В ночь на 2 ноября холодильники и морозильники в магазинах по меньшей мере девяти стран Европы начали греться: где-то до 18 °C, где-то до 50 °C. Это вторая волна атак после октябрьской, когда во Франции пострадали около 700 супермаркетов.
3 ноября NPR опубликовало расследование: похожие атаки весной шли в Израиле, а в августе произошли сбои на продуктовых базах армии США. Рассказываем, что известно, чего не знает никто и что делать тем, у кого холодом управляет подключённый к сети контроллер.
Коротко
- 2 ноября о сбоях охлаждения сообщили магазины Бельгии, Нидерландов, Люксембурга, Ирландии, Швеции, Финляндии, Эстонии, Италии и Португалии. Масштаб меньше французского: речь о десятках точек.
- Во всех случаях, где известны детали, атаковали контроллеры, которые удалённо управляют холодильным оборудованием. Чаще всего это старые системы Danfoss, которые давно не обновлялись.
- Кто стоит за атаками, официально не установлено. Израильский эксперт в материале NPR связывает их с иранской группировкой, но это его оценка, а не вывод следствия.
- Французское агентство кибербезопасности ещё в октябре дало понятный план защиты. Главное в нём — убрать такие устройства из открытого интернета.
Что произошло
Вторая волна, как и первая, пришлась на ночь. Персонал узнавал о проблеме утром или по тревоге от системы мониторинга, когда товар уже испортился.
По данным Euronews, пострадали магазины в девяти странах. Самые заметные цифры по сетям, по данным Euronews и The Hacker News:
- Бельгия: около 15 из более чем 700 магазинов Carrefour, несколько десятков Delhaize (ещё несколько — в Люксембурге), пять магазинов Spar, один магазин IKEA. Федеральная прокуратура возбудила дело.
- Ирландия: 13 магазинов SuperValu, сообщила владеющая сетью Musgrave.
- Швеция: шесть из примерно 800 магазинов Coop и «ограниченное число» магазинов ICA.
- Италия и Португалия: минимум четыре магазина Coop на Сицилии и семь Intermarché в Португалии.
- Эстония: один супермаркет, где температуру выставили на 50 °C.
Еврокомиссар по сельскому хозяйству и продовольствию Кристоф Хансен назвал происходящее, по словам Euronews, намеренной попыткой нарушить цепочку поставок продовольствия в ЕС.
Вторая волна оказалась заметно слабее первой. Bloomberg оценивает её в десятки точек против сотен во Франции. В Швеции и Эстонии чиновники объяснили это тем, что после октября многие успели принять меры, пишет NPR.
Хронология
- Март 2026 года. В Израиле испортились замороженные продукты в небольшой сети кошерных магазинов. Позже, по данным NPR, атаке подвергся крупный пищевой завод.
- Август. Исследователи компании Claroty публично рассказали об уязвимостях в контроллерах Danfoss и Copeland, сообщает Cybersecurity Dive. Исправления к тому времени уже вышли.
- Конец августа. Как минимум шесть продуктовых магазинов на военных базах США остались без охлаждения, писала Stars and Stripes.
- Ночь на 12 октября. Атака на холодильники французских супермаркетов. Министр финансов Франции назвал около 700 пострадавших магазинов из 10 тысяч, передаёт PBS со ссылкой на AP.
- Конец октября. Следственная служба Пентагона и армейские следователи подтвердили, что расследуют августовские сбои и работают с французской полицией, сообщает Task & Purpose.
- Ночь на 2 ноября. Вторая волна в Европе.
- 3 ноября. Расследование NPR; правительство Италии проводит совещание по кибербезопасности со спецслужбами.
Как устроены атакованные системы
В супермаркете десятки холодильных витрин и камер. Ими управляет центральный контроллер. Это небольшой компьютер, который держит заданную температуру, включает компрессоры и запускает оттайку.
Оттайка — штатный режим: испаритель холодильника периодически нагревают, чтобы растопить намёрзший лёд. Обычно это занимает минуты. Если держать оборудование в таком режиме часами, витрина превращается в тёплый шкаф.
У контроллера обычно есть веб-интерфейс. Через него подрядчик по обслуживанию меняет настройки удалённо, не выезжая в магазин. Именно это удобство и стало слабым местом: устройство, доступное подрядчику через интернет, доступно и всем остальным, если его не закрыть.
Такие устройства относятся к операционным технологиям (OT). Так называют компьютеры, которые управляют физическими процессами: насосами, клапанами, двигателями, охлаждением. В отличие от офисных компьютеров, они годами работают без обновлений.
Какое оборудование пострадало
Французское агентство ANSSI назвало контроллеры Danfoss AK-SM и AK-SC, а также устройства xweb компаний Copeland и Dixell, пишет Facilities Dive.
Danfoss после первой волны заявила, что большинство пострадавших систем — старые продукты, которые больше не получают обновлений безопасности, сообщает AP (публикация ITV). Компания подчёркивает, что давно советовала клиентам обновлять прошивку и держать оборудование за межсетевым экраном.
После второй волны Danfoss добавила деталь о Нидерландах. По её словам, атакованные там системы были подключены не через защищённую сеть и всё ещё использовали пароли по умолчанию, пересказывает The Hacker News.
Сколько таких устройств доступно из интернета
Claroty, по данным OCCRP, насчитала 2765 контроллеров Danfoss, которые были видны из интернета. По подсчётам компании Censys, после французской атаки в сети оставались более 2900 узлов с панелью Danfoss StoreView, пишет Facilities Dive.
Компания Forescout, по данным NPR, и после октября находила тысячи холодильных систем, уязвимых для простейших атак.
