Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Atak na sterowniki chłodnicze Danfoss zmusił francuskie supermarkety do wyrzucenia żywności

Rodzaj
Streszczenie
Data
Aktualizacja
Kategoria
Incydenty
Redakcja
Paweł Rosół
Źródło
franceinfo ()

W nocy z 11 na 12 października 2026 r. atakujący zdalnie przestawili urządzenia chłodnicze w sklepach Intermarché, Système U, E.Leclerc i Monoprix. Danfoss podaje, że większość dotkniętych sterowników to wycofane modele bez aktualizacji bezpieczeństwa.

W nocy z 11 na 12 października 2026 r. atak objął urządzenia chłodnicze w sklepach Intermarché, Système U i E.Leclerc we Francji, a według franceinfo także w 5 % sklepów Monoprix. Grupa Les Mousquetaires podaje, że temperaturę zamrażarek i lodówek ustawiono na 50°C. LeMagIT i IT-Connect opisują to jako wymuszony ciągły cykl odszraniania. Sklepy opróżniają regały, spisują protokół u komornika i niszczą żywność. Liczby się różnią: dla Intermarché France Inter podaje od 200 do 300 sklepów, AFP od 150 do 200, a Système U to według franceinfo mniej niż sto sklepów.

Danfoss potwierdza incydenty w ograniczonej liczbie systemów zarządzania chłodzeniem we Francji. Pisze, że większość urządzeń to wycofane modele AK-SM800 i AK-SC355, które nie dostają już aktualizacji bezpieczeństwa, i zaleca aktualizację firmware, wzmocnienie ochrony sieci oraz usunięcie bezpośredniego dostępu do urządzeń z internetu. Według LeMagIT zaatakowano też nowsze AK-SM800A bez poprawek. ANSSI, którą zaangażował premier Sébastien Lecornu, zidentyfikowała podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w oprogramowaniu duńskiej firmy i skontaktowała się z producentem. Franceinfo nie podaje, o którą podatność chodzi.

Nowszy AK-SM 800A ma publicznie opisane podatności. W marcu 2025 r. Danfoss ostrzegał przed obejściem uwierzytelniania CVE-2025-41450 w wersjach starszych niż 4.2. Claroty Team82 opisał w sierpniu 2026 r. także CVE-2025-41451 (zdalne wykonanie koduZdalne wykonanie kodu Rodzaj podatności pozwalający atakującemu wykonać dowolne polecenia na urządzeniu, w tych przypadkach bez wcześniejszego uwierzytelnienia.) i CVE-2025-41452 (wstrzyknięcie konfiguracji serwera Nginx), poprawione w firmware R4.3.1, i znalazł 2765 konsol administracyjnych dostępnych z internetu. Na DEF CON badacze pokazali, że przejęty sterownikSterownik PLC Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem. może wyłączyć chłodzenie i jednocześnie fałszować wyświetlaną temperaturę. Żadne ze źródeł nie łączy francuskiego ataku z konkretną podatnością.

Jeśli w twoich obiektach pracują sterowniki Danfoss z serii AK-SM albo AK-SC, sprawdź model, wersję oprogramowania i to, czy panel administracyjny jest dostępny z internetu. Modele AK-SM800 i AK-SC355 nie dostaną już poprawek, a Danfoss zaleca ich wymianę na urządzenia nowej generacji.

Aktualizacja z 13 października 2026

Prokuratura w Paryżu wszczęła śledztwo w sprawie ataku, a według SecurityWeek skutki objęły nie tylko Francję. Agencja AFP podała, że prokuratura ma ustalić ofiary oraz związek ataku ze zgłaszanymi stratami żywności i pożarami. SecurityWeek, powołując się na Reutersa, pisze, że sklepy dotknięte atakiem były też w Belgii, Niemczech, Holandii, Polsce, Portugalii i Hiszpanii, a wśród sieci wymienia Auchan i Carrefour. Nie podaje, które sklepy w Polsce to były. Opublikowany wyżej tekst mówił wyłącznie o Francji.

Liczby uległy zmianie. BleepingComputer, za francuskimi mediami, podaje od 250 do 350 sklepów, a BFM TV, według SecurityWeek, ponad 300, ze stratami szacowanymi na miliony euro. Groupe Casino potwierdziła SecurityWeek, że atak objął około 5 % sklepów Monoprix i żadnej innej marki z grupy. Według SecurityWeek temperatura w części urządzeń rosła przez sześć godzin, zanim pracownicy zauważyli problem. The Hacker News pisze, że atakujący weszli przez sterownik zarządzający wszystkimi lodówkami i zamrażarkami w sklepie, który firmy serwisowe mogą obsługiwać zdalnie. Badacz Baptiste Robert znalazł 2752 systemy Danfoss wystawione do internetu, w tym 1590 we Francji, a Shodan wskazuje ponad 4500 urządzeń tego producenta dostępnych z sieci.

Przyczyna nadal nie jest potwierdzona. SecurityWeek zaznacza, że nie wiadomo, czy atakujący wykorzystali podatności opisane przez Claroty. Sekurak spekuluje, że chodzi o CVE-2025-41451 i logowanie do panelu hasłem wyliczanym z bieżącej daty, a BleepingComputer opisuje to samo CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. jako wstrzyknięcie poleceń. BleepingComputer dodaje, że sieć Ahold Delhaize wyłączyła część systemów po incydencie, ale nie ma dowodu na związek z tym atakiem.

Źródła

Pojęcia w tym tekście (5)
Incydent
Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Zdalne wykonanie kodu
Rodzaj podatności pozwalający atakującemu wykonać dowolne polecenia na urządzeniu, w tych przypadkach bez wcześniejszego uwierzytelnienia.
Sterownik PLC
Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.
CVE
Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.