الأمن السيبراني للمباني المتصلة: عندما تتحول ثغرة رقمية إلى خطر مادي

لمن هذا المقال: المستغلون والمُدمِجون ومكاتب الدراسات والمسؤولون التقنيون أو المكلّفون بالمعلوماتية.

في ليلة الأحد 11 إلى الإثنين 12 أكتوبر 2026، اكتشفت مئات المتاجر الكبرى في فرنسا أن خزائن التبريد لديها دخلت في وضع إذابة الجليد القسرية.

هنا، لا يُقاس الخطر بالبيانات المفقودة فحسب، بل يُقاس أيضًا بدرجات الحرارة وبالبضائع وباستمرارية النشاط.

منتجات طازجة ومجمّدة اضطرت المتاجر إلى إتلافها، وسؤال ينبغي أن يطرحه قطاع البناء بأكمله:

ماذا يحدث عندما تؤثر ثغرة رقمية مباشرةً في منشأة مادية؟

ماذا حدث

في 12 أكتوبر، نشر ⁦CERT-FR⁩، فريق الاستجابة للحوادث التابع للوكالة الوطنية الفرنسية لأمن أنظمة المعلومات (⁦ANSSI⁩)، تنبيهًا رسميًا. وأشار فيه إلى علمه بـ«اختراقات عديدة» لوحدات التحكم عن بُعد في منشآت التبريد. ووسّع التحديث الصادر في 13 أكتوبر قائمة المعدات المعنية.

أما العواقب الميدانية فقد نقلتها الصحافة. فقد وصف مدير مجموعة كبرى للتوزيع خزائن تبريد «وُضعت في وضع إذابة الجليد» ورُفعت حرارتها «حتى 50 درجة» (⁦Public Sénat⁩، بالفرنسية).

ما نعرفه (حتى 14 أكتوبر 2026)

ما أكده ⁦CERT-FR⁩:

• يذكر ⁦CERT-FR⁩ أربع عائلات من المعدات: ⁦Danfoss⁩ من سلسلتي ⁦AK-SM⁩ و⁦AK-SC⁩، و⁦Copeland xweb⁩، و⁦Dixell xweb⁩.
• يرى ⁦CERT-FR⁩ أن حملات الهجوم «ما زالت جارية على الأرجح».
• يذكّر ⁦CERT-FR⁩ بأن تعريض واجهة إدارة على الإنترنت يتعارض مع الممارسات السليمة.

تصريحات نقلتها الصحافة:

• اعتبر المدير العام لـ ⁦ANSSI⁩ أنه من «العاجل» فصل هذه المعدات عن الإنترنت، أو تطبيق تصفية شبكية مشددة للغاية.
• تشير ⁦Danfoss⁩ إلى أن أغلب الوحدات المتضررة منتجات قديمة لم تعد تتلقى تحديثات برمجية أو أمنية.
• يوضح خبراء في الأمن السيبراني أن هذه الأنظمة كانت معرّضة على الإنترنت بسبب إعدادات خاطئة.

ما يبقى بحاجة إلى تأكيد

• العدد الدقيق للمتاجر المتضررة، إذ يختلف من مصدر إلى آخر.
• الطريقة الدقيقة لوصول المهاجمين: لا يذكر تنبيه ⁦CERT-FR⁩ أي ثغرة ولا أي معرّف ⁦CVE⁩.
• هوية المهاجمين ودوافعهم.
• الحجم الدقيق للأضرار، بما يتجاوز خسائر البضائع التي أعلنت عنها المتاجر.

لا يسعى هذا المقال إلى إعادة بناء سيناريو الهجوم، بل إلى فهم ما يكشفه لكل من يصمّم المنشآت الفنية أو يدمجها أو يستغلها.

وحدة التحكم الفنية ليست مجرد جهاز معلوماتي

في المبنى، تربط بعض المعدات بين العالم الرقمي والعالم المادي:

• أجهزة الإشراف على التبريد، التي تنسّق بين الضواغط والمراوح ومقاومات إذابة الجليد والحساسات؛
• وحدات التحكم في التدفئة والتهوية والتكييف، التي تدير هذه الأنظمة؛
• بوابات الاتصال، التي تربط بين بروتوكولات مختلفة؛
• أنظمة الإشراف لإدارة المباني الفنية (⁦GTB⁩)، التي تجمع القيم المرجعية والإنذارات والسجلات.

في المعلوماتية الإدارية (⁦IT⁩)، قد يؤثر الاختراق في البيانات أو الهويات أو توفر الخدمات.

أما في الأنظمة الفنية (⁦OT⁩)، فقد يغيّر أيضًا مباشرةً طريقة عمل المعدات: قيمة مرجعية، أو دورة تشغيل، أو درجة حرارة، أو حالة أمر. وتُقاس العواقب حينها في العالم المادي: بساعات التوقف، وبالخسائر المادية، وأحيانًا بالمخاطر على سلامة الأشخاص.

