ИИтог

Атака на холодильники Danfoss во Франции: панели месяцами были открыты в сети

безопасностьРедакция ИИтогHacker News🔥69Рейтинг ИИтог69Влияние62Новизна50Релевантность65Неожиданность75Участники45Достоверность85
Атака на холодильники Danfoss во Франции: панели месяцами были открыты в сети

В ночь с 11 на 12 октября 2026 года холодильники и морозильники в сотнях французских супермаркетов начали нагреваться. Атакующие перевели системы охлаждения в режим разморозки, при котором охлаждающие элементы нагреваются, чтобы растопить лёд. Часть устройств нагрелась до 50°C, а по словам парижского прокурора, на некотором оборудовании начались возгорания. Магазины выбрасывали свежие и замороженные продукты. В сообщениях фигурировал один производитель контроллеров для холодильных систем, датская промышленная компания Danfoss.

Масштаб растёт. По данным Futura-Sciences, пострадали более 400 магазинов, а убытки могут достичь нескольких миллионов евро. Carrefour сообщила о 80 пострадавших магазинах, у Intermarché и Netto (обе входят в группу Les Mousquetaires) их более 300, Monoprix говорит о примерно 5% затронутых магазинов. Leclerc и Coopérative U тоже подтвердили атаки. Глава Coopérative U Доминик Шельшер (Dominique Schelcher) сказал RTL, что пострадали 80 из 2 000 магазинов сети, и добавил, что магазины не покупают оборудование у Danfoss напрямую, а пользуются системой Danfoss, которую поставляют их подрядчики по холодильному оборудованию.

Danfoss заявила, что большая часть пострадавшего оборудования устаревшая («legacy»), и назвала две старые модели контроллеров: AK-SM 800 и AK-SC 355. Французское агентство кибербезопасности CERT-FR сообщило, что знает о многочисленных взломах контроллеров AK-SM и AK-SC, и велело операторам отключить их или ограничить доступ к ним. 13 октября CERT-FR дополнило оповещение системами-супервайзерами XWEB (они следят за холодильниками и морозильниками магазина) от Copeland, американского производителя холодильного оборудования, и его итальянского бренда Dixell. По оценке агентства, кампании атак, вероятно, продолжаются. Кто это сделал и как проник, никто не сообщал; прокуратура Парижа начала расследование.

Компания IPinfo каждую неделю сканирует IPv4-интернет по обычным портам сайтов. В обходе 6-7 октября, за пять дней до атаки, нашлось 2 528 адресов с веб-панелью Danfoss StoreView. Это страница, через которую магазины и техники следят за контроллерами и управляют ими, своего рода пульт в подсобке, но открытый любому, кто введёт адрес. Во Франции было 1 331 такая панель (53%), больше, чем в остальных 72 странах и территориях вместе взятых (1 197). Следом шли Польша (179), США (101), Португалия (92) и Бельгия (85). Почему именно Франция, по данным сказать нельзя, но кое-что они исключают: французские панели работали на тех же версиях ПО, что и везде, то есть обновлялись не хуже других. Подключены они тоже обычным образом: около двух третей через одного национального провайдера, 98% находятся в сетях телеком-операторов, а не в дата-центрах или облаках. Это похоже на контроллер, подключённый к интернету самого магазина, с доступом, открытым для техника или головного офиса.

Панели бывают двух поколений. Старая построена на Flash (браузерный плагин, прекращённый в 2020 году) и обслуживается AK-SM 800. Danfoss объявила эти контроллеры снятыми с поддержки в 2023 году; в том же году фирма Synacktiv опубликовала способ обхода входа без пароля, а Danfoss советовала ограничить сетевой доступ. Это и есть «legacy». Новая работает на AK-SM 800A, актуальной модели. Её панель показывает дату сборки ПО: у 242 панелей это 19 мая 2023 года, дата сборки прошивки 3.3. Контроллеры старше 3.3 не имеют трёх исправлений 2023 года, включая одно для критической уязвимости; старше 4.2 не имеют исправления обхода входа 2025 года, старше 4.3.1 не имеют ещё двух исправлений 2025 года.

Итог: 85% французских панелей (1 136 из 1 331) работали на ПО с известными уязвимостями, почти как 84% в остальном мире. Это 527 старых контроллеров без поддержки Danfoss, 280 без исправлений 2023 года и 329 без исправлений 2025 года. Все известные исправления были лишь у 195.

