Более 700 продуктовых и розничных точек в Европе за одну ночь столкнулись с атакой на системы охлаждения: злоумышленники подняли температуру в холодильниках, морозильниках и холодных складах до 50 °C. Для ритейла прошивки холодильников внезапно оказались не задачей сервисной службы, а источником многомиллионных потерь и риска для всей операционной инфраструктуры.
Основной удар пришёлся по Франции, сообщает Dark Reading. По данным компаний, только французская сеть Intermarché оценила ущерб в десятки миллионов евро. Затронуты также, по информации французской компании Sekoia, Испания, Португалия, Польша, Германия и Бельгия; крупная сеть в Нидерландах превентивно отключила свои системы.
Атака произошла в ночь на понедельник. Неизвестные получили доступ к контроллерам коммерческого холода и переключили холодильное оборудование фактически в режим нагрева. Продукты в витринах, морозильных камерах и складских помещениях пришли в негодность; в отдельных магазинах, как сообщается, произошли небольшие возгорания. Это не тот инцидент, который можно закрыть перезагрузкой контроллера: магазины теряют товар, вынуждены останавливать продажи, проверять безопасность помещений и восстанавливать цепочки поставок.
Чтобы персонал не заметил атаку вовремя, злоумышленники, по данным французских источников, увеличивали циклы разморозки. В нормальной работе морозильные камеры периодически оттаивают лёд, поэтому рост температуры можно было выдать за плановое обслуживание. Получилась неприятно эффективная маскировка: мониторинг видел знакомое событие, пока товар уже портился.
Уязвимость была известна с августа
Первоначально расследование связало инцидент с контроллерами датского производителя Danfoss. 9 августа исследователи Team82 из Claroty раскрыли три уязвимости платформы Danfoss AK-SM 800A: CVE-2025-41450, CVE-2025-41451 и CVE-2025-41452. Они позволяли удалённо выполнить код или вызвать отказ в обслуживании в парке холодильного оборудования. Производитель выпустил исправления, но установка обновлений оставалась на стороне заказчиков и обслуживающих их компаний.
Danfoss заявил Reuters, что давно рекомендовал клиентам поддерживать системы в актуальном состоянии и переходить с устаревших решений на современные. Однако значительная часть пострадавших устройств, по данным производителя, работала на AK-SM 800 либо ещё более старой AK-SC355. Поддержка AK-SM 800 закончилась в 2021 году, AK-SC355 — в 2016-м. Иными словами, в магазинах атаковали не новую ошибку в свежем релизе, а инфраструктуру, которая годами жила за пределами официального жизненного цикла.
Во вторник французский CERT-FR сообщил, что в атаке фигурировала и платформа XWEB от Dixell и её материнской компании Copeland. Конкретные версии и использованные дефекты регулятор не назвал. Но совпадение выглядит тревожно: в тот же день, когда Claroty опубликовала информацию по Danfoss, исследователи раскрыли 23 уязвимости XWEB Pro, из которых 21 получила высокий уровень серьёзности. Прямую связь между публикациями и атакой пока не подтвердили, поэтому превращать её в установленный факт было бы преждевременно.
Предупреждающие сигналы появились ещё в августе. Тогда на американских военных объектах начали выходить из строя холодильные установки; сообщения пришли как минимум с 14 баз ВВС, объектов ВМС и армейских постов. Министерство обороны США не подтвердило ни причину инцидентов, ни кибератаку. Тем не менее совпадение по времени с раскрытием уязвимостей и прежнее использование DeCA контроллеров Danfoss делают эту историю поводом для отдельной проверки, а не просто странностью в электросети.
Главная проблема — не только патч
В этом случае прошивки холодильников стали лишь видимой частью провала. Как объяснил Dark Reading гендиректор Xona Systems Билл Мур, организации обычно неплохо сегментируют собственные сети, но забывают о доступах производителей оборудования и сервисных подрядчиков к OT-среде. В итоге у сторонних компаний появляются удалённые подключения без достаточной прозрачности и контроля, а компрометация одного такого канала может дать путь к десяткам или сотням объектов.
Материнская компания Intermarché и Netto — Les Mousquetaires — сообщила CNBC, что атака на её инфраструктуру прошла через сервис-провайдера, обслуживавшего холодильные системы в части магазинов. Для российских сетей, ресторанных холдингов, логистических операторов и производств вывод вполне прикладной: инвентаризация OT не заканчивается списком контроллеров. Нужно знать, какие версии ПО на них установлены, кто подключается к ним удалённо, какие учётные записи и каналы доступа использует подрядчик и можно ли быстро изолировать объект без остановки всей сети.
Минимальный набор мер здесь давно не экзотика: убрать из эксплуатации неподдерживаемые контроллеры, проверять возможность обновления в тестовой среде, сегментировать OT от офисной сети, ограничивать удалённый доступ поставщиков и отслеживать нетипичные команды. Отдельно стоит пересмотреть правила оповещений: длительная разморозка, одновременный рост температуры на нескольких площадках или изменение уставок вне согласованного окна обслуживания должны вызывать не только тикет сервисной службы, но и реакцию службы безопасности.
Этот инцидент показывает, насколько дорого обходится привычная формула «оборудование работает — не трогай». Прошивки холодильников, контроллеры вентиляции, кассовая периферия и складская автоматика редко попадают в центр внимания ИБ-команд, пока не начинают влиять на выручку напрямую. После атаки во Франции вопрос для ритейла звучит уже не «когда мы обновим OT», а «сколько магазинов сможет остановить один скомпрометированный подрядчик до того, как мы это заметим».