقائيًا.

يمكن أن يكون النظام منفصلًا عن شبكة نقاط البيع، ومع ذلك يحتفظ باتصال غير محمي بالعالم الخارجي. ويحذّر المركز الوطني للأمن السيبراني البريطاني NCSC صراحة من مسارات اتصال إضافية قد ينشئها مقدمو الخدمات، مثل وصلاتهم الخلوية الخاصة. ومن يفحص اتصالات الشركة المعروفة فقط قد يغفل هذه المنافذ. المهم هو الاتصال الفعلي بوحدة التحكم، لا الموضع الذي تنتهي عنده مسؤولية فريق وتبدأ مسؤولية فريق آخر.

وثّق فريق Team82 التابع لـClaroty الحجم المحتمل لسطح الهجوم هذا من خلال استعلام كشف عن 2,765 جهازًا من المنصة التي فحصها يمكن الوصول إليها عبر الإنترنت. كانت هذه لقطة لحالة الانكشاف في وقت محدد، وليست قائمة بمتاجر سوبرماركت مخترقة. لكنها تنقض الافتراض المطمئن بأن واجهات الإدارة هذه تكون دائمًا مخفية داخل شبكات مؤسسية مغلقة.

وفي هولندا، تشير التقارير المتاحة حتى الآن إلى قصور في الحماية أكثر مما تشير إلى هجوم تقني متقدم غير معروف. فقد قال متحدث باسم Danfoss لهيئة NOS إن الأنظمة المتضررة كانت تستخدم كلمات مرور افتراضية، ولم تكن متصلة عبر شبكة محمية. وأضاف أن الشركة المصنّعة كانت قد أوصت بإلغاء إمكانية الوصول المباشر إلى الأجهزة من الإنترنت بعد الحادثة الفرنسية. هذه رواية الشركة المصنّعة، وليست إعادة بناء مستقلة لكل حالة.

وتوجد أيضًا ثغرات موثّقة في المنتجات. ففي سلسلة AK-SM-8xxA، تدرج Danfoss الثغرة CVE-2025-41450 بوصفها مشكلة في المصادقة تؤثر في الإصدارات السابقة لـ4.2. وفي الإصدارات السابقة لـ4.3.1، تصف CVE-2025-41451 احتمال تنفيذ أوامر على مستوى نظام التشغيل، بينما تتعلق CVE-2025-41452 بإمكانية العبث بإعدادات خادم الويب، بما قد يؤدي إلى حجب الخدمة. وتتطلب الثغرتان الأخيرتان نجاح المصادقة مسبقًا.

كما وصف Team82 آلية بديلة لتسجيل الدخول، هي «Code of the Day»، كان من الممكن أن تتجاوز إجراء تسجيل الدخول المعتاد. والمشكلة الأساسية هي أن كلمة مرور قوية للمسؤول لا تحمي من كل خلل في آلية وصول إضافية.

لا تتيح المصادر العلنية التي جرت مراجعتها تحديد أي من هذه الثغرات استُغل في الهجمات الحالية، أو حتى ما إذا استُغلت إحداها أصلًا. ولا يجوز أيضًا الخلط بين عائلات المنتجات: إذ يذكر CERT-FR أنظمة Danfoss AK-SM وAK-SC، إضافة إلى أنظمة XWEB من Copeland وDixell. لذلك، لا يفسر معرّف CVE واحد جميع الحوادث.

وثمة مشكلة أخرى تبقى غير مرئية في صالة البيع: تقادم المعدات. فبحسب الشركة المصنّعة، بلغ جهاز Danfoss AK-SM 800 الأقدم نهاية دورة حياة المنتج في مايو 2021. وفي أكتوبر 2025، أكدت Danfoss مجددًا انتهاء دعم المنتجات القديمة المعنية. ولا ينبغي الخلط بين وحدة إدارة النظام هذه ومنصة 800A الأحدث. فتحديثات المنصة الجديدة لا يمكن تطبيقها ببساطة على كل جهاز قديم.

قد تواصل المعدات عملها ميكانيكيًا حتى بعد توقف دعم وحدة التحكم الرقمية فيها. وعندئذ، تصف عبارة «ما زالت تبرّد» وظيفتها الحالية، لا أمان منفذ الصيانة الخاص بها.