Проблема была не новой. Каждый еженедельный скан с конца марта 2026 года до атаки находил от 2 464 до 2 622 открытых панелей Danfoss, примерно половина во Франции. Это в основном одни и те же устройства: из 1 331 французской панели 6 октября 1 019 были открыты по тому же адресу ещё 30 марта. Число старых контроллеров без поддержки не уменьшилось (519 в конце марта, 527 в октябре), а доля новых французских контроллеров со всеми известными исправлениями выросла с 14% до 24%, меньше двух пунктов в месяц.

После атаки большинство магазинов отключилось. В скане 14 октября из 1 331 французской панели по тому же адресу остались только 316, падение на 76%; в недельных сканах с августа по начало октября за неделю пропадало лишь 3-7%. Сильнее всего упало число старых контроллеров без поддержки (с 527 до 64). Полностью обновлённых стало меньше (с 195 до 54), что, по оценке IPinfo, указывает на отключение, а не обновление. Вне Франции пропало 25% панелей против обычных 9-12%. Censys, другая компания-сканер с ежедневным подсчётом, увидела похожее падение на 71% во Франции с 11 по 14 октября. 14 октября технический директор Claroty (компании, нашедшей уязвимости 2025 года) сказал Tom's Guide, что открытые AK-SM 800 всё ещё в сети; скан IPinfo в тот день нашёл 64 таких.

Другие страны. Панели Danfoss с известными уязвимостями были открыты ещё в 69 странах и территориях, лидируют Польша (157), США (85) и Португалия (77). Где-то преобладали старые контроллеры без поддержки: 80% в Исландии, 75% в Австралии, 72% в Германии. По сообщениям, могли пострадать и другие европейские страны: аналитик, которого цитирует австралийская ABC, назвал Испанию, Португалию, Польшу, Германию и Бельгию. IPinfo не может сказать, так ли это, но у всех пяти за пять дней до атаки были открытые устаревшие панели Danfoss.

XWEB. В обновлённом оповещении CERT-FR упомянуты XWEB-супервайзеры Dixell (итальянский бренд Copeland), и IPinfo посчитала их тоже: 1 611 панелей в 66 странах, но лишь 70 во Франции; в Италии, где базируется Dixell, 467. Судя по дате сборки ПО, только у 180 из 752 новых XWEB PRO были февральские исправления 2026 года; остальные 859 были старыми моделями без обновлений от Copeland с 2018 года. После атаки французские операторы отключили и XWEB: скан 14 октября нашёл только 20 из 70, падение на 71% при обычной потере 2-9% в неделю. В других странах, включая Италию, число упало в обычном темпе.

Методика. Панели определялись двумя «отпечатками»: новый интерфейс по заголовку страницы, старый по веб-серверу и загрузочной странице Flash (так определяется AK-SM 800). AK-SC 355, которые назвала Danfoss, могут не попасть в подсчёт. Из выборки убрали 16 устройств не от Danfoss с таким же веб-сервером и два адреса, похожих на ловушку-приманку (honeypot). Независимый подсчёт исследователя Бабтиста Робера (Baptiste Robert) в X дал 2 752 системы Danfoss в сети, 1 590 во Франции. Censys насчитала больше: 1 825 новых панелей во Франции на 11 октября, 61% от её мирового итога.

Цифры минимальные: только IPv4 и сканируемые порты, а один адрес не всегда равен одному магазину. Адреса IPinfo не публикует. CERT-FR сообщило IPinfo, что уже определило затронутые системы; IPinfo связалась с CERT-EU, чтобы помочь другим европейским командам.

Рекомендации CERT-FR: убрать контроллеры из публичного интернета, а если подрядчику нужен удалённый доступ, дать его через защищённый VPN. Разрешить только адреса подрядчика, полумера, а не решение. Одного сброса к заводским настройкам мало: открытый контроллер без обновлений, скорее всего, взломают снова. Для систем Danfoss агентство также советует обновить прошивку, выставить уровень безопасности Strict и сменить пароли по умолчанию.

Чего не знает никто: IPinfo не может по сканам сказать, как атакующие проникли и кто они, и не знает, какие сети и магазины пострадали. Возможность открыть панель из интернета не значит, что через неё можно взломать систему, и никто не сообщал, использовались ли названные уязвимости.

