Ranska nimesi Iranin vallankumouskaartin yksikön kylmälaiteiskujen tekijäksi – Suomen iskujen tekijää ei ole nimetty
Nimeämisen teki Ranskan kyberkriisikeskus C4 aihetodisteiden perusteella, ja se kattaa vain yhden lokakuisen yön iskun Ranskassa.
Tiivistelmä
Ranskan kyberkriisien koordinaatiokeskus C4 nimesi Iranin vallankumouskaartin Shahid Kaveh -yksikön lokakuisen kylmälaiteiskun tekijäksi. Nimeäminen kattaa vain Ranskan iskun. Suomen viranomaiset eivät ole kertoneet, kuka oli suomalaisiin kauppoihin kohdistuneiden tapausten takana.
Ainakin 15 kohteessa syttyi palo, kun kauppojen kylmälaitteiden sulatusasetukset käännettiin Ranskassa korkeisiin lämpötiloihin lokakuun 11. ja 12. päivän välisenä yönä.
Nyt Ranska on nimennyt tekijän. Maan kyberkriisien koordinaatiokeskus C4 kertoo maanantaina 9. marraskuuta päivätyssä julkisessa raportissaan, että iskun teki Iranin vallankumouskaartin kyberjohdon alainen Shahid Kaveh -yksikkö.
Raportti julkaistiin CERT-FR:n sivuilla, mutta sen laatija ei ole yksin kyberturvallisuusvirasto ANSSI. C4:ssä ovat ANSSIn lisäksi mukana asevoimien kyberjohto COMCYBER sekä virastot DGA, DGSE ja DGSI.
Isku osui noin 700 kaupan alan kohteen kylmälaiteohjaimiin. Uhreiksi raportti nimeää Casinon, Leclercin, Coopérative U:n, Metron, Carrefourin ja Intermarchén sekä lihakauppoja, teurastamon ja elintarviketehtaita.
Näyttö on joukko aihetodisteita
Viisisivuinen raportti kuvaa näyttöään joukoksi toisiaan tukevia aihetodisteita. Samaa infrastruktuuria oli käytetty Schneider Electricin teollisuusjärjestelmien tiedusteluun, iskussa käytettiin internetiä skannaavaa FOFA-työkalua, CyberbanNews-niminen kanava välitti tiedon iskusta 13. lokakuuta ja jäljistä löytyi merkkejä farsin kielen käytöstä.
Schneider Electricin järjestelmiin kohdistui raportin mukaan tiedustelua, jolla oli kohtalaisia vaikutuksia joihinkin pieniin vesivoimalaitoksiin.
Yksikön johtajiksi raportti nimeää Reza Salarvandin ja Mahdi Lashgarianin sekä vallankumouskaartin kyberjohdon päälliköksi Hamid Reza Lashgarianin. Yksikköön liitetty verkkopersoona on raportissa muodossa CyberAveng3rs, ja muualla nimi kirjoitetaan yleensä CyberAv3ngers.
Attribuutio
Attribuutiossa valtio nimeää julkisesti tahon, jonka se katsoo olevan kyberhyökkäyksen takana. Nimeäminen ei ole tuomioistuimen ratkaisu, vaan se nojaa teknisiin aihetodisteisiin, kuten yhteiseen infrastruktuuriin, työkaluihin ja kielijälkiin. Se kattaa vain asiakirjassa nimetyt hyökkäykset.
Vahinkoarvio tulee ulkoministeriöltä
Raportissa ei ole euromääräistä vahinkoarviota eikä suosituksia. Useiden kymmenien miljoonien eurojen tappioista puhuu Ranskan ulkoministeriö samana päivänä antamassaan julkilausumassa.
Ministeriö ilmoittaa, että Iranin suurlähettiläs kutsutaan puhutteluun ja että Ranska aikoo esittää EU:lle pakotteita. Kumpikin on ilmoitus tulevasta, ei jo tehty toimi.
