Специалисты по безопасности предупреждали об уязвимостях в контроллерах холодильного оборудования, которые могли быть использованы злоумышленниками, за несколько месяцев — а в одном случае более чем за год — до того, как кибератаки нарушили работу сотен французских супермаркетов.
Поздним вечером в воскресенье неизвестные злоумышленники взломали тысячи контроллеров, повысив температуру до 50°C, что привело к порче продуктов и возгораниям почти в 700 супермаркетах страны.
Национальное агентство по кибербезопасности Франции ANSSI в понедельник предупредило о массовых компрометациях контроллеров холодильного оборудования Danfoss, а днем позже добавило затронутые системы от Copeland и ее бренда Dixell. Компрометированные устройства были доступны через интернет, при этом многие, по сообщениям, больше не получали обновлений программного обеспечения или безопасности, а другие работали на устаревшей прошивке.
Danfoss не ответила немедленно на запрос The Register о комментарии. Copeland прислала нам следующее заявление по электронной почте:
«Мы признаем уязвимость, выявленную в снятом с производства поколении контроллеров, срок службы которых истек. Защита операций наших клиентов всегда была главным приоритетом. В настоящее время мы работаем с пострадавшими клиентами над снижением рисков. Мы продолжим поддерживать клиентов в укреплении кибербезопасности с помощью поддерживаемых продуктов, актуального программного обеспечения и рекомендованных отраслевых практик».
Фирма по безопасности операционных технологий (OT) Claroty Team82 забила тревогу по поводу этих уязвимых устройств еще в августе, предупреждая, что хакеры могут «заморозить контроллер» и «разморозить еду». В то время исследователи опубликовали подробности о десятках уязвимостей, включая обход аутентификации и выполнение команд операционной системы, затрагивающих Danfoss AK-SM 800A и контроллеры Copeland XWEB.
Еще раньше Агентство по кибербезопасности и защите инфраструктуры США (CISA) опубликовало рекомендации по уязвимостям безопасности в контроллерах обоих брендов.
В феврале CISA сообщило, что почти два десятка CVE в Copeland XWEB и XWEB Pro могут быть использованы для «обхода аутентификации злоумышленником, вызова состояния отказа в обслуживании, повреждения памяти и выполнения произвольного кода».
В консультативном документе от мая 2025 года, обновленном в августе 2025 года, CISA опубликовало аналогичное предупреждение об уязвимых устройствах серии Danfoss AK-SM 8xxA.
«Что делает этот инцидент особенно поразительным, так это временные рамки», — сказал The Register Тиаго Энрикес, главный андеррайтер компании-поставщика киберстрахования Coalition. Он отметил, что взломы французских супермаркетов произошли через два месяца после публикации исследований Team82, и Danfoss выпустила обновление прошивки (R4.3.1) для устранения уязвимостей.
«Критическая уязвимость» сохраняется
«Тем не менее, несмотря на доступность этих исправлений, сканирование Coalition выявило критическую уязвимость к этим угрозам, сохранявшуюся вплоть до осени», — сказал Энрикес.
В период с 7 сентября по 6 октября датчики Coalition обнаружили 1506 уникальных IP-адресов, которые по-прежнему публично предоставляли доступ к административной панели Danfoss StoreView через веб-интерфейс, причем 820 из них (54%) были связаны с французскими сетями.
«Наши сканирования насчитали по меньшей мере 2624 контроллера холодильного оборудования указанных брендов с открытой в интернет страницей входа: 1506 Danfoss StoreView и 1119 XWEB», — добавил он, отметив, что один IP-адрес обслуживает оба типа контроллеров.
Важно уточнить: это не означает, что все эти контроллеры были уязвимы, а скорее то, что они были доступны из открытого интернета.
Даже после кибератак, по данным страховой компании, по состоянию на четверг 618 устройств Danfoss остаются подключенными к интернету. Из них 206 подключены к французским сетям, 50 — к сетям США и два — к сетям Великобритании.
«Неисправное устройство с веб-интерфейсом административной панели может служить основным вектором атаки» для цифровых злоумышленников, сказал Энрикес. «Вывод очевиден: цифровые риски выходят далеко за пределы рабочих станций и почтовых серверов».
Преступники также нацеливаются на операционные технологии (OT) и другие промышленные устройства, подключенные к интернету.
«Выявление этих уязвимых точек доступа до того, как они станут целью, может напрямую способствовать сохранению непрерывности бизнеса», — сказал Энрикес.
Лидеры в области кибербезопасности OT призывают к директиве CISA
В Америке группа поставщиков услуг в области кибербезопасности и технологий OT вновь призвала к усилению защиты продовольственного и сельскохозяйственного сектора в США. Французские кибератаки «являются еще одним суровым напоминанием о важности внедрения базовых мер кибербезопасности для повышения безопасности операционных технологий», — говорится в заявлении Операционной коалиции по кибербезопасности OT (OTCC) от среды.
Ранее в этом месяце группа, в число членов которой входят Claroty, Forescout, Honeywell и Schneider Electric, призвала CISA выпустить обязательную операционную директиву по улучшению кибербезопасности OT в федеральном правительстве. OTCC повторила этот призыв в среду и предложила Министерству сельского хозяйства США поощрять организации в продовольственном и сельскохозяйственном секторе к внедрению лучших практик кибербезопасности.
«Хотя в Соединенных Штатах не сообщалось об инцидентах, злоумышленники, несомненно, рассматривают этот инцидент как потенциальный вектор атаки для действий здесь», — говорится в заявлении. «Мы не можем ждать, пока это произойдет».®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
