Более 115 магазинов в шести европейских странах столкнулись с взломом холодильных систем: злоумышленники удалённо меняли настройки морозильников, отключали охлаждение и запускали разморозку. Для ритейла это не просто сбой «умного оборудования»: продукты приходится срочно спасать в рефрижераторах или списывать, а менеджерам — приезжать в магазин глубокой ночью. Для российской IT-аудитории история полезна как наглядный пример того, во что превращается плохо защищённый промышленный IoT.
По данным BleepingComputer, инциденты зафиксированы в Бельгии, Нидерландах, Швеции, Люксембурге, Ирландии и Эстонии. Неясно, была ли это единая скоординированная атака или серия отдельных компрометаций, но набор симптомов совпадает: холодильные установки переставали работать, функционировали лишь частично либо начинали нагреваться. В одном из шведских магазинов сети ICA злоумышленники ночью выставили температуру на уровне +50 °C; изменить её персонал не смог, поэтому замороженные товары пришлось выбросить.
Масштаб пока выглядит заметным, но не катастрофическим для самих сетей. ICA подтвердила проблемы как минимум в четырёх точках, шведская Coop — в семи из более чем 800 магазинов. Ahold Delhaize сообщила примерно о 40 пострадавших локациях в Бельгии и Люксембурге, Carrefour — о 15 из 700 бельгийских магазинов. У Spar Colruyt затронуто около пяти торговых точек, у Intermarché — около 15, у ирландской SuperValu — 13, у эстонской Selver — один магазин. В Нидерландах проблемы обнаружили минимум в 17 мясных лавках и небольших магазинах; среди бельгийских пострадавших упоминается и гипермаркет Ikea в Монсе.
Большинство сетей подчёркивают, что магазины не закрывались полностью. Carrefour заявила, что неполадки касались лишь части установок, в основном морозильных камер, а не всей инфраструктуры. Однако «работает магазин» и «не потеряна выручка» — разные вещи. Если охлаждение вышло за допустимый температурный режим, ритейлеру приходится решать вопрос не только с товарными потерями, но и с безопасностью продуктов, логистикой и репутацией.
Разморозка как инструмент атаки
Представитель поставщика холодильного оборудования Sabcobel Стефан Муланс связал новые сбои с той же уязвимостью, которую использовали при похожих атаках на французские магазины в октябре. По его словам, атакующие дистанционно активировали режим разморозки. Техники начали отключать затронутые установки примерно с часа ночи, чтобы ограничить ущерб. Проблема, по оценке Sabcobel, не сводится к установке обновления: части холодильников требуются физические доработки.
Во Франции предыдущая кампания затронула сотни торговых объектов с контроллерами Danfoss AK-SM/AK-SC и Copeland/Dixell XWEB. Их переводили в режим разморозки через удалённый доступ. Это важная деталь: речь идёт не о взломе центральной корпоративной сети как таковой, а о доступной через интернет операционной технологии. У таких систем вполне материальный результат работы — температура, срок годности и состояние товара на полке. Ошибка в правах доступа здесь измеряется не только количеством утекших записей, но и тоннами испорченной продукции.
В ICA отдельно указали, что затронутые магазины работали вне центральной сети компании. У Colruyt также подчеркнули, что пострадавшие точки Spar управляются независимыми предпринимателями и используют собственные холодильные системы. Для крупных организаций это неудобное напоминание: распределённая франчайзинговая или партнёрская модель не отменяет общей поверхности атаки. Централизованный SOC может хорошо видеть офисные сервисы, но не замечать контроллер за морозильной витриной, который обслуживает подрядчик и к которому когда-то открыли удалённый доступ для техподдержки.
Самый практичный вывод из истории — учитывать OT-оборудование в инвентаризации активов и моделях угроз наравне с серверами, кассами и терминалами. Для холодильных контроллеров нужны отдельные сегменты сети, строгая аутентификация удалённых сессий, журналирование команд и понятный аварийный сценарий: кто отключает внешний доступ, кто едет на объект, где взять резервное охлаждение. Если поставщик предлагает защищённое подключение, это не повод принимать его на веру, но повод проверить архитектуру, обновления и ответственность сторон в договоре.
У бизнеса всё меньше «второстепенных» систем
Атака на холодильники хорошо ложится в более широкий тренд: злоумышленники ищут системы, где цифровое воздействие быстро превращается в операционный ущерб. Вымогатель может остановить офисную сеть, а компрометация контроллера — испортить товар, сорвать производство или нарушить хранение лекарств. При этом у подобных устройств часто долгий жизненный цикл, слабые процедуры обновления и доступ к ним через интерфейсы, которые проектировались для удобства сервисного инженера, а не для противостояния атакующему.
Пока нет публичного подтверждения, кто стоит за европейскими инцидентами и как именно был получен доступ к конкретным системам. Но уже ясно другое: взлом холодильных систем перестал быть экзотическим сюжетом для конференций по промышленной безопасности. Следующая проверка зрелости ритейлера будет не в том, есть ли у него «умные» витрины, а в том, сможет ли он быстро и безопасно вернуть их под контроль, когда кто-то решит включить разморозку посреди ночи.
