Атака на холодильники во Франции затронула почти 700 супермаркетов: злоумышленники получили доступ к тысячам контроллеров охлаждения и подняли температуру до 50 °C. Продукты портились, а на отдельных объектах возникли пожары. Для российского ритейла и IT-команд это не экзотический инцидент, а вполне приземлённое напоминание: интернет-доступ к промышленному оборудованию превращает старую прошивку в точку входа в физический бизнес-процесс.
Как сообщает The Register, атака произошла поздно вечером в воскресенье. Французское национальное агентство по безопасности информационных систем ANSSI сначала сообщило о компрометации контроллеров Danfoss, а на следующий день добавило устройства Copeland и бренда Dixell. Многие атакованные системы были доступны из интернета; часть из них уже не получала обновлений безопасности, другие продолжали работать на устаревшем ПО.
В данном случае речь не о взломе касс или утечке программы лояльности. Контроллеры управляют холодильными установками в магазинах: поддерживают температурные режимы, следят за состоянием оборудования и позволяют персоналу администрировать его через веб-интерфейс. Если атакующий получает права администратора, он может менять параметры охлаждения, отключать устройство или выполнять команды в операционной системе контроллера. Последствия быстро выходят за пределы привычного ИБ-инцидента: списание товара, остановка магазина, риск повреждения оборудования и пожарная опасность.
Особенно неприятна здесь не только сама атака на холодильники, но и её предсказуемость. В августе исследователи Team82 из компании Claroty опубликовали сведения о десятках уязвимостей в Danfoss AK-SM 800A и Copeland XWEB. Среди проблем — обход аутентификации и выполнение команд ОС. Исследователи прямо описывали сценарии, в которых злоумышленник может остановить контроллер либо изменить режим так, чтобы разморозить продукты. У Danfoss уже была прошивка R4.3.1, закрывающая часть выявленных проблем, однако наличие обновления само по себе не обновляет тысячи устройств в магазинах.
Предупреждения появились и раньше. В феврале американское агентство CISA выпустило бюллетень почти по двум десяткам CVE в Copeland XWEB и XWEB Pro: уязвимости позволяли обходить аутентификацию, вызывать отказ в обслуживании, повреждать память и выполнять произвольный код. В мае 2025 года CISA предупредило и о проблемах серии Danfoss AK-SM 8xxA; уведомление затем обновляли в августе того же года. То есть у отрасли было не несколько дней на реакцию, а как минимум месяцы — и в части оборудования значительно больше года.
Данные страховой компании Coalition показывают, почему патчи не стали финалом истории. С 7 сентября по 6 октября её сканеры обнаружили 1 506 уникальных IP-адресов с публично доступной административной панелью Danfoss StoreView. На французские сети приходилось 820 адресов, или 54%. Всего специалисты насчитали не менее 2 624 контроллеров Danfoss и XWEB с открытой в интернет страницей входа; один IP-адрес мог обслуживать оборудование обоих типов. Это не доказывает, что каждое такое устройство было уязвимо, но показывает масштаб поверхности атаки. Уже после инцидента, по состоянию на четверг, в интернете всё ещё оставались 618 устройств Danfoss, включая 206 во Франции, 50 в США и два в Великобритании.
Для разработчиков и инфраструктурных команд вывод неприятный, но простой: OT нельзя обслуживать как набор «железок, которыми занимается эксплуатация». У контроллера есть прошивка, веб-панель, учётные записи, сетевые маршруты и жизненный цикл поддержки — то есть почти тот же набор проблем, что у обычного сервера, только ошибка может испортить не базу данных, а несколько тонн товара. Минимальная гигиена здесь включает инвентаризацию подключённых устройств, запрет прямого доступа к административным интерфейсам из интернета, сегментацию сетей, контроль версий прошивок и понятный план для оборудования, снятого с поддержки. Если обновить устройство невозможно, его не следует оставлять с публичной панелью управления в надежде на хороший пароль.
Рынок уже реагирует политически. Коалиция поставщиков OT-безопасности, куда входят Claroty, Forescout, Honeywell и Schneider Electric, после французской атаки вновь призвала CISA установить обязательные базовые требования к защите операционных технологий в федеральных системах США. Участники коалиции также предлагают Министерству сельского хозяйства США продвигать практики киберзащиты в пищевой отрасли. Формально в США аналогичных инцидентов пока не зафиксировано, но сценарий уже не выглядит теоретическим: атакующим достаточно искать устройства, которые владельцы подключили к сети ради удобного удалённого администрирования.
Следующая атака на холодильники может начаться не с сложного проникновения в корпоративную сеть, а с поиска открытой панели управления в интернете. Для ритейла главный вопрос теперь не в том, есть ли патч у производителя, а в том, известно ли компании, где стоят её контроллеры, кто имеет к ним доступ и какие из них давно живут за пределами срока поддержки.