Uutistoimistojen AP ja Reuters mukaan Pariisin syyttäjä tutkii asiaa ja hakee pidätysmääräyksiä yksikön johtajalle ja kahdelle tämän avustajalle. Syyttäjän omaa tiedotetta Huijausvahti ei löytänyt.
Kauppalehti kertoi tiistaina ruotsalaiseen SVT:hen viitaten, että iskuilla olivat aiemmin kehuskelleet Venäjä-mieliset ryhmät. Ranskan raportti ei käsittele asiaa.
Nimeäminen koskee vain lokakuun yön iskua.
Ranskan veripalvelun EFS:n kolmeen toimipisteeseen marraskuun alussa kohdistunut tapaus ei kuulu siihen, eikä sen tekijää ole nimetty. Raportissa ei mainita myöskään Danfossia eikä Suomea.
Suomessa tekijää ei ole nimetty
Kyberturvallisuuskeskus on vahvistanut, että suomalaisissa ruokakaupoissa on ollut Ranskan tapauksia muistuttavia häiriöitä, ja löytänyt noin 30 verkkoon näkyvää laitetta. Kohteina olivat Danfossin ohjaimet, joiden tuki on päättynyt, ja Traficom kertoi 6. marraskuuta vahinkoja syntyneen myös Suomessa.
Yksikään Suomen viranomainen ei ole kertonut, kuka tapausten takana oli.
– Tekijästä meillä ei ole tietoa, sanoi Kyberturvallisuuskeskuksen erityisasiantuntija Juha Tretjakov Uutissuomalaiselle 4. marraskuuta.
Lausunto on viikon takaa, ajalta ennen Ranskan ilmoitusta.
Kyberturvallisuuskeskus, Supo, poliisi tai hallitus eivät olleet keskiviikkoaamuun mennessä kommentoineet nimeämistä julkisesti, eikä poliisitutkinnasta ole kerrottu.
Yhdysvaltain CISAn, FBI:n ja kolmen muun viraston 5. marraskuuta julkaisema ohje kylmäjärjestelmien suojaamisesta ei sekään nimeä tekijää.
Mitä tehdä
Ohjeet koskevat kauppiaita, ravintoloita, taloyhtiöitä ja muita pieniä toimijoita, joilla on kylmälaitteita tai kiinteistöautomaatiota.
- Irrota ohjain julkisesta internetistä ja salli etäkäyttö vain VPN-yhteyden tai päivitetyn palomuurin kautta.
- Vaihda oletussalasanat ja ota monivaiheinen tunnistautuminen käyttöön, jos laite tukee sitä.
- Päivitä laiteohjelmisto ja vaihda ohjaimet, joita valmistaja ei enää tue.
- Aseta lämpötilarajat ja hälytykset niin, ettei niitä voi muuttaa etänä ilman toista vahvistusvaihetta.
- Ilmoita murtoepäilystä Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi ja tee rikosilmoitus poliisi.fi-palvelussa.
Lähteet
- CERT-FR: CERTFR-2026-CTI-009, Activités cyber offensives menées par des acteurs iraniens liés au CGRI (09.11.2026)
- France Diplomatie: Déclaration d'attribution à l'Iran de cyberattaques visant la France (09.11.2026)
- Kauppalehti: Ranska syyttää Irania kyberiskuista kylmälaitteisiin (10.11.2026)
- The Register: France blames Iran for supermarket hack meltdowns (09.11.2026)
- CISA, FBI ja kumppanivirastot: kylmäjärjestelmien suojausohje (IC3) (05.11.2026)
- Verkkouutiset / Uutissuomalainen: Kylmälaitteiden häiriöt vahvistuivat kyberhyökkäykseksi (04.11.2026)
- Traficom: Kyberiskut aiheuttivat vahinkoja kylmälaitteille Suomessa – varautuminen rajoitti seurauksia (06.11.2026)