Francouzská vláda tvrdí, že za říjnovým útokem na chladicí systémy stovek supermarketů stojí kybernetická jednotka íránských revolučních gard, a žádá další evropské sankce. Spojené státy se k ní okamžitě přidaly. Jenže když se člověk podívá, na čem obvinění stojí, najde podobnost s dřívějšími útoky, perštinu v kódu a íránské IP adresy. Totéž platí pro oba starší případy, kterými Paříž dokládá, že Írán francouzské zájmy napadá dlouhodobě. Přičtení útoku zpochybňují i dva hosté: advokátka pro občanské svobody a výzkumník v oboru kybernetické bezpečnosti.
Paříž viní Írán a chystá sankce
Podle francouzské vlády se hackeři v říjnu dostali k řízení chlazení ve více než 700 prodejnách. Útok způsobil požáry, zničil potraviny a škody se počítají v desítkách milionů eur. Paříž stopy připisuje jednotce Šahíd Kave, kybernetické složce íránských revolučních gard, kterou z podobných akcí obviňuje už roky. Pachatelé si podle této verze nezměnili ani jméno, ani IP adresu a v kódu zůstaly perské znaky.
Francie chce nové evropské sankce proti íránským osobám a organizacím, které označila za odpovědné. Washington ji podpořil a ministr zahraničí Marco Rubio dal najevo, že další sankce přijdou tak jako tak. Íránský ministr zahraničí Arakčí obvinění odmítl jako absurdní. Paříž ale nový případ využívá k širší obžalobě: Írán prý francouzské zájmy napadá soustavně a jako doklad slouží dva starší útoky.
Pikantní je i terč. Ve Francii existují celé obchodní řetězce, například Picard, které prodávají jen mražená hotová jídla. Útok na chlazení tak míří na něco, co Francouzi berou velmi vážně, a obvinění tím získává na emocionální váze.
První precedens: Charlie Hebdo a slovo věříme
V roce 2023 otiskl satirický týdeník Charlie Hebdo sérii karikatur zesměšňujících íránského nejvyššího vůdce. Teherán je veřejně odsoudil a předvolal francouzského velvyslance. O několik dní později redakce oznámila, že byla hacknuta a přišla o důvěrné dokumenty. Útočníci tvrdili, že mají osobní údaje více než 200 000 zákazníků časopisu, a nabízeli je na internetu k prodeji.
Za Írán útok označil Microsoft. Ve své zprávě ale nic nedokazuje, jen píše, že „věří“, že za útokem stojí skupina napojená na íránský stát, protože se podobá jiným íránským útokům. Je to argument kachny: vypadá to jako kachna, tak to bude kachna. Microsoft navíc dodává software Evropské unii i francouzskému státu, takže nezávislým pozorovatelem není.
Evropská unie pak v březnu 2023 vydala zprávu o kybernetické bezpečnosti, podle níž za útokem stál Írán. Žádné vlastní vyšetřování ale nezveřejnila a odkázala na atribuci Microsoftu. Nepřidala forenzní důkazy, technickou analýzu ani doklad, že útok řídil íránský stát. Microsoft něco tvrdí, unie tvrzení převezme a z hypotézy se stává hotová věc.
Druhý precedens: obrazovky během olympiády
Druhým precedentem je útok z léta 2024. Podle francouzské rozvědky pronikli hackeři v červenci do systémů firmy, která spravovala digitální reklamní obrazovky. Chtěli na nich zobrazit protest proti účasti Izraelců na olympijských hrách, což se jim nepodařilo. Úřady průnik odhalily 25. července a zastavily ho.
Za Írán svědčily nástroje dříve spojované se skupinou Emennet Pasargad, dvě IP adresy íránských poskytovatelů a skutečnost, že obrázky určené pro obrazovky se v perštině objevily na Instagramu, na síti X a v íránských novinách. VPN a internetový překladač má ale k dispozici kdokoli. V říjnu 2024 přidaly FBI, americké ministerstvo financí a izraelské národní kybernetické ředitelství společnou zprávu, která útok připsala téže skupině. Na rozdíl od unijního dokumentu obsahuje technické indikátory, ale ani ona nezveřejňuje důkazy o tom, že útok řídila íránská vláda. Francie oba případy přesto předkládá jako uzavřené.
