В ночь на 11 октября неизвестные удаленно включили режим разморозки в холодильных установках нескольких сотен французских супермаркетов. В магазинах Intermarché и Netto холодильники и морозильные камеры нагрелись примерно до 50°C и оставались в таком состоянии около шести часов, по данным Les Mousquetaires, которые ожидают убытков в десятки миллионов евро. К утру персонал уже загружал в контейнеры мясо, замороженные продукты и овощи.
Coopérative U насчитала 80 пострадавших магазинов из примерно 2000. Генеральный директор Доминик Шельшер сообщил RTL, что в большинстве из них холодовая цепь выдержала. Лишь меньшинство отреагировало слишком медленно и потеряло запасы, и он отметил заслугу сотрудников магазинов и подрядчиков по холодильному оборудованию. Intermarché заявила, что ее пострадавшие магазины были вынуждены выбросить все. Вторая волна последовала в ночь с 12 на 13 октября, на этот раз затронув и магазины с контроллерами Dixell.
Похожие контроллеры, похожая ночь, очень разное утро. Этот разрыв — та часть истории, на которую оператор может повлиять. CSO уже сообщал, какие системы были атакованы и что CERT-FR рекомендует с ними делать. Никто не взял на себя ответственность, и никаких требований о выкупе не поступало, что, как сообщает Reuters, озадачило следователей: злоумышленники хотели испорченных продуктов, а не денег, или еще не озвучили свои требования. Ни CERT-FR, ни Danfoss не сообщили, как злоумышленники проникли в системы: открытые интерфейсы управления, известные уязвимости и украденные учетные данные подрядчиков — все еще на рассмотрении. Три следующих урока не зависят от ответов на эти вопросы.
Ваш подрядчик по холодильному оборудованию — ваш периметр
Шельшер сделал замечание, заслуживающее большего внимания, чем цифры температуры: магазины Coopérative U не покупают у Danfoss. Они покупают у подрядчиков по холодильному оборудованию, которые поставляют контроллер, настраивают его и сохраняют удаленный доступ к нему, чтобы они могли регулировать заданные параметры без необходимости приезжать в магазин. E.Leclerc сообщил AFP, что атака достигла их магазинов через одного из поставщиков холодильного оборудования. Встроенный веб-сервер контроллера существует именно для этой цели, а гарантии производительности подрядчика обычно зависят от предоставляемых им данных.
Danfoss уже сталкивалась с подобным. В ее собственном техническом бюллетене от октября 2025 года зафиксированы атаки на AK-SM 800 в 2022 году: 16 российских супермаркетов и 40 израильских магазинов. Все 40 израильских объектов, как отмечается в бюллетене, не имели надлежащей защиты брандмауэром или VPN. Четыре года спустя та же модель, снятая с поддержки в мае 2021 года, все еще была доступна в интернете во Франции.
Эта схема знакома по промышленным объектам. Сторона, которая решает, будет ли контроллер выставлен наружу, не та, которая несет убытки, когда это происходит. Подрядчику нужен браузер и публичный IP-адрес, потому что это превращает вызов в воскресенье вечером в двухминутную работу. Магазин хранит товар. Стандартный договор на техническое обслуживание редко делает этот компромисс видимым для того, кто его подписывает.
Насколько глубока зависимость, показывает предложение, которое я раньше не видел в национальных рекомендациях. В оповещении CERT-FR, обновленном 16 октября, операторам рекомендуется проверить условия своего страхования перед отключением интернет-канала к подрядчику по холодильному оборудованию. Подача данных является договорной, и в зависимости от соглашения ее отключение может повлиять на обязательства по мониторингу или условия полиса. А со страховой стороны все и так мрачно: брокеры и андеррайтеры сообщили Reuters, что киберстраховки обычно исключают физический ущерб, поэтому испорченные запасы вряд ли будут покрыты. Intermarché сообщил AFP, что их страховка не покрывает инцидент.
Итак, первый вопрос: кто сегодня может войти в ваши контроллеры холодильного оборудования и через какой канал? Сеть магазина, VPN подрядчика, сотовый маршрутизатор, установленный подрядчиком много лет назад, перенаправление порта на маршрутизаторе магазина? Если для ответа требуется звонок подрядчику, вы не контролируете этот периметр. Вы его арендуете.
Урок заключается в пункте договора, а не в правиле брандмауэра. Соглашение на техническое обслуживание должно указывать все удаленные пути доступа к оборудованию и запрещать любые другие; требовать доступа через ваш шлюз или VPN с учетными записями, привязанными к именам техников; предоставлять вам журналы; обязывать подрядчика уведомлять вас, когда контроллер выходит из поддержки производителя или публикуется уязвимость; и позволять вам отзывать доступ без потери холодовой цепи. Контроллеры, работающие десятилетиями, редко имеют в договоре на их обслуживание такие пункты. После Франции — должны.
Разморозка — это функция. Относитесь к команде как к событию
Независимо от того, как злоумышленники проникли в систему, сам ущерб был нанесен обычными функциями холодильного оборудования. Разморозка — это встроенный цикл каждого контроллера холодильного оборудования, и во второй волне заданные параметры были установлены на значения, которые не могут быть достигнуты ни в одном холодильном шкафу. Многие контроллеры также предлагают функцию, которая подавляет температурные сигналы тревоги во время разморозки и некоторое время после нее, чтобы плановые циклы не вызывали уведомлений в 3 часа ночи. Это разумная конфигурация. Это также именно то, что делает принудительную разморозку незаметной. Сыграла ли она роль во Франции, не установлено, и опыт Coopérative U показывает, что сигналы тревоги достигли людей в большинстве ее магазинов.