دراستان أمنيتان، ودرس واحد

قبل هذه الحادثة بوقت طويل، كان باحثون في الأمن قد وثّقوا ثغرات في هذا النوع من المعدات. ومن أبرز ذلك منشوران لفريق ⁦Team82⁩ التابع لشركة ⁦Claroty⁩.

يصف المنشوران منتجين مختلفين وآليتين مختلفتين. ولا يسمح أيّ منهما، في هذه المرحلة، بالاستنتاج بأن الثغرات المدروسة استُغلّت في الحادثة الفرنسية.

الإشراف على التبريد: ⁦Danfoss AK-SM 800A⁩

في 9 أغسطس 2026، نشرت ⁦Claroty⁩ تحليلًا أمنيًا لمدير الأنظمة ⁦Danfoss AK-SM 800A⁩، المستخدم في الإشراف على منشآت التبريد التجاري. وتُعدّ سلسلة ⁦AK-SM⁩ من عائلات المعدات التي ذكرها ⁦CERT-FR⁩.

• 3 ثغرات موثّقة: تجاوز للمصادقة يتيح الحصول على معلومات حساسة، وحقن للأوامر يتيح تنفيذ تعليمات برمجية، وخلل في الإعدادات قد يؤدي إلى حجب الخدمة. وتتطلب الثغرتان الأخيرتان أن يكون المهاجم قد سجّل الدخول مسبقًا.
• يفيد الباحثون بأنهم رصدوا عدة آلاف من واجهات الإدارة المعرّضة على الإنترنت.
• أصدرت ⁦Danfoss⁩ البرنامج الثابت ⁦R4.3.1⁩ لتصحيح الثغرات الموصوفة (النشرة الأمنية ⁦DSA-2025-08-01⁩). وينبغي التحقق من المعدات المعنية طرازًا بطراز وإصدارًا بإصدار.
• توصيات الباحثين: التحديث، وعدم تعريض واجهات الإدارة مباشرةً على الإنترنت، وحصر الإدارة في شبكات موثوقة أو شبكات ⁦VPN⁩ أو شبكات مجزّأة.

وفي اليوم نفسه، نشرت ⁦Claroty⁩ دراسة أخرى حول أجهزة الإشراف على التبريد ⁦Copeland XWEB Pro⁩، وهي عائلة أخرى ذكرها ⁦CERT-FR⁩: 23 ثغرة، منها 21 عالية الخطورة، تخص الإصدارات 1.12.1 وما قبلها من الطرازات المعنية، وصُحّحت في البرنامج الثابت 1.13.

أتمتة المباني: ⁦EnOcean SmartServer⁩ و⁦i.LON⁩

في 29 أبريل 2026، نشرت ⁦Claroty⁩ تحليلًا لوحدات التحكم ⁦SmartServer IoT⁩ من ⁦EnOcean⁩ ولوحدات التحكم القديمة ⁦i.LON⁩، التي تربط شبكات أتمتة المباني بشبكات ⁦IP⁩.

• ثغرتان: تتيح الأولى، في الظروف التي وصفها الباحثون، تنفيذ تعليمات برمجية عن بُعد دون مصادقة مسبقة (لا سيما عندما يكون الجهاز معرّضًا على الإنترنت مع تفعيل البروتوكول المعني)؛ وتتيح الثانية تسرّب معلومات من الذاكرة.
• وفقًا للباحثين، يتيح الاستغلال الناجح السيطرة على أنظمة إدارة المباني وأتمتتها.
• بالنسبة إلى منصة ⁦SmartServer IoT⁩، توصي الشركة المصنّعة بالإصدار 4.6 ⁦Update 2⁩ (⁦v4.60.023⁩) أو ما بعده. أما وحدات التحكم ⁦i.LON⁩ فهي معدات أقدم: يجب التحقق من وضعها طرازًا بطراز لدى الشركة المصنّعة.

القاسم المشترك

تختلف المنتجات والبروتوكولات والثغرات. ومع ذلك، تلتقي الدروس المستخلصة للمستغلين حول ثلاثة إجراءات:

1. الحدّ من تعرّض المعدات الفنية للشبكة وإلغاء النفاذ المباشر غير الضروري من الإنترنت.
2. تحديث البرمجيات والبرامج الثابتة باستمرار عندما توفّر الشركة المصنّعة تصحيحات، وتحديد المعدات التي لم تعد مدعومة.
3. تجزئة الشبكات بحيث لا يُسمح إلا بالاتصالات الضرورية، وتُحصر عواقب أي اختراق.

لا تبيّن هذه الإجراءات كيف وقعت الحادثة الفرنسية، لكنها تقلّص المخاطر التي تتعرض لها المنشآت المتصلة.

