Controlere Danfoss compromise au încălzit frigiderele supermarketurilor din Franța

În noaptea de 11 octombrie, atacatorii au preluat de la distanță controlerele de refrigerare din sute de supermarketuri franceze. Au trecut vitrinele frigorifice și congelatoarele în modul de dezghețare, iar unele au ajuns la circa 50°C, așa că magazinele au aruncat alimente. CERT-ul național al Franței a emis o alertă urgentă. Modul în care atacatorii au intrat nu a fost stabilit, iar nimeni nu a fost acuzat public.

Ce s-a întâmplat

Echipamentele vizate sunt controlerele de magazin Danfoss. Un singur dispozitiv gestionează toate frigiderele și congelatoarele dintr-un magazin, iar firmele de mentenanță îl administrează adesea de la distanță. CERT-FR, parte din agenția națională de securitate cibernetică ANSSI, a anunțat pe 12 octombrie că are cunoștință de numeroase compromiteri ale seriilor AK-SM și AK-SC. Directorul ANSSI a spus că este urgent ca acestea să fie scoase de pe internet sau ca accesul la ele să fie filtrat strict.

Potrivit declarațiilor oferite de retaileri către AFP, Reuters și RTL, impactul a fost larg, dar inegal:

Nici efectele nu au fost aceleași peste tot. Coopérative U a spus că lanțul frigorific a rezistat în majoritatea magazinelor afectate, datorită reacției rapide a personalului și a tehnicienilor. Intermarché a declarat că magazinele sale afectate au aruncat toate produsele în cauză, iar conducerea grupului estimează pierderi de zeci de milioane de euro. Parchetul din Paris a deschis o anchetă care acoperă marfa pierdută și echipamentele care, potrivit relatărilor, au început să ia foc. Un analist Sekoia a declarat pentru Reuters că au fost afectate și Spania, Portugalia, Polonia, Germania și Belgia, însă nu au fost publicate detalii.

Ce știm despre controlere

• AK-SM 800: la final de viață din mai 2021, deci nu mai primește actualizări software sau de securitate.
• AK-SC 355: retras în 2016, de asemenea fără actualizări.
• AK-SM 800A: modelul actual. Au fost afectate și unele unități cu firmware învechit. Danfoss indica pe 13 octombrie pachetul 5.3.x ca fiind cel mai recent.

Danfoss spune că majoritatea unităților afectate au fost modelele vechi, fără suport. Compania a descris incidentul ca afectând „un număr limitat” de sisteme.

Despre vulnerabilități, cu prudență. În 2025, cercetătorii au publicat trei vulnerabilități ale AK-SM 800A: ocolirea autentificării (CVE-2025-41450, versiuni anterioare 4.2), injecție de comenzi (CVE-2025-41451) și refuz de serviciu (CVE-2025-41452). Ultimele două necesită autentificare, iar toate trei au fost corectate în 4.3.1. Cercetătorii au identificat și mii de astfel de interfețe expuse online. Nici Danfoss, nici autoritățile franceze nu au legat aceste CVE-uri de atac. O sursă guvernamentală a spus că ANSSI a găsit o vulnerabilitate în software-ul furnizorului, dar nu a precizat că a fost folosită. CERT-FR nu a publicat indicatori de compromitere.

De ce contează

Vorbim de tehnologie operațională cu efecte fizice: marfă compromisă, riscuri de siguranță și posibil incendii. Atacul a lovit un sector care rareori se consideră infrastructură critică. Adesea, retailerii nu cumpără direct aceste sisteme. Firmele contractate le instalează și le operează, deci expunerea se poate ascunde în accesul la distanță al unui terț. Controlerele ajunse la final de viață, dar încă în funcțiune și accesibile de pe internet, nu pot fi corectate, iar izolarea este singura măsură reală. Chiar istoricul Danfoss arată același tipar: atacurile anterioare asupra unităților AK-SM 800 din Rusia și Israel, în 2022, au vizat magazine fără firewall sau VPN adecvat.

Ce trebuie făcut

1. Inventariați toate controlerele Danfoss AK-SM / AK-SC, inclusiv cele administrate de firmele de refrigerare. Întrebați-le direct.
2. Scoateți interfețele de administrare de pe internet. Dacă accesul la distanță este inevitabil, permiteți temporar doar IP-uri de încredere, apoi mutați accesul în spatele unui singur VPN sau jump host administrat.
3. Dacă există suspiciuni de compromitere, urmați ordinea CERT-FR: restricționați accesul doar la furnizorii de servicii → resetare la setările din fabrică → aplicați toate corecțiile disponibile → schimbați parolele și secretele → verificați conturile → reconfigurați complet.
4. Actualizați AK-SM 800A la cel mai recent firmware. Unitățile pe 3.x trebuie să treacă mai întâi prin 4.x, iar de pe 5.3.x nu se mai poate reveni la o versiune anterioară. Versiunea 4.0+ activează Strict Session Control și impune HTTPS implicit.
5. Planificați înlocuirea AK-SM 800 și AK-SC 355. Pentru acestea nu vor mai apărea corecții.
6. Monitorizați temperaturile pe un canal separat și setați alerte pentru dezghețări bruște sau modificări ale setărilor, ca personalul să poată reacționa înainte de a pierde marfa.

Credit: relatarea originală aparține The Hacker News, pe baza informațiilor CERT-FR, AFP și Reuters. Acest rezumat a fost scris de echipa 4Tify.