Controlere frigorifice atacate în Franța: alerta CERT-FR
În noaptea de 11 spre 12 octombrie 2026, atacatori au preluat de la distanță controlere de refrigerare din supermarketuri franceze și au ridicat temperatura din vitrinele frigorifice, până la circa 50 °C potrivit Les Mousquetaires. CERT-FR a publicat pe 12 octombrie alerta CERTFR-2026-ALE-012 pentru controlerele Danfoss AK-SC și AK-SM, extinsă pe 13 octombrie la Copeland xweb și Dixell xweb. DNSC România a publicat pe 14 octombrie o alertă pe aceeași temă.
Nu este o vulnerabilitate cu un CVE și un patch. CERT-FR nu numește niciun CVE sau vreo versiune de firmware, iar dispozitivele vizate sunt în mare parte scoase din suport. Pentru un inventar de active, lecția este concretă: o interfață de administrare a unui controler industrial, expusă direct în Internet, este o expunere, indiferent dacă are sau nu un CVE.
Ce este confirmat
CERT-FR spune că are cunoștință de „numeroase compromiteri” ale controlerelor de la distanță și recomandă ca interfețele de administrare să nu fie expuse în Internet. Alerta a fost publicată pe 12 octombrie și actualizată pe 13 octombrie cu echipamente suplimentare. Echipamentele listate sunt Danfoss AK-SC, Danfoss AK-SM, Copeland xweb și Dixell xweb. CERT-FR avertizează că campaniile sunt probabil încă active și că un echipament scos din suport, lăsat expus, are un risc foarte ridicat de compromitere.
Danfoss a declarat, potrivit franceinfo, că majoritatea aparatelor afectate sunt învechite și fără actualizări. The Hacker News citează Danfoss: AK-SM 800 este în sfârșit de viață din mai 2021, iar AK-SC 355 a fost retras în 2016; unele unități AK-SM 800A, modelul actual, au fost și ele afectate și rulau firmware învechit. Ținta sunt, potrivit presei, sisteme de management care pot fi administrate de la distanță de firmele de mentenanță.
Cifrele diferă
Ministrul francez al Economiei a vorbit de circa 700 de supermarketuri din 10.000, potrivit AP citat de ComplexDiscovery. Reuters a dat un minim de 350. Pentru Intermarché și Netto, cifrele raportate variază între circa 150 (Reuters) și cel puțin 300 (AFP, citând compania). Coopérative U a spus 80 din 2.000 de magazine, Carrefour 80, iar Monoprix circa 30 (AFP) sau 5% din magazine (franceinfo). E.Leclerc a spus „mai multe magazine” și a dat vina pe un furnizor.
Estimările de pierderi nu sunt verificate: CEO-ul Les Mousquetaires vorbește despre zeci de milioane de euro (BFMTV, via Reuters), în timp ce o sursă anonimă citată de France Inter vorbește despre mai multe milioane. Nu se știe cine a făcut atacul și nicio grupare nu l-a revendicat, și nu a fost raportată nicio cerere de răscumpărare, potrivit Reuters.
Ce nu se știe
Nu se știe cum au intrat atacatorii și ce vulnerabilitate sau configurație au folosit; CERT-FR nu numește niciun CVE. O sursă apropiată de prim-ministrul francez a spus, potrivit AFP și Reuters, că ANSSI a identificat o vulnerabilitate într-un software al unei companii daneze și a contactat producătorul, fără să fie numită sau legată public de atac. Pentru AK-SM 800A, Danfoss a publicat în 2025 avize pentru CVE-2025-41450, CVE-2025-41451 și CVE-2025-41452; The Hacker News notează că nici autoritățile, nici Danfoss nu le-au legat de acest atac.
Reuters a citat un cercetător Sekoia care spune că Spania, Portugalia, Polonia, Germania și Belgia au fost și ele lovite, fără detalii; nu am putut verifica. Nici legătura cu alte incidente, de pildă la Ahold Delhaize sau la magazinele militare americane, nu este confirmată.
Ce spune CERT-FR că faci
Dacă echipamentul nu este compromis, alerta cere în ordine: scoate din Internet unitățile afectate și orice alt echipament accesibil pe o adresă IP publică (verifică întâi clauzele contractului de asigurare înainte de a tăia încărcarea de date către firma de refrigerare); revizuiește configurația completă, în special programele de dezghețare; restabilește accesul doar printr-un VPN securizat sau o rețea protejată (filtrarea adreselor IP ale firmei de mentenanță este acceptabilă doar ca măsură de urgență); aplică recomandările producătorului, de pildă actualizarea firmware-ului, nivelul de securitate „Strict” la Danfoss și schimbarea parolelor implicite.
Pentru un echipament compromis, pașii sunt: scoate-l din Internet, restaurează-l la setările din fabrică, restabilește accesul doar prin VPN, reconfigurează-l înainte de repunerea în funcțiune și aplică recomandările producătorului. CERT-FR avertizează că resetarea din fabrică elimină persistența existentă, dar dispozitivul rămâne vulnerabil și va fi probabil compromis din nou.
Resetarea și dovezile
ComplexDiscovery notează, ca analiză proprie și nu a CERT-FR, că o resetare din fabrică poate șterge configurația, jurnalele și modificările de conturi de care au nevoie anchetatorii și asigurătorii, și recomandă păstrarea lor înainte, dacă siguranța permite. Pentru un controler de refrigerare, siguranța contează: o vitrină care se încălzește înseamnă marfă pierdută. De aceea ordinea este o decizie, nu o regulă: salvează configurația, jurnalele și lista conturilor când poți, apoi resetează.
Ce verifici în inventarul tău
- ▸Controlere de refrigerare, HVAC, energie sau acces cu interfață web, inclusiv cele administrate de furnizori. Întreabă contractorul ce modele, ce versiuni și ce adrese publice are, nu presupune.
- ▸Adresele IP publice ale propriei organizații: verifică ce servicii răspund. Cercetătorii citați numără mii de interfețe Danfoss expuse (de pildă 2.752 la Predicta Lab, din care 1.590 în Franța; cel puțin 4.500 la Reuters, cu Shodan), cu metode diferite și deci necomparabile.
- ▸Starea de suport: AK-SM 800 și AK-SC 355 nu mai primesc actualizări, iar Danfoss recomandă înlocuirea lor. Un echipament scos din suport și expus se tratează ca vulnerabil, chiar fără CVE.
- ▸Pentru AK-SM 800A: The Hacker News relatează, după readme-ul pachetului, că trecerea se face întâi de la 3.x la 4.x, că de la 5.3.x nu mai poți reveni la o versiune anterioară și că de la 4.0 sesiunile stricte cer HTTPS. Verifică la Danfoss înainte să actualizezi.
- ▸Contractul de asigurare și cel cu firma de mentenanță: cine poate deconecta, cine plătește dacă marfa se pierde și ce dovezi trebuie păstrate.
Închide alerta cu dovezi
Pentru fiecare controler, păstrează modelul, versiunea, statutul de suport, dacă a avut adresă publică, data scoaterii din Internet, metoda de acces restabilită, configurația salvată înainte de orice resetare și persoana care a aprobat decizia. Dacă nu ai niciun astfel de echipament, păstrează interogarea sau confirmarea de la contractori și data ei.
Controlerele expuse sunt active de inventariat
Păstrează în Awarely Monitor lista controlerelor, statutul de suport și dovezile deconectării de la Internet. Accesul VPN și configurarea rămân la firma de mentenanță și în sistemele voastre.