Čtyři důkazy francouzských úřadů
Zprávu o útoku na chlazení podepsalo pět francouzských státních institucí. Na podporu závěru, že stopy vedou k jednotce Šahíd Kave, uvádí čtyři body. Útočníci použili infrastrukturu a postupy podobné dřívějším útokům. Použili veřejně dostupný skenovací nástroj FOFA, s nímž tato skupina běžně pracuje. Útok zveřejnil web, který Francie považuje za propagandistický kanál skupiny. A v infrastruktuře se našly stopy perštiny.
Ani jeden z těchto bodů sám o sobě nedokládá, že útok nařídila íránská vláda, a slibované technické souvislosti zpráva nezveřejňuje. Pachatelem je navíc vždy přesně ten, koho Západ zrovna potřebuje. Nikdy to není třeba Lucembursko.
Na sociálních sítích obvinění zesměšňují i řadoví uživatelé. Jeden z komentářů se ptá, jak je možné vystopovat hackerskou skupinu až k její národnosti, ale nepodařit se znovu zapnout lednice.
Sankce dopadnou na obyčejné Íránce
Útok na zásobování potravinami je silnější argument než napadený časopis, a tím je účinnější i při přípravě půdy pro válku s Íránem. Ta začíná vždy sankcemi. Sankce přitom nejsou neutrální krok, ale „sankce hromadného ničení“: škodí obyčejným Íráncům, kteří s útokem nemají nic společného. I kdyby za ním stála skupina z Íránu, pořád nejde o íránský lid.
Za Obamovy vlády se sankce dramaticky rozšířily na íránské bankovnictví, vývoz ropy a přístup na mezinárodní finanční trhy, Trumpova administrativa je ještě přitvrdila. Výsledkem je, že úspory Íránců ztrácejí hodnotu, kupní síla se hroutí, firmy nemohou konkurovat ve světě a hůř dostupné jsou i léky. Vláda v Teheránu přitom zůstává u moci. Teď chce Francie, aby Írán dál trestala celá Evropa, a Washington, který by tak učinil i bez nového obvinění, souhlasí. Jde o snahu získat souhlas veřejnosti s válkou, která je na celém Západě nepopulární.
Hackeři z Íránu nejsou íránská vláda
Advokátka pro občanské svobody Jenin Younesová se specializuje na americké ústavní právo, ne na mezinárodní, ale podle ní by sankce na základě takového obvinění neměly být možné a nejspíš jsou v rozporu s mezinárodním právem. Upozorňuje na převrácenou logiku: vlády, zvláště evropské, omezují svobodu projevu s odůvodněním, že se nepodložené zvěsti šíří rychle a škodí lidem, a samy přitom šíří nepodložená obvinění se mnohem větší silou, než má kterýkoli jednotlivec.
Protiváhou jsou podle ní nezávislá média, která vyrostla díky sociálním sítím, zatímco tradiční média se posledních dvacet let chovají jako prodloužená ruka vlád a stran. Výkonná moc se podle ní vymkla kontrole ve Spojených státech i ve Francii.
Že by za útokem stály íránské státní orgány, nevylučuje, nic ale podle ní nenasvědčuje tomu, že by ho řídila íránská vláda. I kdyby šlo o hackery sídlící v Íránu, je to něco jiného než íránská vláda. Zřetelná je naopak snaha vyvolat vůči Íránu nevraživost a strach, aby lidé na Západě přijali intervenci v zemi. Celé to podle ní vypadá jako ukazování prstem na Írán, které má ospravedlnit zahraniční politiku.
Zabavené telefony po návratu ze Středního východu
Younesová zastupuje několik lidí, jimž americké celní a hraniční orgány po návratu do země zabavily telefony a notebooky a prohledaly je. Často jde o lidi, kteří veřejně kritizovali americkou politiku na Blízkém východě. Jedním z nich je novinář Max Blumenthal, kterému zařízení vzali po reportážní cestě do Íránu, kde stejně jako mnozí další novináři včetně reportérů CNN informoval o pohřbu ajatolláha Chameneího. Nikdo z ostatních novinářů podle ní prohlídku nepodstoupil.
Úřady se odvolávají na takzvanou výjimku pro prohlídky na hranici: když smějí prohledat zavazadla, smějí prý projít i obsah telefonu. Nejvyšší soud USA přitom v roce 2014 rozhodl, že k prohlídce telefonu je potřeba soudní příkaz, a na hraniční výjimku se přímo nevyjádřil. Younesová tvrdí, že na chytré telefony se nevztahuje. Jejím smyslem je zabránit dovozu drog, výbušnin či vstupu lidí, kteří do země nesmějí, ne nahlížet do hlavy cestujících. V Blumenthalově případě proto žaluje stát pro porušení čtvrtého a prvního dodatku ústavy, protože prohlídka podle všeho cílila na jeho názory. Její tým spustil i portál, kam mohou podobné případy hlásit lidé, kteří nejsou veřejně známí. Často jde o Američany s blízkovýchodními kořeny nebo o účastníky protestů proti válce v Gaze.