Если коротко: атакующим не нужен был сложный взлом сети магазина, достаточно было найти открытый контроллер.
Откуда это началось: версия NPR
Расследование NPR выводит историю за пределы Европы. Его главный собеседник — Омри Сегев Мояль, глава израильской компании Profero, которая занималась реагированием на израильские инциденты.
По его словам, весной атакующие сначала испортили продукты в сети кошерных магазинов, а затем вывели из строя морозильное оборудование крупного пищевого завода. Завод, по данным NPR, простоял больше недели, пока из-за границы везли запчасти.
Мояль уверен, что за израильскими атаками стоит группировка Cyber Isnaad Front, которую он связывает с иранскими военными. Он опирается на данные расследования и на заявления самих атакующих. Европейские атаки он описывает как продолжение той же кампании.
По американским базам картина менее определённая. Двое бывших чиновников сказали NPR, что следователи считают сбои кибератакой и часть данных указывает на Иран, но уверенность в этом невысокая. Пентагон публично подтвердил только «возможный сбой охлаждения».
NPR также изучило открытые госконтракты. На нескольких базах, включая Форт-Ирвин и Форт-Хуачука, используются системы удалённого управления холодом Danfoss.
Ограничения и оговорки
Атрибуции нет
Ни одно европейское ведомство не назвало виновников. Бельгийский Центр кибербезопасности, по данным The Hacker News, допустил, что их могут так и не установить. Связь Европы с Израилем — это оценка одного эксперта, который к тому же представляет компанию по реагированию на инциденты.
Похожий способ атаки сам по себе не доказывает, что действовали одни и те же люди. Открытые контроллеры легко найти, и, по нашей оценке, после громкой французской истории повторить её могли и другие.
Как именно проникли, не раскрыто
Французский CERT, судя по пересказам его предупреждения, не привязал атаку к конкретной уязвимости. Пароли по умолчанию, старая прошивка и доступ через подрядчика — возможные варианты, но для каждого случая официальной картины нет.
Цифры дают сами компании
Число пострадавших магазинов известно в основном из заявлений сетей. Некоторые, например шведская ICA, атаку не подтвердили, а сами формулировки варьируются от «ИТ-инцидента» до прямого «это кибератака».
Обновление не всегда спасает
Глава бельгийской компании Sabcobel, которая обслуживает холодильные системы Delhaize, заметил, что одного обновления программ мало. Часть исправлений требует замены оборудования и стоит денег, пересказывает его слова The Hacker News. Для устройств, которые производитель уже не поддерживает, патча просто не будет.
Открытый вопрос. Кто отвечает за безопасность контроллера, который купил магазин, настроил подрядчик, а выпустил производитель, давно прекративший поддержку модели? Пока, судя по заявлениям сторон, каждая указывает на другую.
Почему это старая проблема
Атаки на промышленные устройства, выставленные в интернет, случались и раньше. В конце 2023 года связанные с Ираном хакеры атаковали контроллеры израильского производства на водоканалах США, писало NPR. Серьёзных перебоев с водой тогда не было, но уязвимость инфраструктуры стала очевидной.
Технический директор Claroty Амир Премингер в материале NPR называет устройства с выходом в интернет самым слабым местом операционных технологий. Бывший сотрудник американского агентства CISA Джош Корман предупреждает, что следующими целями могут стать холодильники с лекарствами и лабораторными материалами.
Новое здесь не в способе, а в эффекте. Испорченный товар видят покупатели, его снимают на видео, и атака сразу становится заметной, хотя украдено ничего не было.
Что делать владельцам и подрядчикам
Самый подробный план дал французский CERT в предупреждении CERTFR-2026-ALE-012, последний раз обновлённом 16 октября. Шаги по порядку:
- Уберите устройства из интернета. В том числе те, что висят на публичных IP-адресах. Если подрядчик получает с них данные, перед отключением проверьте условия страховки.
- Проверьте всю конфигурацию. Особенно расписание оттайки, ведь именно этот режим использовался в атаках.
- Возвращайте удалённый доступ только через VPN или защищённую сеть. Фильтр по IP-адресам подрядчика на межсетевом экране — временная мера, а не решение.
- Следуйте рекомендациям производителя. Для Danfoss — обновить прошивку, включить строгий режим безопасности и сменить пароли по умолчанию.
- Если устройство уже взломано — перезагрузите его или сбросьте до заводских настроек, затем заново настройте и только потом возвращайте в работу.
Для устройств, которые больше не поддерживаются, CERT-FR отдельно предупреждает: если они были открыты в интернет, их почти наверняка взломали, и сброс настроек не защитит от повторной атаки. Их нужно менять.
Шведский Национальный центр кибербезопасности добавляет более общий совет, пишет The Hacker News: составить список всех подключённых к сети устройств, решить, нужно ли каждому подключение, а оставшиеся обновлять и защищать в несколько слоёв.
Весь цикл одной строкой: найти устройство, закрыть его от интернета, проверить настройки, вернуть доступ через защищённый канал, заменить то, что больше не обновляется.
Вывод
С весны атаки на холодильное оборудование прошли путь от единичных случаев в Израиле до волны в девяти странах Европы. Вторая европейская волна задела меньше магазинов, чем французская, но больше стран. Ограничить ущерб, по словам шведских и эстонских чиновников, помогли меры, принятые после октября.
Кто за этим стоит, неизвестно, и честнее сказать именно так. Зато хорошо известно, почему это сработало: тысячи старых контроллеров, доступных из интернета, без обновлений и иногда с заводскими паролями. Эту часть проблемы можно закрыть уже сейчас, не дожидаясь итогов расследований.
Комментарии