Ключевые факты

  • В ночь на 12 октября 2026 года хакеры включили на контроллерах разморозку в сотнях французских супермаркетов: по данным Futura-Sciences, пострадали более 400 магазинов (Carrefour: 80, Intermarché и Netto: более 300, Coopérative U: 80 из 2 000), некоторые устройства нагрелись до 50°C, по словам парижского прокурора, на части оборудования начались возгорания.
  • По сканам IPinfo от 6-7 октября, за пять дней до атаки, в интернете были открыты 2 528 панелей Danfoss StoreView, 1 331 (53%) из них во Франции, больше, чем в остальных 72 странах вместе (1 197).
  • 85% французских панелей (1 136 из 1 331) работали на ПО с известными уязвимостями; все известные исправления были лишь у 195. Открытых панелей было примерно столько же с конца марта, и в основном это были те же устройства (1 019 из 1 331 по тому же адресу).
  • После атаки к скану 14 октября по тому же адресу остались только 316 французских панелей (падение на 76% при обычных 3-7% в неделю); CERT-FR советует убрать контроллеры из публичного интернета, использовать VPN, обновить прошивку и сменить пароли по умолчанию.
  • Кто атаковал и как проник, неизвестно; прокуратура Парижа начала расследование, а IPinfo подчёркивает, что открытая панель сама по себе не доказывает возможность взлома, и неизвестно, использовались ли в атаке известные уязвимости.

Почему это важно

Это редкий случай, когда кибератака физически портит товар и оборудование: нагрев холодильников до 50°C, возгорания по словам парижского прокурора и выброшенные продукты в сотнях магазинов, убытки могут достичь нескольких миллионов евро. Данные IPinfo показывают, что открытые в интернет панели управления холодом висели там месяцами: каждый еженедельный скан с конца марта находил от 2 464 до 2 622 таких панелей, а старых контроллеров без поддержки во Франции не стало меньше (519 в конце марта, 527 в октябре). Обновления шли медленно: доля новых французских контроллеров со всеми известными исправлениями выросла лишь с 14% до 24%.

Кому это важно

Прежде всего розничным сетям и их подрядчикам по холодильному оборудованию: Coopérative U отмечает, что магазины пользуются системой Danfoss, которую поставляют подрядчики, то есть владелец магазина может не знать, что панель открыта. Также это касается ИТ-команд и специалистов по безопасности в странах, где такие панели тоже найдены: помимо Франции это Польша, США, Португалия, Бельгия и другие. Затронуты и пользователи систем XWEB от Copeland и Dixell, которые добавили в оповещение CERT-FR.

Как это применить

Рекомендации CERT-FR: убрать контроллеры из публичного интернета; если подрядчику нужен удалённый доступ, дать его через защищённый VPN (разрешение только адресов подрядчика, полумера); обновить прошивку, выставить уровень безопасности Strict и сменить пароли по умолчанию. Сброс к заводским настройкам сам по себе не помогает: открытый контроллер без обновлений, скорее всего, снова будет взломан. CERT-FR также советует проверить условия страховки, прежде чем отключать передачу данных контроллеров подрядчикам по холодильному оборудованию.

Можно ли доверять

Источник, блог IPinfo, компании, которая сама делает интернет-сканы; автор, Жуан Томе (João Tomé), редактор по исследованию интернет-данных IPinfo. Цифры по атаке (400+ магазинов, данные сетей) приведены по сообщениям Futura-Sciences, самих сетей и CERT-FR, а возгорания, по словам парижского прокурора. Данные сканов независимо подтверждаются подсчётом Бабтиста Робера и сканами Censys, которые дают близкие или большие числа. Сама IPinfo честно оговаривает, что её числа минимальные.

Риски и подводные камни

Связь между открытыми панелями и атакой не доказана: IPinfo не знает, как проникли атакующие и кто они, и никто не сообщал, использовались ли перечисленные уязвимости. Открытая панель сама по себе не значит, что её можно взломать. Подсчёт охватывает только IPv4 и сканируемые порты, а один адрес не всегда равен одному магазину; AK-SC 355 могут не попасть в подсчёт. Причину высокой доли Франции данные объяснить не могут. Сообщения о поражении других стран Европы основаны на словах одного аналитика, процитированного ABC, и IPinfo их не подтверждает. CERT-FR считает, что кампании атак, вероятно, продолжаются.