Ekonomická bolest jako cíl
Ministr zahraničí Rubio se chlubí, že ekonomická bolest, kterou sankce Íránu působí, je mimořádná, roste každým dnem a časem se zhoršuje. Younesová reaguje, že jde o lidi včetně dětí, kteří budou trpět a hladovět, a představitelé USA o tom mluví s hrdostí. Připomíná, že při jednom z prvních úderů na Írán letos zahynulo podle ní přes 150 školaček. Tuto válku by Spojené státy podle jejího názoru vůbec neměly vést, protože ji vedou ve prospěch Izraele a škodí americkým lidem, americké ekonomice i Íráncům.
Za odpovědnost by se podle ní mělo jít k soudu, jenže Spojené státy uznávají Mezinárodní trestní soud jen tehdy, když se hodí: rády ho využijí proti zemím, které nemají v oblibě, ale ne proti sobě a svým spojencům včetně Izraele.
Atribuce je nejtěžší disciplína kyberbezpečnosti
Sean O'Brien, výzkumník v oboru kybernetické bezpečnosti spojený s Yale Law School a zakladatel firmy Ivy Cyber, připomíná historický kontext. Nejde o první případ, kdy vláda svaluje vinu na národního strašáka, a dlouho se navíc mluvilo o tom, že za útokem stojí Rusko, nikoli Írán. Atribuce je podle něj jeden z nejtěžších problémů kybernetické bezpečnosti, zvlášť když jde o státní aktéry.
Francouzskou zprávu si přečetl. Má asi tři strany, na konci fotografie hledaných a žádné technické informace. Je tedy velmi tenká. Neznamená to, že důkazy neexistují, jen je nikdo nepředložil. Zpráva mu připomíná zprávy amerických tajných služeb o ruském vměšování do voleb z let 2016 a 2017, které odkazovaly samy na sebe a technické podrobnosti neuváděly. O jejich věrohodnosti dnes existují vážné pochybnosti.
Od Stuxnetu po napodobenou perštinu
Celá kauza se odehrává na pozadí toho, že Spojené státy s Izraelem vedou v Íránu aktivní kybernetickou válku, a moderní kybernetickou válku možná i zahájily. V roce 2010 zasáhl Stuxnet řídicí rozhraní centrifug v íránském jaderném zařízení. Šlo o průmyslová rozhraní, nijak vzdálená řídicím jednotkám komerčních chladicích boxů. Únik dokumentů Vault 7 a Vault 8 přes WikiLeaks v roce 2017 navíc ukázal, že americké tajné služby umějí vydávat se za perštinu. Stopy, které ukazují na Írán, proto mohou být i podvržené. Totéž platí pro azbuku ve zdrojovém kódu, kterou O'Brien viděl v jiných případech. Takové indikátory nelze odmítnout, ale nesmějí být jediným vodítkem.
Útoky na chlazení se objevily i v Irsku, Lucembursku a Belgii, podrobnou zprávu ale vydala jen Francie. Motiv pro Írán tu O'Brien nevidí. Určitou logiku by měly útoky na americké vojenské základny a v srpnu skutečně zasáhla vlna útoků na chladicí jednotky základen.
Výchozí hesla a lavina zranitelností
Takové chladicí jednotky často běží s výchozím heslem, které je u daného modelu všeobecně známé, takže k jejich napadení nepotřebuje nikdo státní aparát. O'Brien k tomu dodává, že za poslední tři až čtyři týdny bylo nahlášeno tři až pět procent všech zranitelností, jaké kdy byly v počítačových systémech zveřejněny. Jde o exponenciální nárůst. Bezpečnostní specialisté narychlo záplatují systémy a jeho projekt PrivacySafe zveřejnil volně dostupné opravy. Kdokoli si přitom dnes může s pomocí jazykového modelu typu ChatGPT, Claude Code nebo Copilot sestavit útok a zasáhnout spoustu zranitelných systémů.
Průmyslové řídicí jednotky patří k nejzranitelnějším. Je pošetilé, že jsou vůbec připojené k internetu. Bezpečnější by byly izolované sítě, jenže firmware zařízení internetu věcí nikdo neaktualizuje, stejně jako babička neaktualizuje chytrou televizi. Právě proto je O'Brien s atribucí opatrný. A vysvětlení může být i domácí: Francie prochází obdobím neklidu a za sabotáží mohou stát skupiny, které chtějí rozvrátit společnost.
