Кибератака на холодильники затронула, по предварительным оценкам, от 250 до 350 супермаркетов во Франции: злоумышленники ночью удалённо перевели витрины в режим разморозки и подняли температуру хранения. Для IT-команд это наглядный, хотя и крайне дорогой урок: уязвимость в подключённом промышленном контроллере способна за несколько часов превратить инцидент ИБ в списание товара, простой магазина и потенциальную угрозу безопасности посетителей.
Под удар попали сети Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc и Super U, сообщает BleepingComputer. Французские СМИ говорят о существенных потерях и порче продуктов. В Intermarché подтвердили, что часть холодильных и морозильных витрин вышла из строя, а сотрудники Intermarché и Netto начали оперативно убирать товары из затронутых секций. Полного списка магазинов компания пока не раскрыла.
По описанию инцидента, атакующие получили контроль над холодильными контроллерами Danfoss со старыми версиями ПО. Затем они использовали штатную функцию автоматической разморозки, но не по штатному расписанию: температура в витринах была повышена удалённо. Это важная деталь. Атаке не понадобилось физически ломать оборудование или внедряться в кассовый контур — достаточно оказалось доступа к системе, которая должна была незаметно поддерживать холодовую цепочку.
Президент Coopérative U Доминик Шельшер подтвердил, что пострадали несколько магазинов сети. Он назвал инцидент беспрецедентным и сообщил, что сеть работает вместе со специалистами по холодильному оборудованию. Прокуратура Парижа уже начала расследование масштабной атаки: ей предстоит установить всех пострадавших, связать заявленный ущерб с потерями продовольствия и проверить сообщения о возгораниях.
Название Danfoss в этой истории особенно примечательно не потому, что связь конкретных уязвимостей с атакой уже доказана, — таких подтверждений пока нет. В мае 2025 года американское агентство CISA предупреждало об обходе аутентификации CVE-2025-41450 в платформе Danfoss AK-SM 8xxA. В августе 2025 года появилось предупреждение о командной инъекции CVE-2025-41451. Исследователи Team82 из Claroty описывали сценарий, при котором эти проблемы позволяют добиться удалённого выполнения кода через доступный из интернета интерфейс управления AK-SM 800A.
Проблема, похоже, не сводится к одному неудачно настроенному магазину. Глава Predicta Lab Батист Робер обнаружил 2 752 системы Danfoss, доступные из интернета по состоянию на понедельник; 1 590 из них находились во Франции. По данным Shodan, в сети видны более 4 500 устройств Danfoss. Открытая панель управления холодильным хозяйством — это уже не экзотический OT-актив на закрытой площадке, а вполне сканируемая цель для тех, кто умеет пользоваться поисковиками устройств.
Для разработчиков и ИТ-директоров ритейла кибератака на холодильники — напоминание, что инвентаризация «цифровых» активов не должна заканчиваться на серверах, терминалах и облачных аккаунтах. Контроллеры HVAC, видеонаблюдение, системы доступа, весы, электронные ценники и складская автоматика нередко подключены к сети через подрядчиков и живут с устаревшей прошивкой годами. Их нужно включать в управление уязвимостями: проверять внешнюю доступность, отключать ненужные интерфейсы, разделять IT- и OT-сети, ограничивать удалённый доступ и заранее тестировать аварийный ручной режим.
Бизнесу также стоит пересмотреть планы реакции на инциденты. В данном случае задача была не только восстановить контроллеры, но и быстро оценить температуру, изъять товары, сохранить данные для расследования и не допустить риска для покупателей. У ритейла есть привычка измерять киберриски утечками и остановкой продаж; этот случай добавляет к модели скоропортящийся товар и физические процессы, которые не будут ждать завершения совещания по инциденту.
Пока неизвестно, каким именно способом скомпрометировали контроллеры и были ли использованы известные уязвимости Danfoss. Но масштаб показывает другое: кибератака на холодильники уже не выглядит сюжетом для презентации о рисках интернета вещей. Чем больше критичных для бизнеса процессов получает удалённое управление, тем важнее считать их частью производственной инфраструктуры — с теми же требованиями к обновлениям, мониторингу и изоляции, что и у любого другого критического контура.