ما الذي يستطيع إيقاف مهاجم سجّل دخوله بالفعل؟

ينبغي أن يحمي خط الدفاع الأول الوصول إلى واجهة الإدارة: لا انكشاف مباشر على الإنترنت، ووصول آمن عن بُعد، وحسابات فردية، ومصادقة متعددة العوامل مقاومة للتصيد كلما أمكن. ويوصي CERT-FR وNCSC بهذا النهج. فهو يصعّب الوصول الأولي. لكن البنية القادرة على الصمود يجب أن تجيب بعد ذلك عن سؤال ثانٍ: ما الذي يستطيع المهاجم فعله فعليًا عبر مسار وصول مخترق؟

تتحقق المصادقة من بيانات الاعتماد. ويحدد التخويل الإجراءات التي يُسمح للحساب بتنفيذها. أما التحقق من معلمات التشغيل، فيجب أن يضمن ألا يدفع تغيير مسموح به العملية إلى خارج ظروف التشغيل المعتمدة. هذه الوظائف الثلاث لا تحل إحداها محل الأخرى. لذلك، تدعو MITRE إلى صلاحيات تعديل قائمة على الأدوار، وإلى التحقق من القيم المرسلة مباشرة داخل منطق التحكم.

وفي أنظمة التبريد، يعني ذلك أن حساب الصيانة المسموح له بطلب دورة إزالة جليد لا ينبغي أن يتمكن تلقائيًا من تغيير كل حد يقيّد هذه الدورة. فالاطلاع على حالة التشغيل، وتنفيذ إجراءات التحكم الاعتيادية، وتغيير إعدادات الحماية تتطلب صلاحيات مختلفة. مفتاح رئيسي يفتح كل الأبواب يحوّل اختراق هوية واحدة إلى مشكلة أكبر بكثير.

هذه الحدود ليست فكرة مجردة. فوثائق وحدة التحكم Danfoss AK-CC 750، مثلًا، تصف شروطًا مرتبطة بالحرارة والزمن لإنهاء دورة إزالة الجليد. وهذا لا يثبت أن هذه الوحدة استُخدمت في المتاجر المتضررة. لكنه يوضح الأسئلة التي يجب أن تطرحها المراجعة التقنية: ما الحدود الموجودة، وأين تُفرض، ومن يستطيع تغييرها؟

ليس كافيًا دائمًا فحص كل قيمة على حدة للتأكد من وقوعها ضمن نطاق رقمي مسموح. فاستراتيجية الحماية المتينة تحتاج أيضًا إلى مراعاة التفاعل بين المدة والتكرار وحالة النظام. وحدود التشغيل المعتمدة هي تلك التي يحددها المصنّع والتصميم الهندسي للمنظومة. نموذج إدخال في المتصفح لا يشكل حدًا أمنيًا كافيًا: يجب فرض التحقق في الموضع الذي تقبل فيه وحدة التحكم التغييرات وتعالجها فعليًا.

ومن المهم بالقدر نفسه تحديد مستوى الاختراق الذي صُممت الضوابط لتحمله. إساءة استخدام حساب مشغّل والسيطرة الكاملة على وحدة التحكم سيناريوهان مختلفان. قد يحدّ فحص برمجي محلي مما يستطيع حساب محدود الصلاحيات تنفيذه. لكن المهاجم الذي يسيطر أيضًا على البرنامج أو إعدادات حمايته قد يتمكن من تغيير الفحص نفسه. والنتيجة بالنسبة لمراجعة البنية واضحة: يجب أن تظل وسائل الحماية مستقلة في سيناريو الهجوم المدروس، لا في الهيكل التنظيمي فقط.

والسؤال الأعمق هو ما إذا كانت وظائف الحماية مستقلة حقًا. إذا كان الوصول الإداري نفسه يستطيع تغيير العملية وتعطيل حدودها، فهاتان الوظيفتان ليستا طبقتي حماية مستقلتين. وإذا أمكنه أيضًا تعديل سلوك الإنذارات، فيمكن للمهاجم عبر الوصول المخترق نفسه تأخير اكتشاف الهجوم. ويحذّر NIST صراحة من عدم كفاية الفصل بين وظائف التحكم والحماية في أنظمة OT.

وبالنسبة لنظام تبريد، يمكن استخلاص معيار واضح للمراجعة: تكون مراقبة الحرارة الإضافية مفيدة خصوصًا عندما لا تعتمد إعداداتها ومسار إيصال إنذاراتها اعتمادًا كاملًا على نظام الإدارة نفسه. فحساسان يشتركان في واجهة إدارة قابلة للاختراق لا يوفران، بمجرد وجودهما، طبقتي حماية مستقلتين. والإنذار ليس بديلًا عن آلية تفرض حدود العملية؛ فهو في البداية لا يفعل أكثر من تنبيه شخص إلى مشكلة.