ويشدد تنبيه ⁦CERT-FR⁩ على نقطة عاجلة: يجب ألا تكون واجهات إدارة وحدات التحكم في التبريد معرّضة مباشرةً على الإنترنت. كما يوصي بالتحقق من الإعدادات، وتأمين النفاذ عن بُعد، وتطبيق الإجراءات التي توصي بها الشركات المصنّعة. وتأتي تجزئة الشبكة مكمّلةً لهذه الإجراءات، إذ تحدّ من الاتصالات بين الأنظمة الفنية وشبكة المكاتب وسائر المعدات المتصلة.

كيف تتحول الثغرة إلى خطر مادي

بحسب نوع المنشأة، قد تؤدي السيطرة على جهاز فني إلى:

• تغيير القيم المرجعية: درجات الحرارة، والجداول الزمنية، وعتبات الإنذار؛
• إطلاق دورات تشغيل: إذابة الجليد، أو الإيقاف، أو إعادة التشغيل؛
• فقدان الإشراف: إنذارات مخفية، وشاشات تعرض قيمًا تبدو عادية؛
• انقطاع الخدمة: التدفئة، أو التبريد، أو التهوية، أو الإنارة، أو التحكم في الدخول؛
• الانتقال إلى أنظمة أخرى، إذا لم تكن الشبكة مجزّأة.

فالعواقب إذن مادية واقتصادية: بضائع تالفة، وانزعاج أو توقف للنشاط، ومعدات تعمل خارج نطاقها العادي، وتدخلات طارئة.

ليس هذا خطرًا نظريًا يقتصر على المواقع الكبرى. فالعائلات نفسها من المعدات موجودة في المتاجر والفنادق والمكاتب والمؤسسات الصحية والمباني الصناعية.

أخطاء في التصميم والاستغلال يجب تجنبها

لا تقول حادثة أكتوبر إن المباني المتصلة خطيرة، بل تقول إن الاتصال دون بنية مدروسة هو الخطير.

أكثر الأخطاء شيوعًا:

• تعريض واجهة إدارة مباشرةً على الإنترنت، في الغالب لتسهيل الصيانة عن بُعد.
• عدم جرد المعدات المتصلة وإصداراتها ونقاط النفاذ إليها.
• إبقاء معدات منتهية الدعم في الخدمة رغم أنها لم تعد تتلقى تصحيحات.
• الإبقاء على كلمات المرور الافتراضية، أو تقاسم حساب واحد بين عدة متدخلين.
• وضع الشبكة الفنية وشبكة المكاتب في المستوى نفسه دون تجزئة.
• منح نفاذ دائم عن بُعد لمقدّمي الخدمات، دون رقابة ولا تتبّع.
• عدم حفظ نسخ احتياطية من الإعدادات، مما يجعل أي إعادة تشغيل بطيئة وغير مضمونة.

لا شيء من هذه الأخطاء لافت للنظر، ولهذا تحديدًا تستمر.

10 إجراءات تحقق أساسية لتأمين منشأة ⁦GTB⁩ أو تحكم متصلة

لا تُغني هذه الإجراءات عن التدقيق، لكنها تساعدك على تقييم وضعك، وعلى تحديد ما يتطلب تدخل مختص.

(م): تحقق يمكن أن يقوم به المستغل. (خ): يُعهد به إلى مختص في أمن الأنظمة الفنية (⁦OT⁩). تشير هذه الرموز إلى مستوى التدخل المعتاد، لا إلى حدود صارمة: فبحسب حساسية الموقع، قد تتطلب عملية تبدو بسيطة تدخل مختص.

