Злоумышленники получили удаленный контроль над холодильным и морозильным оборудованием сотен французских супермаркетов в ночь на 11 октября и повысили температуру, вынудив магазины выбрасывать продукты, сообщили несколько торговых сетей. Атакующие получили доступ через контроллер, управляющий всеми холодильниками и морозильниками магазина — устройство датской компании Danfoss, которым могут удаленно управлять сервисные фирмы. Les Mousquetaires, владеющая сетью Intermarché, заявила, что холодильники и морозильники ее магазинов были переведены в режим разморозки и нагреты до 50°C. CERT-FR, французская государственная команда реагирования на компьютерные инциденты, сообщила в оповещении, опубликованном на французском языке 12 октября, что ей известно о многочисленных компрометациях, затрагивающих две серии контроллеров Danfoss — AK-SM и AK-SC. Операторам было рекомендовано отключить контроллеры или ограничить к ним доступ. CERT-FR входит в состав ANSSI, национального агентства кибербезопасности Франции. Глава ANSSI Венсан Стрёбель назвал срочным отключение этих двух серий от интернета или очень строгое ограничение доступа, как сообщило Агентство Франс-Пресс (AFP). Ни французские власти, ни Danfoss пока не сообщили, кто совершил атаку и как злоумышленники получили доступ к контроллерам. Danfoss заявила, что большинство затронутых устройств — это старые модели, которые компания больше не обновляет. Сети предоставили свои данные AFP, Reuters и телерадиокомпании RTL. Каждая сеть подсчитала количество магазинов, затронутых атакой. Магазин из списка не всегда терял свои запасы. Шельшер сообщил RTL, что в большинстве из 80 затронутых магазинов сети Coopérative U холодовая цепь сохранилась, и лишь меньшинство не успело отреагировать и потеряло товары, согласно AFP. Он похвалил быструю реакцию персонала магазинов и подрядчиков по холодильному оборудованию. Intermarché, напротив, заявила, что ее затронутые магазины были вынуждены выбросить всю соответствующую продукцию. Тьерри Котилар, глава Les Mousquetaires, сообщил телеканалу BFMTV, что ожидает убытков в десятки миллионов евро по всей Франции, по данным Reuters. В своих заявлениях от 12 октября Danfoss не привела цифр о количестве затронутых систем. Компания сообщила Reuters, что ей “известно об инцидентах во Франции, затрагивающих ограниченное число систем управления холодильным оборудованием”. Danfoss сообщила AFP, что большинство затронутых устройств — это устаревшие продукты, которые больше не получают обновлений программного обеспечения или безопасности, и назвала две модели: AK-SM 800 и AK-SC 355. Danfoss объявила AK-SM 800 устаревшей в мае 2021 года и прекратила выпуск AK-SC 355 в 2016 году. В информационном бюллетене за октябрь 2025 года компания заявила, что прекратит все услуги для таких старых продуктов и призвала клиентов планировать их замену. Были затронуты и некоторые экземпляры текущей модели AK-SM 800A. По данным Danfoss, они работали на устаревшей прошивке, согласно заявлению компании для отраслевого издания Cooling Post, которое не назвало версии. По состоянию на 13 октября на странице рекомендаций по безопасности Danfoss не было опубликовано никаких рекомендаций по атаке или по обеим старым моделям. Первая инструкция CERT-FR касается всех контроллеров AK-SM и AK-SC: отключить его или ограничить доступ. Выставление интерфейса управления в интернет противоречит лучшим практикам, говорится в оповещении. Там, где удаленное администрирование неизбежно, ограничение доступа к доверенным IP-адресам является первой, временной мерой. Кроме того, в оповещении рекомендуется следовать рекомендациям по усилению безопасности CERT-FR, разработанным для энергетического и водного секторов. Если контроллер мог быть скомпрометирован, в оповещении перечислены шесть шагов в следующем порядке: Danfoss больше не выпускает исправления для AK-SM 800 и AK-SC 355, поэтому