وهذا يفسر أيضًا حدود النهج الذي يركز على الشبكة وحدها. يستطيع جدار الحماية حصر الاتصالات في نقاط نهاية وخدمات محددة. لكن ذلك لا يجعل كل إجراء تحكم داخل اتصال مسموح مناسبًا. فالفحص الأعمق للأوامر يحتاج إلى فهم البروتوكول وإمكانية الوصول إلى محتوى الأوامر. التشفير يحمي البيانات أثناء النقل، لكنه لا يثبت أن التعليمة المرسلة سليمة من الناحية التشغيلية.

لا توثّق التقارير العلنية بصورة كاملة أيًا من هذه الضوابط كان موجودًا في الأنظمة المتضررة، ولا أيًا منها أخفق. ومع ذلك، يبقى سؤال البنية دقيقًا: ما الوظيفة التي يستطيع الوصول عن بُعد تفعيلها، وما وسيلة الحماية اللاحقة التي لا تزال قادرة على منع تسلسل خطير من العمليات؟ يساعد المزيد من تقسيم الشبكة على حجب مسارات الاتصال غير المصرح بها. أما التصدي لإجراء تحكم خطير لكنه مسموح، فيتطلب أيضًا صلاحيات مناسبة وحدودًا للعملية.

الدقائق التي لا يزال بالإمكان خلالها منع الضرر

في إستونيا، انتهت الليلة بصورة مختلفة. فقد تأثر متجر Selver بعدما وصل مهاجمون إلى حاسوب التحكم في نظام قديم. وأفاد مقدم الخدمة بأنه استجاب خلال نحو عشر دقائق. وبحسب روايته، ارتفعت الحرارة الفعلية بمقدار درجتين إلى ثلاث درجات مئوية فقط، ولم تتضرر الأغذية. وقالت Selver إن هذا كان آخر موقع لم يُطبّق فيه النظام الأحدث بعد.

لكن عشر دقائق ليست هامش أمان يصلح لكل الحالات. فهذه الواقعة توضح مدى أهمية الوقت الذي يلي حصول المهاجم على الوصول. يجب أن يشمل التخطيط الاستجابة كاملة: اكتشاف الانحراف، وتقييمه، واتخاذ القرار، والتدخل بفعالية. ويجب إنجاز هذه الخطوات ضمن الوقت الذي لا تزال العملية المعنية تسمح به. فالإنذار الفوري قليل الجدوى إذا لم يكن هناك شخص مسؤول عن الاستجابة أو قادر على التحرك.

لذلك، ينبغي أن يبدأ الاكتشاف، حيثما أمكن، قبل أن يصبح تلف المنتجات ظاهرًا. دورة إزالة جليد ليلية ليست مثيرة للريبة في حد ذاتها. لكن التغيير يصبح أكثر دلالة إذا جاء من مصدر غير متوقع، أو خرج عن نطاق التشغيل المعتمد، أو لم يطابق أمر صيانة مؤكدًا. وتوصي MITRE بربط هذه الملاحظات ببيانات العملية اللاحقة. فليست القيمة الجديدة وحدها هي المهمة، بل ما يفعله الجهاز فعليًا بعدها أيضًا.

وفي أنظمة التبريد، قد تشمل المؤشرات الجديرة بالتحقيق مددًا غير معتادة لإزالة الجليد، أو تعديل عتبات الإنذار، أو انحرافات متزامنة في أجهزة متعددة. هذه أساليب محتملة للاكتشاف، وليست إعادة بناء لموجة الهجمات هذه. ويساعد السياق التشغيلي أيضًا على تجنب الإنذارات الكاذبة: فالاختبار المعتمد ينبغي تقييمه بشكل مختلف عن تغيير غير مفسر. لكن نافذة صيانة مجدولة لا ينبغي أن تصبح سببًا لتجاهل كل نشاط خلالها من دون فحص.

يجب أن تتيح السجلات إجراء هذه المقارنة. فالسجلات المفيدة تحدد الحساب المستخدم، والجهاز المتأثر، وما تغير، ومتى تغير. وحيث تتوفر المعلومات، ينبغي ربط القيمة السابقة وأمر الصيانة المعني بالتغيير أيضًا. وهذا يعكس مبدأ يؤكد عليه NCSC: تسجيل الأحداث ينبغي أن يدعم أهداف اكتشاف محددة، لا أن يكتفي بتكديس البيانات. والسجلات التي لا تُراجع إلا بعد وقوع الضرر لا توفر تحذيرًا في الوقت المناسب.

