Supermarketuri din Franța: frigidere Danfoss sabotate

În noaptea dintre duminică 11 și luni 12 octombrie 2026, sute de supermarketuri franceze și-au găsit vitrinele frigorifice și congelatoarele oprite sau, mai rău, încălzind. Atacatorii au preluat de la distanță controlul sistemelor de reglare a refrigerării, produse de compania daneză Danfoss, și au declanșat degivrarea forțată a instalațiilor. Produsele proaspete și congelate au trebuit aruncate.

Pe 12 octombrie, CERT-FR a publicat o alertă privind compromiterea unităților Danfoss AK-SM și AK-SC cu interfața de administrare expusă pe Internet, despre care am scris deja pe ARX News. Acest articol adună ce s-a aflat ulterior: victime, mecanism, modele afectate și vulnerabilități cunoscute.

Ce s-a întâmplat

Atacul a fost confirmat public de Dominique Schelcher, directorul general al Coopérative U (Hyper U, Super U, U Express), care l-a numit „de o gravitate extremă” și „fără precedent”. Cifrele privind magazinele afectate diferă în funcție de sursă:

• Groupement Mousquetaires a indicat pentru Infosecurity Magazine 150 de magazine Intermarché și 30 Netto; pentru AFP, potrivit DataBreaches.net, 150–200 de magazine Intermarché; postul de televiziune BFMTV, citat de The Record, vorbește despre circa 300 de magazine Intermarché și Netto;
• Coopérative U: sub 100 de magazine potrivit BFMTV, aproape 100 potrivit AFP;
• Carrefour: 80 de magazine din 6.000, potrivit unui purtător de cuvânt citat de Infosecurity Magazine; Groupe Casino vorbește despre 5% din magazinele Monoprix;
• E.Leclerc a fost numit de comisarul european pentru agricultură Christophe Hansen; rețeaua nu a comentat.

În total, potrivit BleepingComputer, presa franceză estimează între 250 și 350 de magazine afectate. Doar două magazine din Haguenau, în Alsacia, ar fi pierdut marfă în valoare de 270.000 de euro (BFMTV). Parchetul din Paris a deschis o anchetă, iar ANSSI a declarat că este mobilizată la nivel național și european. Niciun grup nu a revendicat atacul.

Detalii tehnice

Mecanismul. Potrivit BFMTV, preluată de mai multe publicații, atacatorii au forțat cicluri de degivrare continue, cu o temperatură setată de până la 50 °C. ZATAZ precizează că 50 °C este valoarea configurată, nu neapărat temperatura atinsă în vitrine. În multe magazine modificările ar fi început în jurul miezului nopții, cu ore înainte de sosirea personalului; potrivit Help Net Security, unele magazine au salvat o parte din marfă pentru că au fost atacate mai târziu sau datorită alarmelor primite la timp.

Dispozitivele. Danfoss, într-o declarație pentru ZATAZ preluată și de Infosecurity Magazine și LeMagIT, vorbește despre un „număr limitat” de sisteme și arată că majoritatea sunt:

• AK-SM800 și AK-SC355: produse de generație veche, la sfârșitul ciclului de viață, care nu mai primesc actualizări software sau de securitate;
• AK-SM800A cu un firmware învechit.

Un purtător de cuvânt Intermarché a precizat pentru Infosecurity Magazine că pupitrele afectate aveau funcții de control de la distanță fără un canal de comunicare protejat corespunzător. ZATAZ, pe baza unei singure surse din sector, relatează că ar fi fost vizate versiuni ale software-ului anterioare versiunii 4.

Vulnerabilități cunoscute. Nicio sursă nu a confirmat calea de acces folosită. Pentru AK-SM 800A sunt cunoscute:

• CVE-2025-41450, ocolirea autentificării, care potrivit LeMagIT afectează versiunile anterioare versiunii 4.2;
• CVE-2025-41451, injecție de comenzi cu execuție de cod de la distanță;
• CVE-2025-41452, injecție de configurație în serverul web integrat.

