У ніч із 11 на 12 жовтня кібератака зачепила обладнання, яке зберігає продукти холодними у французьких супермаркетах. Генеральний директор Coopérative U Домінік Шельше підтвердив, що постраждали холодильні установки кількох магазинів мережі. Окремо 12 жовтня національна команда реагування на комп’ютерні інциденти CERT-FR попередила про численні компрометації систем Danfoss серій AK-SM та AK-SC.
Оновлено 13 жовтня: CERT-FR розширила перелік обладнання та змінила рекомендації з відновлення. Операторам слід прибрати відкритий доступ з інтернету й обрати відповідний шлях відновлення нижче; самого повернення охолодження недостатньо для підтвердження безпечного керування.
Атака зачепила зберігання продуктів
За словами Шельше, команди працювали з фахівцями з холодильного обладнання, щоб відновити роботу, а обставини атаки має встановити розслідування. У заяві точно названо функцію постраждалих установок: виробництво холоду, потрібне для збереження свіжих продуктів та їх постачання. Остаточної кількості магазинів чи суми збитків він не навів.
Це важлива різниця. Ритейлер описав порушення роботи фізичного обладнання. Відновити сайт магазину й повернути надійний контроль над холодильною установкою — різні завдання. У другому випадку потрібні люди, які відповідають за експлуатацію та налаштування цього обладнання.
Оновлене попередження CERT-FR називає Danfoss AK-SM і AK-SC, Copeland xweb та Dixell xweb, але не визначає конкретний експлойт, версію прошивки чи CVE як причину інциденту. Команда наголошує: відкривати інтерфейс керування безпосередньо в інтернет суперечить належній практиці безпеки. Якщо віддалене адміністрування необхідне, початковим тимчасовим заходом може бути дозвіл доступу лише з довірених IP-адрес.
Отже, практичне питання для оператора цілком конкретне: хто може під’єднатися до інтерфейсу керування контролером і хто має право змінювати його конфігурацію? Попередження обґрунтовує потребу закрити цей шлях доступу, але не встановлює спосіб проникнення до кожного постраждалого магазину.
Що підтверджують першоджерела
| Підтверджений факт | Межа наявних даних |
|---|---|
| Coopérative U повідомила про нічне порушення роботи холодильних установок кількох магазинів. | Заява не визначає обсяг зіпсованих продуктів, загальні збитки чи остаточну кількість постраждалих магазинів. |
| Версія CERT-FR від 13 жовтня називає Danfoss AK-SM/AK-SC, Copeland xweb та Dixell xweb. | Попередження не пов’язує інцидент із конкретним угрупованням або вразливістю. |
| CERT-FR вимагає прибрати відкритий доступ і розділяє зламане обладнання та обладнання без компрометації. | Самого скидання недостатньо для відкритого непідтримуваного обладнання без виправлень безпеки. |
Оновлення від 13 жовтня: обладнання та шляхи відновлення
CERT-FR тепер також називає Copeland xweb і Dixell xweb поряд із Danfoss AK-SM та AK-SC. Оновлені рекомендації розділяють обладнання без компрометації та зламані установки. В обох випадках спершу потрібно прибрати відкритий доступ з інтернету; перед припиненням передавання даних сервісній компанії слід перевірити страхові зобов’язання.
- Обладнання без компрометації: перевірити всю конфігурацію, особливо розклад розморожування. Відновити віддалений доступ через захищений VPN або захищену мережу, після чого виконати рекомендації виробника щодо захисту та прошивки.
- Зламане обладнання: після усунення відкритого доступу скинути установку до заводських налаштувань. Відновити доступ через захищений VPN або мережу, повторно налаштувати установку для роботи та виконати рекомендації виробника щодо захисту.
Екстрена фільтрація IP-адрес сервісної компанії на міжмережевому екрані — тимчасовий захід, а не постійна схема доступу. Для Danfoss CERT-FR окремо називає оновлення прошивки, режим безпеки Strict і зміну стандартних паролів. Саме скидання не захистить від повторного зламу, якщо непідтримуване обладнання без виправлень залишається відкритим в інтернет.
Заміна облікових даних і перевірка облікових записів були явними кроками версії від 12 жовтня та залишаються корисними перевірками разом із сервісним фахівцем. Вони не замінюють повної процедури з оновленого попередження. Так само відновлення охолодження не підтверджує надійності доступу до керування й налаштувань розморожування.
Збережений окремий документ CERT-FR про промислові системи пояснює захищений VPN-доступ, стандартні облікові дані та оновлення. На нього посилалася версія попередження від 12 жовтня; поточна версія містить наведені вище рекомендації саме для холодильних установок.
Інший приклад ризиків віддалено доступного обладнання — розслідування LeakySensey про зламані роутери. Це окремий випадок з іншою метою. У французькому інциденті підтверджений наслідок — порушення роботи холодильних установок.
У центрі цієї атаки — контроль над фізичним обладнанням. Операторам не потрібно чекати на непідтверджену назву експлойта, щоб виконати рекомендації CERT-FR щодо доступу й відновлення, поки розслідування встановлює повний масштаб інциденту.
Джерела
- Домінік Шельше, Coopérative U. Заява про нічну кібератаку на холодильні установки. 12 жовтня 2026; переглянуто 13 жовтня 2026.
- CERT-FR. Інцидент безпеки віддалених контролерів холодильних установок. CERTFR-2026-ALE-012, перша версія 12 жовтня; оновлено й переглянуто 13 жовтня 2026.
- CERT-FR. Рекомендації із захисту для операторів енергетики й водопостачання. CERTFR-2025-DUR-003, 22 січня 2026; переглянуто 13 жовтня 2026.