Структура такая же, как и в атаках на водоснабжение в Миннесоте в июле: предполагаемая функциональность, использованная не тем человеком не в то время. Сигнал температурной тревоги — это управление процессом. Он сообщает вам, что продукт нагревается. Он не может сказать вам, что команда, вызвавшая нагрев, исходила от кого-то, кто не должен был быть в системе.
Сигнал, на который стоит реагировать, — это неожиданное изменение режима или заданных параметров вне окна обслуживания, и он становится громче, когда несколько контуров изменяются одновременно или несколько магазинов, обслуживаемых одним подрядчиком, меняют параметры в течение одного часа. В обновленном оповещении CERT-FR теперь операторам рекомендуется специально пересмотреть свои графики разморозки. Это правильный инстинкт: смотреть на конфигурацию, а не только на термометр.
Не каждый контроллер может экспортировать это событие, тем более модели, которые были атакованы. Там, где это невозможно, независимый регистратор температуры, не зависящий от контроллера, рано обнаружит последствия. В любом случае, кто-то должен получить оповещение, понять его и иметь полномочия действовать. В 3 часа ночи эта цепочка идет от сотрудника магазина к внешнему технику и в центральный пункт управления, и если никто не записал, кто кого вызывает, минуты уходят на выяснение. Во второй волне техник по холодильному оборудованию из Жиронды сообщил Le Monde, что его бригады вовремя добрались до магазина недалеко от Бордо, и ничего не пришлось выбрасывать. Меньшинство Шельцера потеряло запасы, потому что не смогло отреагировать достаточно быстро. Один фактор явно разделил две группы: время от первого действенного предупреждения до вмешательства.
Конкретный урок: оповещение о любом удаленном изменении заданных параметров или режима, которое не было анонсировано техником, с учетом времени суток и количества одновременно изменяемых контуров, генерируемое контроллером, где это возможно, и платформой мониторинга подрядчика, где это невозможно, поскольку подрядчик — единственная сторона, которая видит все свои магазины одновременно. Регистратор температуры, который не использует сеть контроллера, как второе мнение. Письменная цепочка вызовов на 3 часа ночи с именами, а не ролями. И тренировка: пусть подрядчик ночью изменит заданный параметр на тестовом контуре и измерит, сколько минут пройдет, прежде чем кто-то с полномочиями отменит это изменение. Это число следует сообщить руководству.
Неподдерживаемый контроллер — это статья расходов, а не заявка на исправление
Team82 от Claroty опубликовала три уязвимости в текущей модели, AK-SM 800A, в августе, все они были исправлены в прошивке 4.3.1 или более ранней, и насчитала 2765 интерфейсов управления, доступных из интернета. Никто не связал эти уязвимости с атакой. Danfoss заявляет, что большинство затронутых устройств были старыми AK-SM 800 и AK-SC 355, а некоторые 800A работали на устаревшей прошивке.
Для старых моделей патчить нечего. Danfoss прекратила обновления для AK-SM 800 в мае 2021 года, а для AK-SC 355 — в 2016 году. Поэтому CERT-FR не ставит патчинг во главу угла. Он рекомендует операторам отключить все контроллеры AK-SM, AK-SC и XWEB от общедоступного интернета, восстановить доступ только через VPN или защищенную сеть, а для скомпрометированных устройств Danfoss — перезагрузить, а в крайнем случае — сбросить до заводских настроек и перенастроить перед возвращением в эксплуатацию. Добавляется предупреждение, похожее на предсказание: один только сброс устраняет постоянство, но оставляет устройство таким же уязвимым, и кампания, вероятно, продолжается.
Последовательность действий такова, которую я отстаивал когда CISA просила операторов укрепить ПЛК Siemens S7: сначала устранение уязвимости, затем прошивка, затем замена. На практике это означает список всех контроллеров холодильного оборудования с указанием модели, прошивки и статуса поддержки производителя к концу этой недели; интерфейс управления на публичном IP-адресе, отключенный в тот же день; актуальная прошивка на всем, что производитель еще поддерживает; и для всего, что он не поддерживает, — дата замены с соответствующей статьей расходов и именем ответственного. Устаревший контроллер может по-прежнему отлично выполнять свою работу, а его замена требует денег, времени инженеров и простоя, поэтому без ответственного решение откладывается. Команда безопасности может задокументировать риск. Кто-то из коммерческого отдела должен принять его или профинансировать замену, и после обзора страховок Reuters этот человек должен знать, что он также принимает на себя риск потери запасов.
Что возвращает нас к двум группам магазинов. Никто не доказал, что прошивка или оборудование объясняют, какие магазины сохранили свои запасы. Документировано то, что предупреждение достигло кого-то, кто мог действовать до того, как холодовая цепь нарушилась. Это операционная возможность, и ее можно проверить задолго до того, как это сделает злоумышленник. Sekoia сообщил Reuters, что случаи были также в Испании, Португалии, Польше, Германии и Бельгии, и те же семейства контроллеров используются для холодильных складов и фармацевтической дистрибуции, обслуживаемых теми же подрядчиками. Поэтому до конца недели сделайте две вещи. Поищите в Shodan или Censys свои собственные интерфейсы управления холодильным оборудованием, потому что кто-то другой уже это сделал. Затем позвоните подрядчику и задайте один вопрос: когда вы входите в наши системы, как вы это делаете? Если ответ — публичный IP-адрес и пароль, без ничего между ними, вы нашли свою проблему. Она просто еще не произошла.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Sabine Frömling