третий шаг не предлагает владельцам никаких новых исправлений. Для AK-SM 800A последний пакет программного обеспечения, указанный Danfoss 13 октября, был 5.3.x. Система на версии 3.x должна перейти на 4.x, а контроллер не может быть понижен после запуска 5.3.x, согласно лицензионному соглашению пакета. Начиная с версии 4.0, настройка Strict Session Control включена по умолчанию и требует HTTPS. На страницах Danfoss не указано, был ли пакет 5.3.x выпущен в ответ на атаку. Danfoss сообщила Cooling Post, что работает с клиентами над “обновлениями прошивки, где это возможно, усилением сетевой защиты и устранением прямого доступа в интернет, где это применимо”. Ее общие рекомендации по безопасности, опубликованные на французском языке, также предписывают операторам держать контроллеры недоступными из интернета, менять пароли по умолчанию при установке системы и требовать от удаленных пользователей входа через единую управляемую точку доступа. По состоянию на 13 октября CERT-FR не публиковала никаких индикаторов компрометации, поэтому у операторов нет официальных признаков для проверки. Магазины Coopérative U не покупают напрямую у Danfoss. Они являются клиентами подрядчиков по холодильному оборудованию, которые поставляют им систему Danfoss, сказал Шельшер. По состоянию на 13 октября CERT-FR не назвала ни уязвимости, ни версии прошивки, ни способа проникновения. В ее оповещении предостерегают от выставления интерфейсов управления в интернет, не указывая, что это был маршрут. Источник, близкий к премьер-министру Франции Себастьяну Лекорню, сообщил AFP, что ANSSI выявила уязвимость в программном обеспечении датской компании и связалась с поставщиком. CVE не был назван, и в заявлении не говорится, что уязвимость была использована в атаке. E.Leclerc сообщила AFP, что кибератака затронула одного из поставщиков ее холодильного оборудования, что сказалось на холодильном оборудовании в нескольких ее магазинах. Поставщик не был назван. Danfoss выпустила исправления для трех уязвимостей в более новой модели AK-SM 800A в 2025 году. Ни французские власти, ни Danfoss не связали их с этой атакой. CVE-2025-41450 — это обход аутентификации, способ обойти вход в систему, в версиях до 4.2. CVE-2025-41451 — это уязвимость внедрения команд, которая может привести к удаленному выполнению кода, а CVE-2025-41452 может позволить провести атаку типа “отказ в обслуживании”. Обе требуют входа в систему и были исправлены в версии 4.3.1. Исследователи из Claroty описали три уязвимости в августе, заявили, что их можно объединить в цепочки атак, и сообщили об обнаружении тысяч интерфейсов управления AK-SM 800A, доступных из интернета. Их тесты уязвимостей были лабораторной работой на более новой модели. Отчет не описывает никаких атак и не упоминает две старые модели. В информационном бюллетене Danfoss за октябрь 2025 года зафиксированы предыдущие атаки на AK-SM 800: в 2022 году были атакованы 16 российских супермаркетов, использующих эту модель, и в том же году было взломано 40 израильских магазинов. Все 40 не имели надлежащей защиты брандмауэром или VPN, и в обоих случаях бюллетень не называет уязвимости. Парижская прокуратура по собственной инициативе начала расследование, сообщила она AFP. Расследованием руководит отдел по борьбе с киберпреступностью, известный как OFAC. Расследование направлено на установление числа жертв и связи между атакой и заявленным ущербом, включая потерю продуктов питания и возгорание оборудования. ANSSI поддерживает контакт с агентствами кибербезопасности других европейских стран, поскольку эти страны могут быть затронуты, сообщил источник, близкий к премьер-министру. Феликс Эме, старший аналитик по угрозам в Sekoia, сообщил Reuters, что также пострадали Испания, Португалия, Польша, Германия и Бельгия. Reuters не предоставило подробностей по этим случаям.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