Datele diferă: LeMagIT plasează primul aviz Danfoss în martie 2025, în timp ce BleepingComputer citează avizele CISA din mai și august 2025. Infosecurity Magazine menționează și CVE-2023-25915. Vulnerabilitățile au fost descoperite de Team82 de la Claroty, care în august 2026 a arătat cum un controler compromis poate opri răcirea afișând în continuare temperaturi normale.

Expunerea. Estimările privind dispozitivele Danfoss accesibile de pe Internet diferă: peste 2.700 potrivit Claroty, 3.726 de controlere într-o căutare Shodan din 19 august citată de Infosecurity Magazine, 2.752 de sisteme, dintre care 1.590 în Franța, potrivit lui Baptiste Robert (Predicta Lab), aproape 3.000 în Franța potrivit LeMagIT.

MITRE ATT&CK for ICS. Pe baza faptelor relatate, interpretarea noastră este: T0883 (Internet Accessible Device), T0836 (Modify Parameter) pentru modificarea degivrării și a temperaturii, T0879 (Damage to Property) pentru marfa distrusă. Sursele nu publică indicatori de compromitere.

Tot pe 12 octombrie, Ahold Delhaize a deconectat unele sisteme din cauza unui incident în Țările de Jos și Belgia: potrivit Help Net Security și BleepingComputer, nu există niciun indiciu care să lege cele două cazuri.

Impactul pentru companiile europene și italiene

Unitățile AK-SM și AK-SC sunt răspândite în toată Europa în distribuția alimentară, în logistica frigorifică și, după cum amintește Claroty, în depozite, industria farmaceutică și cea chimică. Cazul francez arată că un atac asupra unui sistem OT slab protejat produce pagube fizice imediate: marfă pierdută, magazine de reaprovizionat, riscuri pentru siguranța alimentară. Producția, prelucrarea și distribuția alimentelor se numără printre sectoarele directivei NIS2: dacă firma ta intră în ele, compromiterea unui controler al instalațiilor este un incident de evaluat pentru notificarea către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). Același lucru este valabil pentru lanțul frigorific al medicamentelor în domeniul sanitar.

Ce trebuie să faci acum

1. Inventar: notează controlerele Danfoss (și, în general, sistemele de reglare a frigului) din fiecare locație, cu modelul și versiunea de firmware.
2. Elimină expunerea directă: interfața de administrare nu trebuie să fie accesibilă de pe Internet. Accesul de la distanță, inclusiv al instalatorului, trebuie să treacă printr-o rețea de administrare separată sau printr-un VPN, cum recomandă și Danfoss; imediat, limitează accesul la adrese IP de încredere.
3. Actualizează unitățile AK-SM800A la cel mai recent firmware disponibil și planifică înlocuirea unităților AK-SM800 și AK-SC355, care nu vor mai primi corecturi.
4. Credențiale și conturi: schimbă parolele, eliminându-le pe cele implicite, și verifică conturile de pe controlere.
5. Verifică setările: programele de degivrare, temperaturile setate și alarmele, comparându-le cu configurația așteptată.
6. Alarme independente: cum un controler compromis poate falsifica citirile, adaugă sonde de temperatură și alarme care nu depind de controlerul însuși.
7. Dacă suspectezi o compromitere, urmează măsurile CERT-FR: filtrarea accesului, resetare la setările din fabrică, corecturi, rotirea secretelor și reconfigurare completă.

Cum te ajută ARXDOME

ARX Expose arată ce vede un atacator din exterior: porturi deschise și produse recunoscute pe adresele publice ale firmei tale, ca să afli dacă interfața unui controler este accesibilă de pe Internet. ARX Watch găsește în rețeaua companiei dispozitivele pe care nu este instalat nimic, cum sunt controlerele instalațiilor, și te avertizează când apare unul nou. Cu ARX Sentry, jurnalele firewall-urilor ajung în portal, iar accesele la perimetru rămân sub control.

Ultima actualizare: 12 octombrie 2026