Danfoss AK-SM și AK-SC: compromiteri prin interfața expusă

Pe 12 octombrie 2026, CERT-FR, centrul de răspuns la incidente al agenției franceze ANSSI, a publicat buletinul de alertă CERTFR-2026-ALE-012 despre dispozitivele Danfoss din seriile AK-SM și AK-SC. CERT-FR declară că are cunoștință de numeroase compromiteri ale acestor dispozitive și atrage atenția asupra expunerii interfeței de administrare pe Internet.

Deocamdată singura sursă este alerta CERT-FR: în continuare redăm ce spune și semnalăm ce nu spune, fără să adăugăm ipoteze.

Ce s-a întâmplat

Potrivit CERT-FR:

• au loc numeroase compromiteri ale dispozitivelor Danfoss din seriile AK-SM și AK-SC;
• sistemele afectate sunt indicate ca seria AK-SC și seria AK-SM, fără distincție între modele sau versiuni de firmware;
• nivelul de risc este „nespecificat de producător”;
• expunerea unei interfețe de administrare pe Internet contravine bunelor practici.

Alerta este în versiunea inițială, din 12 octombrie 2026, și poate fi actualizată cu noi detalii.

Despre ce dispozitive este vorba

AK-SM și AK-SC sunt unități Danfoss de supraveghere și control (system manager și system controller) pentru instalații de refrigerare și climatizare, folosite mai ales în magazinele din distribuția alimentară. Sunt dispozitive de tehnologie operațională (OT): supraveghează și reglează instalații fizice, iar cine controlează interfața lor de administrare poate acționa asupra setărilor.

Detalii tehnice: ce spune și ce nu spune alerta

• CVE: alerta nu indică niciunul.
• Versiuni afectate: nu sunt indicate; alerta vorbește despre serii în ansamblu.
• Vector: interfața de administrare accesibilă de pe Internet. CERT-FR nu precizează cum au intrat atacatorii (o vulnerabilitate, credențiale slabe sau implicite, altceva) și nici ce au făcut pe dispozitivele compromise.
• Indicatori de compromitere: niciunul publicat.
• MITRE ATT&CK for ICS: accesul la un dispozitiv industrial accesibil direct de pe Internet corespunde tehnicii T0883 (Internet Accessible Device). Alerta nu enumeră tehnicile folosite.

Printre acțiunile de remediere, CERT-FR cere aplicarea tuturor corecțiilor de securitate disponibile, rotirea secretelor și verificarea conturilor existente: verifică împreună cu Danfoss sau cu instalatorul tău care este ultima versiune disponibilă pentru dispozitivele tale.

Impactul pentru companiile europene și italiene

Alerta este franceză, dar se referă la produse, nu la o țară: este valabilă pentru oricine are un AK-SM sau un AK-SC accesibil de pe Internet. Primele care trebuie să verifice sunt lanțurile din distribuția alimentară, logistica frigorifică și companiile care încredințează întreținerea instalațiilor unui furnizor extern cu acces de la distanță: tocmai furnizorii de servicii sunt singurii cărora CERT-FR le permite să păstreze accesul în caz de suspiciune de compromitere.

Producția, prelucrarea și distribuția de alimente se numără printre sectoarele directivei NIS2. Dacă firma ta intră sub incidența ei, compromiterea unui sistem care controlează instalațiile este un incident de evaluat pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia al ACN.

Ce să faci acum

Măsurile indicate de CERT-FR:

1. Deconectează sau filtrează accesul la instanțele AK-SM și AK-SC.
2. Dacă administrarea de la distanță este indispensabilă, ca primă măsură temporară limitează accesul la adrese IP de încredere. CERT-FR recomandă totuși să urmezi recomandările sale de securizare, în special documentul CERTFR-2025-DUR-003, „Recomandări pentru actorii din sectorul energiei și al apei”.

În caz de suspiciune de compromitere, CERT-FR indică:

1. filtrarea accesului de rețea la instanțele AK-SM și AK-SC, permițându-l doar furnizorilor de servicii;
2. o resetare la setările din fabrică (factory reset);
3. aplicarea tuturor corecțiilor de securitate disponibile;
4. rotirea secretelor (parole și alte credențiale);
5. verificarea conturilor existente;
6. reconfigurarea completă a dispozitivului.

Resetarea la setările din fabrică șterge configurația, care trebuie apoi refăcută (ultimul pas): planific-o cu cine administrează instalația, ca să limitezi oprirea refrigerării.

Ca să afli dacă ești expus, pornește de la inventar: ce dispozitive AK-SM și AK-SC ai, în ce sedii și dacă interfața lor de administrare este accesibilă de pe Internet, direct sau prin regulile deschise pentru instalator pe routerul ori pe firewallul sediului.

Cum ajută ARXDOME

ARX Expose arată ce vede un atacator din exterior: porturi deschise și produse recunoscute pe adresele publice ale firmei tale, utile ca să descoperi dacă o interfață de administrare este accesibilă de pe Internet. ARX Watch găsește în rețeaua companiei dispozitivele pe care nu este instalat nimic, le identifică porturile și serviciile și te anunță când apare unul nou. Cu ARX Sentry, logurile firewallurilor ajung în portal, iar perimetrul rămâne sub control.

Ultima actualizare: 12 octombrie 2026