Chi c’è dietro gli attacchi hacker ai frigoriferi, secondo la Francia

L'attacco informatico che nella notte tra l'11 e il 12 ottobre ha mandato in tilt i sistemi di refrigerazione di centinaia di supermercati francesi sarebbe stato orchestrato dall'Iran. Nel corso di una conferenza stampa del G7 il ministro degli Esteri francese Jean-Noël Barrot ha attribuito la responsabilità alle Guardie Rivoluzionarie iraniane, definendo l'operazione "di portata e aggressione senza precedenti". La Francia ha già annunciato l'intenzione di promuovere sanzioni a livello europeo contro i responsabili. Secondo il quotidiano Le Figaro, a individuare una possibile matrice degli attacchi è stata la procura di Parigi.

Secondo la procuratrice Laure Beccuau, gli investigatori hanno riconosciuto un modus operandi riconducibile a Shahid Kaveh, un'unità di guerra informatica legata al Corpo delle Guardie della Rivoluzione Islamica (IRGC). Oltre all'utilizzo della lingua farsi, Beccuau ha citato indirizzi IP riconducibili a diversi dispositivi localizzati in Iran. La procura ha quindi già avviato un'indagine per accertare definitivamente quanto accaduro.

Cos'è il gruppo Shahid Kaveh

Shahid Kaveh è considerato uno dei gruppi più aggressivi dell'apparato cibernetico iraniano. Secondo le informazioni disponibili, sarebbe attivo almeno dal 2020 e opererebbe sotto l'ombrello delle Guardie Rivoluzionarie. Come riporta DomainTools, piattaforma dedicata allo studio delle minacce informatiche internazionali, il gruppo è associato alla figura Hamidreza Lashgarian, alto funzionario del Cyber-Electronic Command (IRGC-CEC) dei Pasdaran. Le attuali informazioni condivise dalla procuratrice Beccuau non lo hanno citato direttamente, ma è molto probabile che sia proprio lui uno dei nomi nel mirino delle indagini.  Il nome della cellula richiama invece Mohammad Kaveh, comandante dei Guardiani della rivoluzione islamica morto durante la guerra tra il regime di Tehran e l'Iraq nel 1986. Il termine "Shahid", significa invece "martire".

Le attività del gruppo sono varie e non si limitano al semplice furto di dati. La sua specializzazione riguarda soprattutto il sabotaggio di infrastrutture critiche attraverso l'accesso ai sistemi di controllo industriale centralizzati. Esattamente ciò che è successo con i frigoriferi in Francia e che, qualche settimana dopo, è stato ripetuto in altri Paesi europei, tra cui la stessa Italia. Una delle tecniche utilizzate consiste nell'individuare preventivamente le vulnerabilità delle infrastrutture attraverso attività di ricognizione, phishing e furto di credenziali, per poi sfruttarle in operazioni mirate che spesso si verificano a distanza di mesi rispetto all'intrusione iniziale.

In passato Shahid Kaveh è stato associato anche ad attacchi contro sistemi di distribuzione dell'acqua negli Stati Uniti, tra cui l'intrusione nell'impianto di Aliquippa, in Pennsylvania. Secondo Gérôme Billois, esperto della società di cybersicurezza Wavestone citato dal Guardian, il rischio è che le operazioni si estendano ad altri settori strategici. "Al momento stanno attaccando infrastrutture facili da colpire", ha osservato, avvertendo che sistemi idrici ed elettrici potrebbero diventare bersagli futuri.

Parallelamente, il gruppo opera anche un'intensa attività di propaganda attraverso CyberAv3ngers, una finta sigla di "hacktivisti patriottici" creata e gestita direttamente dall'intelligence militare iraniana. Attraverso canali social e piattaforme come Telegram, il collettivo diffonde immagini dei sistemi violati, rivendica gli attacchi e pubblica messaggi dai toni nazionalisti e anti-israeliani. Nel 2024, il Dipartimento del Tesoro degli Stati Uniti ha accusato sei cittadini iraniani di essere agenti attivi del gruppo e li ha inseriti nella lista delle persone fisiche sanzionate con divieti e congelamento dei beni.

Il ruolo di Shahid Kaveh nella guerra ibrida

Le rivelazioni di Parigi hanno inevitabilmente contribuito ad alzare il livello di guardia in tutto il continente. L'Europa sta infatti attraversando settimane particolarmente complicate sul fronte della cybersicurezza, tra allarmi bomba e attacchi informatici a infrastrutture strategiche. Esperti e istituzioni parlano ormai apertamente di una guerra ibrida condotta dai nemici del continente con l'obiettivo di destabilizzare le istituzioni e gettare la popolazione in un clima di costante insicurezza. Certo, nel calderone finiscono talvolta anche episodi che hanno ben poco a che vedere con scenari di questo tipo – ieri su Fanpage.it abbiamo raccontato, per esempio, dei risibili dati personali di Antonio Tajani finiti sul dark web – ma in altri casi la minaccia appare decisamente più concreta. Il caso francese sembra appartenere proprio a questa seconda categoria.

Al momento, tuttavia, è ancora presto per trarre conclusioni. Le indagini sono in corso e restano diversi punti da chiarire. L'agenzia Reuters ha per esempio citato tre persone a conoscenza dei fatti secondo le quali un'indagine privata di Microsoft aveva già collegato da settimane l'Iran al sabotaggio dei frigoriferi francesi. Non è poi ancora chiaro se la seconda ondata di incursioni nei sistemi di refrigerazione che ha interessato diversi Paesi europei abbia la stessa matrice, così come sono ancora da individuare i responsabili del tentato sabotaggio dei sistemi di gestione dei congelatori destinati alla conservazione del plasma della banca del sangue francese, avvenuto nella notte tra l'1 e il 2 novembre. Quel che è certo è che l'allerta resta elevata e l'UE dovrà necessariamente fornire una risposta adeguata alla domanda di sicurezza da parte dei suoi cittadini.