Более 700 продуктовых магазинов и розничных точек в Европе за одну ночь столкнулись с атакой на системы охлаждения. Кибератака на холодильники заставляла морозильники, холодильные витрины и холодные склады нагреваться до 50 °C, из-за чего портились продукты, а в отдельных случаях возникали небольшие возгорания. Для российского IT-рынка это не экзотика из французских супермаркетов, а наглядная цена старого OT-оборудования, которое годами никто не считает частью киберрисков.
Как сообщает Dark Reading, основной удар пришёлся на французские торговые сети. По данным самих компаний, ущерб измеряется десятками, а возможно и сотнями миллионов евро. Одна только Intermarché сообщила о потерях на десятки миллионов. Аналитик французской компании Sekoia рассказал Reuters, что инциденты затронули также Испанию, Португалию, Польшу, Германию и Бельгию. Крупная сеть в Нидерландах профилактически отключила свои системы охлаждения.
Как атака маскировалась под штатное обслуживание
Системы управления коммерческим холодом позволяют удалённо задавать и отслеживать температуру 24 часа в сутки. Теоретически сотрудники могли заметить неладное по показаниям датчиков или тревогам. Однако атакующие, по данным французских источников, продлевали циклы разморозки. Во время такого цикла оборудование намеренно растапливает накопившийся лёд, поэтому рост температуры можно принять за плановое обслуживание, а не за аварию.
Именно эта деталь превращает историю из обычного отказа оборудования в серьёзный OT-инцидент. Атакующим было недостаточно получить доступ к контроллеру: им нужно было скрыть последствия достаточно долго, чтобы продукты испортились, а магазины не успели переключиться на резервные мощности. В продовольственном ритейле температура — это не абстрактный телеметрический параметр, а прямой индикатор товарных потерь, санитарного риска и остановки продаж.
Первые сообщения связывали инциденты с контроллерами датского производителя Danfoss. 9 августа исследователи Team82 из Claroty раскрыли три уязвимости в платформе Danfoss AK-SM 800A: CVE-2025-41450, CVE-2025-41451 и CVE-2025-41452. Они позволяли выполнить удалённый код либо вызвать отказ в обслуживании в инфраструктуре охлаждения. Danfoss выпустила исправления, но установка обновлений оставалась задачей клиентов.
Производитель заявил Reuters, что давно рекомендовал заказчикам обновлять поддерживаемые системы до актуальной версии прошивки и переводить устаревшие решения на новые платформы. В комментарии отраслевому изданию Cooling Post компания уточнила: большинство затронутых установок работало на AK-SM 800 либо более старой AK-SC355. Первая платформа достигла конца жизненного цикла в 2021 году, вторая — ещё в 2016-м. Это важное уточнение: речь не о внезапно появившейся проблеме в свежем продукте, а о накопленном техническом долге.
Не только Danfoss и не только супермаркеты
Во вторник французский CERT-FR сообщил, что в атаках фигурировала и XWEB — платформа управления холодильным оборудованием от Dixell и её материнской компании Copeland. CERT не назвал конкретные уязвимости или версии прошивок. Но совпадение выглядит тревожно: в день публикации проблем Danfoss команда Team82 раскрыла ещё 23 уязвимости в XWEB Pro, из которых 21 получила высокую оценку серьёзности.
Предыстория у инцидента тоже есть. С 26 августа начали появляться сообщения о сбоях холодильных установок на американских военных объектах. Проблемы фиксировали как минимум на 14 отдельных базах ВВС, объектах ВМС и постах сухопутных войск. Военные не подтвердили, были ли эти отказы следствием атак и связаны ли они с раскрытыми уязвимостями. Но последовательность событий показывает, насколько быстро исследовательская публикация может стать ориентиром для тех, кто сканирует интернет в поисках доступных промышленных контроллеров.
Для разработчиков и владельцев инфраструктуры главный вывод не сводится к совету «обновляйтесь». В OT-среде обновление прошивки часто требует окна обслуживания, проверки совместимости и участия подрядчика. Поэтому цепочка ответственности распадается: производитель выпускает патч, интегратор обслуживает объект, а бизнес уверен, что оборудование просто поддерживает нужную температуру. Пока никто не владеет полным реестром контроллеров, версий прошивок, удалённых доступов и сроков окончания поддержки, кибератака на холодильники остаётся вполне предсказуемым сценарием.
Ритейлу, логистическим операторам, производствам и дата-центрам стоит относиться к контроллерам климата как к критической части ИТ-ландшафта: сегментировать их от корпоративной сети, ограничивать удалённый доступ, отслеживать EOL-оборудование и проверять, кто может менять уставки. Случай в Европе оставляет неприятный открытый вопрос: сколько подключённых промышленных систем всё ещё работают на прошивках, для которых патч существует, но владелец давно перестал считать его своим делом?