Státní hackeři, Microsoft a uniklé kybernetické zbraně
Ani útok na Charlie Hebdo nemusel být řízen shora. Teroristické buňky jednají bez centrální koordinace a stejně tak hackerské skupiny. O'Brien proto odmítá předpokládat státní rozkaz, dokud ho nevidí doložený. Příkladem je Equation Group, skupina se sofistikovanými útoky včetně malwaru Flame nasazeného v Íránu a na Blízkém východě, o níž se dlouho nevědělo, kdo za ní stojí. Nakonec se ukázalo, že jde o útvar NSA zvaný Tailored Access Operations. Nejlepší kybernetické schopnosti na světě mají podle něj Spojené státy.
Microsoft přitom podle O'Briena spolupracuje se zpravodajskými službami, a to včetně zadních vrátek v softwaru. Sám se hlásí k Free Software Foundation a přiznává, že je v tom zaujatý. Uzavřený software staví bezpečnost na utajení, což je klam: zranitelnosti z posledních týdnů se daly rychle opravit právě tam, kde je zdrojový kód veřejný. Varovným příkladem je EternalBlue v síťovém sdílení Windows. Po jeho úniku v roce 2017 vznikla epidemie WannaCry, která způsobila škody v miliardách dolarů a ohrozila i pacienty v nemocnicích. Microsoft záplatoval pozdě, až když zbraň používali zločinci. Podobně mohou i útočníci na francouzské chlazení, ať jsou z Íránu, nebo ne, používat nástroje z arzenálu kybernetických zbraní, které NSA hromadí. Proto by vlády neměly úmyslně oslabovat software kvůli vlastním exploitům.
Chladicí boxy v cloudu
Že se dá vyřadit chlazení najednou ve stovkách prodejen, O'Briena nepřekvapuje. Chladicí boxy jsou nejspíš napojené na centrální cloudový panel, třeba v Amazon AWS, protože obchodní řetězce přestaly provozovat vlastní systémy a vlastní bezpečnostní tým a jednotlivé prodejny už nejsou oddělené celky. Jedním z důvodů je sledování zákazníků. Reklamní sledování podle něj jde ruku v ruce se státním a zároveň oslabuje systémy, protože propojuje zařízení, která propojená být nemusejí. Elektronické cenovky v regálech některých amerických obchodů fungují jako bluetoothové majáky, které sledují zákazníky po prodejně.
Útoky, které se mohou vrátit domů
Čím víc Spojené státy rozdmýchávají konflikty, tím víc se kybernetická válka vrátí domů. Francouzský případ ukazuje, jak zranitelné jsou propojené systémy, i když šlo „jen“ o hospodářské škody a zkažené potraviny. S kamerovými systémy po celých městech a jejich napojením na řízení semaforů hrozí výpadky v rozsahu, na který nikdo není připraven. Umělá inteligence navíc umožňuje snadno předělat jeden útok na jiné prostředí, jiný operační systém nebo jiné počítače. Obranou je přestat vyvíjet exploity, usilovat o „kybernetický mír“ a vrátit se k mezinárodnímu řádu, místo aby se Spojené státy chovaly jako státní darebák.
Věrohodnost: tři body z deseti
Na otázku, nakolik je věrohodná verze Francie a USA, dává O'Brien na desetibodové stupnici tři. Při pátrání po důkazech ruského vměšování z roku 2016 našel nanejvýš drobnou špionáž a znehodnocení několika webů. Je možné, že íránská skupina nějakou sabotáž provádí, ale pochybuje, že celý příběh nebo všechno, co se jí připisuje, je pravda. Zarážející je i načasování ve chvíli, kdy se americká politika vůči Íránu dostává do defenzivy. A i kdyby obvinění platilo, je třeba dbát, aby nevedlo k eskalaci války v regionu nebo k přímému zapojení Francie.
Co zůstává otevřené
Útok na chlazení francouzských supermarketů se skutečně stal a škody jsou značné. Otevřená zůstává otázka, kdo za ním stojí. Veřejné podklady zatím tvoří podobnost s dřívějšími útoky, běžně dostupný nástroj, propagandistický web a stopy perštiny. Stejně slabé jsou i oba precedenty, o které se obvinění opírá. Sankce, jimiž na něj Evropa a Spojené státy odpovídají, přitom dopadnou na celou íránskou společnost.