بعد ذلك، يجب أن يتمكن شخص ما من إيقاف التسلسل. ويوصي NCSC بخطط عزل مختبرة: أي اتصال يجوز حجبه؟ وما الوظائف التي يجب أن تستمر محليًا؟ وكيف يتولى مقدم الخدمة المسؤولية عند تعذر الصيانة عن بُعد؟ ليست الاستجابة الصحيحة بالضرورة قطع الكهرباء عن النظام كله. بل يجب أن تحمي الأشخاص وتنقل العملية إلى حالة محددة مسبقًا وقابلة للتحكم.

ويجب أن تحدد الخطة أيضًا ما الذي يظل قابلًا للمراقبة بعد العزل. فإذا أدى فصل الصيانة عن بُعد، عن غير قصد، إلى قطع قناة الإنذار الوحيدة، فقد فريق المناوبة المعلومات التي يحتاجها لتقييم الوضع. لذلك، لا يقتصر الاختبار على إمكانية إغلاق مسار الوصول، بل يشمل أيضًا قدرة المسؤولين بعد ذلك على معرفة ما إذا كان إجراء التصدي ينجح.

وثمة فرق يسهل إغفاله: عزل الشبكة لا يعيد تلقائيًا الإعدادات التي تغيّرت بالفعل إلى حالتها السابقة. فقد يمنع وصولًا جديدًا، بينما يواصل الجهاز العمل بالإعدادات المتلاعب بها. لذلك، يجب على المختصين التحقق ليس فقط من مسار الوصول، بل من حالة التشغيل الفعلية والإعدادات أيضًا. عبارة «لم يعد الوصول إليه ممكنًا» لا تعني زوال الخطر، تمامًا كما لا تعني ذلك عبارة «عاد إلى العمل».

وحيث يمكن فعل ذلك من دون إيجاد مخاطر إضافية، ينبغي حفظ السجلات والإعدادات ذات الصلة قبل إعادة الضبط. لكن حفظ الأدلة يجب ألا يؤخر إجراءات الحماية الضرورية. فاستعادة التبريد وحدها لا تنهي الحادث الأمني: يحذّر CERT-FR صراحة من الاكتفاء بإعادة ضبط الأجهزة القديمة المعرضة للاختراق ثم إعادتها إلى الإنترنت بلا حماية. فقد يترك ذلك نقطة الضعف الأصلية قائمة.

لذلك، يتطلب التعافي أكثر من مجرد إعادة تشغيل ناجحة. يجب أن تتوافق الإعدادات مع تهيئة مرجعية معتمدة، وأن تعود العملية الفيزيائية إلى العمل ضمن الحدود المقررة. تثبيت برنامج ثابت جديد وحده لا يثبت أن العملية عادت إلى تلك الحدود. وإغلاق الحادث يتطلب تحققًا تقنيًا وتشغيليًا معًا.

فالاستعداد ليس مسألة تقنية فقط. قبل وقوع الحادث، يجب أن يعرف المشغّلون ومقدمو الصيانة من يملك صلاحية حجب الوصول ليلًا، ومن سيتولى النظام في الموقع، ومن يتحمل مسؤولية التحديثات أو الاستبدال. إسناد الصيانة إلى جهة خارجية لا يلغي هذه المسؤوليات، بل يجعل الاتفاق الواضح على أدوار الأطراف أكثر أهمية.

في المرة القادمة التي تقف فيها أمام خزانة عرض مبردة، سترى الأغذية أولًا. وخلفها سلسلة من الحساسات والبرامج والصلاحيات والقرارات. لا يقتصر السؤال الأمني على البيانات التي يخزنها الجهاز، بل يشمل أيضًا ما يُسمح له بتغييره في محيطه، ومن يستطيع التدخل في الوقت المناسب لمنعه من تنفيذ الفعل الخطأ.

في أولاند، كشفت بركة ماء الحادثة. أما في إستونيا، فأفاد المشغّل بأن الأغذية لم تتضرر. وبين هاتين النتيجتين يكمن التحدي الأمني الحقيقي: اكتشاف الهجوم قبل أن يفضحه الضرر، والإبقاء على وسائل حماية فعالة حتى بعد حصول المهاجم على الوصول.

يمكن استعادة الإعدادات من نسخة احتياطية. لكنها لا تستطيع إلغاء الساعات التي مرّت من دون تبريد كافٍ.

لا يتطلب الهجوم السيبراني تدمير الآلة بالضرورة. أحيانًا يكفي أن يجعلها تنفذ الفعل الخطأ.