Atakujący podgrzali francuskie zamrażarki do 50 stopni

Sześć godzin rozmrażania, zleconego zdalnie

W nocy z niedzieli 11 na poniedziałek 12 października atakujący przejęli oprogramowanie do zdalnego zarządzania urządzeniami chłodniczymi we francuskich supermarketach i kazali urządzeniom się rozmrażać. Zamiast krótkiego nocnego nagrzania lodówki i zamrażarki grzały się dalej. Intermarché poinformowało, że jego urządzenia nagrzały się do 50 stopni na około sześć godzin, a wszystko, co ucierpiało, wyrzucono, by wykluczyć zagrożenia dla zdrowia.

Kierownicy, którzy przyszli w poniedziałek rano, zostali powitani falą gorącego powietrza z zamrażarek, a w niektórych sklepach wybuchły niewielkie pożary. Premier Sébastien Lecornu polecił krajowej agencji cyberbezpieczeństwa ANSSI przeprowadzić dochodzenie, a prokuratura w Paryżu wszczęła śledztwo w sprawie tego, co nazwała zakrojonym na dużą skalę atakiem na komory chłodnicze kilku dużych sieci handlu spożywczego. Nie wskazano sprawcy.

Te liczby pochodzą od sieci i od dziennikarzy, którzy pisali o różnych porach. Traktuj każdą jako przedział. Żadne źródło nie podaje potwierdzonej łącznej sumy.

Najstarsze sterowniki nie mają łatki do zainstalowania

Danfoss twierdzi, że większość dotkniętych urządzeń to starsze modele, których oprogramowania zabezpieczającego nie da się zaktualizować. Firma dodała, że od dawna radzi klientom utrzymywać obsługiwane systemy na aktualnym oprogramowaniu układowym.

The Hacker News podaje, że AK-SM 800 jest po końcu wsparcia od maja 2021, a AK-SC 355 wycofano w 2016, i że żaden z nich nie dostaje aktualizacji oprogramowania ani zabezpieczeń. Według doniesień dotknięte zostały też niektóre egzemplarze AK-SM 800A, aktualnego modelu, które działały na przestarzałym oprogramowaniu układowym. Alert CERT-FR, zaktualizowany 13 października, wymienia jako dotknięte produkty serie Danfoss AK-SC i AK-SM oraz sterowniki Copeland xweb i Dixell xweb.

CERT-FR dodaje ostrzeżenie ważne dla każdego, kto trzyma stary sprzęt: samo przywrócenie ustawień fabrycznych nie wystarcza w przypadku urządzeń po końcu wsparcia, które pozostają dostępne z internetu, bo prawdopodobnie zostaną znów przejęte. Dla tych urządzeń zostaje odłączenie ich od internetu albo wymiana.

Jak weszli, nadal nie wiadomo

Według BleepingComputer żadna publiczna informacja nie wyjaśnia jeszcze, jak sterowniki zostały przejęte.

Zespół Team82 firmy Claroty opublikował w sierpniu badanie dotyczące AK-SM 800A: obejście uwierzytelniania (CVE-2025-41450, CVSS 8,2), wstrzyknięcie poleceń (CVE-2025-41451, 7,6) i lukę umożliwiającą odmowę usługi (CVE-2025-41452, 5,4). Skany Censys naliczyły 2 765 takich urządzeń dostępnych z internetu, a Danfoss wydał potem aktualizację. Żadne źródło nie łączy tych luk z tym atakiem, więc to kontekst, a nie przyczyna.

Ekspozycja w poniedziałek i tak była duża. Baptiste Robert, szef Predicta Lab, znalazł w sieci 2 752 systemy Danfoss, 1 590 z nich we Francji, a Shodan śledzi ponad 4 500 urządzeń Danfoss dostępnych z internetu.

Atak może nie dotyczyć tylko Francji. Analityk Sekoia Félix Aimé powiedział agencji Reuters, że dotknięte zostały też Hiszpania, Portugalia, Polska, Niemcy i Belgia, bez szczegółów, a osoba z otoczenia premiera powiedziała, że ANSSI kontaktuje się z agencjami innych państw europejskich. Ahold Delhaize ogłosił tego samego poniedziałku problem z bezpieczeństwem we własnej sieci i wyłączył część systemów, przy otwartych sklepach, ale komunikat nie wspomina o Francji, a BleepingComputer nie widział dowodów na związek.

Intermarché ostrzegło, że ubezpieczenie może nie zapłacić

Intermarché poinformowało, że dotknięte sklepy musiały wyrzucić wszystkie świeże i mrożone produkty, i ostrzegło, że polisy ubezpieczeniowe mogą nie wypłacić odszkodowań, bo nie obejmują tego rodzaju zdarzeń w sklepach.

Kwota jest nadal niejasna. Thierry Cotillard z Les Mousquetaires spodziewa się według The Hacker News strat rzędu dziesiątek milionów euro w całej Francji, a BBC pisze o żywności wartej miliony euro. Dwa supermarkety w Alzacji zgłosiły łącznie 270 000 euro strat. Coopérative U poinformowała, że łańcuch chłodniczy wytrzymał w większości z jej 80 dotkniętych sklepów i tylko mniejszość straciła towar.

Własne wytyczne CERT-FR mówią, by przed odcięciem łącza danych do wykonawcy chłodnictwa sprawdzić warunki ubezpieczenia. Stanowisko ubezpieczyciela wobec zdalnego monitoringu należy do tej samej rozmowy co decyzja o odłączeniu.

Czego chce CERT-FR, krok po kroku

Alert CERTFR-2026-ALE-012 z CERT-FR, wydany 12 października i zaktualizowany 13 października, daje właścicielom krótką kolejność działań.

Jeśli sprzęt nie jest przejęty: usunąć dostępność z internetu dla dotkniętych urządzeń i każdego urządzenia z publicznym adresem IP; przejrzeć całą konfigurację, zwłaszcza harmonogramy rozmrażania; przywrócić dostęp wyłącznie przez bezpieczną sieć VPN lub chronioną sieć, przy czym filtrowanie źródłowych adresów IP wykonawcy jest dopuszczalne tylko jako środek awaryjny; i zastosować dobre praktyki producenta, co w przypadku Danfoss oznacza poziom zabezpieczeń Strict i zmienione hasła domyślne.

Jeśli sprzęt mógł zostać przejęty: usunąć dostępność z internetu, przywrócić go do ustawień fabrycznych, przywrócić dostęp wyłącznie przez bezpieczną sieć VPN, skonfigurować urządzenie od nowa, zanim wróci do pracy, a następnie zastosować środki producenta. CERT-FR twierdzi, że kampanie ataków prawdopodobnie nadal trwają.

W tym tygodniu zapytaj wykonawcę chłodnictwa o trzy rzeczy: jakie modele sterowników i wersje oprogramowania układowego stoją w każdej lokalizacji, które z nich są po końcu wsparcia i kto może się do nich dostać zdalnie oraz skąd.

Czytaj dalej: Francja wyklucza OpenAI z własnej cyberobrony  |  Robaki AI mogą uderzyć najpierw w tani sprzęt IoT