1. الجرد (م) إعداد قائمة بوحدات التحكم وأجهزة الإشراف والبوابات المتصلة: العلامة، والطراز، وإصدار البرنامج الثابت، والموقع، ومقدّم الخدمة المسؤول.
2. التعرض على الإنترنت (م ثم خ) يمكن للمستغل التحقق من الإعدادات المعروفة للموجّه والجدار الناري ونقاط النفاذ الممنوحة لمقدّمي الخدمات. لكن لا يمكن الجزم بعدم التعرّض انطلاقًا من شاشة محلية: التحقق من خارج الشبكة، على يد مختص، هو الوسيلة الوحيدة للتأكد.
3. نهاية الدعم (م) تحديد المعدات التي لم تعد تتلقى تحديثات، والتخطيط لاستبدالها أو عزلها.
4. التحديثات (خ) تطبيق التصحيحات التي تنشرها الشركات المصنّعة، وفق إجراء مُختبر ومتفق عليه مع المستغل.
5. الحسابات وكلمات المرور (م) إلغاء كلمات المرور الافتراضية، وإنشاء حساب لكل متدخل، وحذف الحسابات غير المستعملة.
6. النفاذ عن بُعد (خ) استبدال النفاذ المباشر بنفاذ آمن (⁦VPN⁩ أو حل نفاذ مخصص)، محدود في الزمن ومسجَّل.
7. تجزئة الشبكة (خ) فصل شبكة الأنظمة الفنية عن شبكة المكاتب وعن الإنترنت، والسماح بالاتصالات الضرورية فقط.
8. النسخ الاحتياطي للإعدادات (م) الاحتفاظ بنسخة محدّثة من الإعدادات والقيم المرجعية، لإمكان استعادتها بسرعة.
9. مراقبة الحالات غير العادية (م ثم خ) تلقي تنبيه عند تغيير قيمة مرجعية أو حدوث دورة غير معتادة أو اتصال غير متوقع، والتحقق بانتظام من اتساق الإعدادات.
10. إجراء التعامل مع الحوادث (م ثم خ) معرفة من يجب الاتصال به وكيفية عزل جهاز ما. وعند الاشتباه في اختراق، لا ينبغي الارتجال: يجب تنسيق العزل، والحفاظ على العناصر المفيدة للتحليل، وإعادة التشغيل مع المسؤولين عن المنشأة، ومع مختص عند الحاجة. ويجب أيضًا تحديد متى وكيف يُبلَّغ عن الحادثة إلى السلطات.

بالنسبة إلى حادثة أكتوبر، يوصي ⁦CERT-FR⁩ خصوصًا بإلغاء التعرّض على الإنترنت، والتحقق من كامل الإعدادات (بما في ذلك نطاقات إذابة الجليد)، وإعادة النفاذ فقط عبر ⁦VPN⁩ أو شبكة محمية، وبالنسبة إلى الجهاز المخترق، إعادة ضبطه ثم إعادة إعداده قبل إعادته إلى الخدمة. ويذكّر بأن إعادة الضبط لا تكفي إذا بقي جهاز منتهي الدعم معرّضًا.

إدماج الأمن السيبراني منذ مرحلة التصميم

لا يُضاف الأمن السيبراني للمبنى في نهاية المشروع، بل يُقرَّر عند تحديد البنية:

• أي المعدات يجب أن تتواصل، ومع من؛
• عبر أي مسارات يمر الإشراف والصيانة عن بُعد؛
• من يملك صلاحية النفاذ إلى ماذا، وكيف تُراقَب هذه الصلاحية؛
• كيف ستُحدَّث المنشأة وتُحفظ نسخها الاحتياطية وتُراقَب طوال عمرها.

إنه المنطق نفسه الذي ينطبق على قابلية التشغيل البيني وقابلية الصيانة: خيار يُتّخذ في البداية يوفّر سنوات من القيود.

لا يصبح المبنى المتصل ذكيًا لمجرد أن معداته تتواصل فيما بينها. بل يجب أيضًا أن يبقى قابلًا للتحكم، وآمنًا، ومرنًا طوال عمره.

هل ترغبون في تقييم مدى تعرّض منشآتكم الفنية؟ تحدّثوا إلى خبير

المصادر

المصدر الرسمي

• ⁦CERT-FR⁩ (⁦ANSSI⁩)، التنبيه ⁦CERTFR-2026-ALE-012⁩ «⁦Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération⁩»، 12 أكتوبر 2026، تحديث 13 أكتوبر 2026 (بالفرنسية): https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/

الأبحاث الأمنية

• ⁦Claroty Team82⁩، «⁦Freeze the Controller⁩, ⁦Defrost the Food⁩: ⁦Uncovering Vulnerabilities in Danfoss Refrigeration Controllers⁩»، 9 أغسطس 2026: https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
• ⁦Claroty Team82⁩، «⁦Chilling Discoveries⁩: ⁦Unpacking Vulnerabilities in Copeland XWEB Pro Controllers⁩»، 9 أغسطس 2026: https://claroty.com/team82/research/chilling-discoveries-unpacking-vulnerabilities-in-copeland-xweb-pro-controllers
• ⁦Claroty Team82⁩، «⁦Exploiting EnOcean SmartServer to Attack Connected Building Management Systems⁩»، 29 أبريل 2026: https://claroty.com/team82/research/exploiting-enocean-smartserver-to-attack-connected-building-management-systems

الصحافة (بالفرنسية)

• ⁦Public Sénat⁩، 13 أكتوبر 2026: https://www.publicsenat.fr/actualites/politique/cyberattaque-contre-des-frigos-connectes-de-supermarches-des-systemes-de-refrigeration-exposes-sur-internet-alertent-des-experts-en-cybersecurite
• ⁦Tom’s Guide⁩، 14 أكتوبر 2026: https://www.tomsguide.fr/cyberattaque-des-frigos-de-supermarches-des-appareils-danfoss-exposes-sont-toujours-en-ligne/