Frigiderele din supermarketurile franceze, încălzite de la distanță: ce este confirmat, ce nu și ce verifici la controlerele administrate de terți

• CERT-FR a publicat pe 12 octombrie alerta CERTFR-2026-ALE-012 (actualizată pe 13 octombrie). Spune că are cunoștință de numeroase compromiteri ale unor controlere la distanță folosite în instalații frigorifice: Danfoss seriile AK-SM și AK-SC, Copeland xweb și Dixell xweb. Afirmă că expunerea interfeței de administrare în internet contrazice bunele practici și că problema de fond este această expunere. Avertizează că campaniile sunt probabil încă în desfășurare. Alerta nu listează indicatori de compromitere.
• Danfoss a declarat, potrivit presei care citează AFP și Reuters, că majoritatea echipamentelor afectate sunt produse vechi care nu mai primesc actualizări de software sau de securitate. A numit AK-SM 800 și AK-SC 355. A adăugat că unele unități AK-SM 800A, mai noi, rulau firmware învechit. Nu a dat un număr de sisteme afectate și a vorbit despre „un număr limitat”.
• Companiile au confirmat efecte în magazine. Directorul Coopérative U a confirmat atacul asupra producției de frig din mai multe magazine. Pentru Mousquetaires (Intermarché, Netto) cifrele citate variază de la circa 180 de magazine (un purtător de cuvânt, potrivit Infosecurity Magazine) la cel puțin 300 (AFP, potrivit The Hacker News); Carrefour despre aproximativ 80 din 6.000, iar Casino despre o parte din supermarketurile Monoprix. Cifrele diferă între publicații și între momente; nu există un total confirmat.
• Parchetul din Paris a deschis o anchetă pentru „atac cibernetic de amploare” asupra frigiderelor mai multor lanțuri mari. ANSSI a spus că este mobilizată la nivel național și european, potrivit The Record.
• DNSC a publicat pe 14 octombrie o alertă pe tema instalațiilor frigorifice, a cărei descriere pornește de la CERT-FR. Nu am putut deschide pagina automat, din cauza verificării anti-bot a site-ului, și nu am ocolit-o; o citez doar prin titlu și dată. Nu am găsit în sursele citate niciun magazin din România afectat.

• Temperaturi de până la 50 °C și declanșarea ciclului de dezghețare. Sursele atribuie detaliul unor purtători de cuvânt ai unui lanț și presei franceze, nu unui document oficial.
• Pierderi: BFMTV a relatat 270.000 de euro în mărfuri aruncate la două magazine dintr-o localitate din Alsacia, iar parchetul a vorbit, potrivit AFP citat de BleepingComputer, despre pierderi de alimente și despre „incendii”. Aceste din urmă detalii nu apar în toate sursele.
• Extinderea în alte țări: un cercetător Sekoia, citat de The Hacker News, a spus că Spania, Portugalia, Polonia, Germania și Belgia ar fi afectate, fără detalii. Nu este confirmat.
• Legătura cu un incident separat al grupului Ahold Delhaize (olandez și belgian): compania a recunoscut o „problemă de securitate” și a scos sisteme din funcțiune. Help Net Security notează că nu există indicii că cele două sunt legate.

• Cine a făcut-o și de ce: nimeni nu a revendicat sau nu a fost atribuit public.
• Cum au intrat atacatorii: nici CERT-FR, nici Danfoss nu au numit o vulnerabilitate, o versiune de firmware sau o cale de acces.
• Dacă s-au folosit vulnerabilitățile din avizul CISA ICSA-25-140-03 (CVE-2025-41450, -41451, -41452, Danfoss AK-SM 8xxA, corectate în R4.2 și 4.3.1). Nici autoritățile franceze, nici Danfoss nu le-au legat de atac. CISA spunea în 2025 că nu cunoaște exploatare publică și că atacul necesită complexitate ridicată.
• Numărul real de sisteme compromise. Un cercetător a găsit pe 12 octombrie 2.752 de sisteme Danfoss expuse, dintre care 1.590 în Franța, potrivit BleepingComputer. Expunerea nu înseamnă compromitere.

Lecția nu ține de frig. Orice clădire sau lanț are controlere administrate de un contractor: refrigerare, climatizare, control acces, iluminat, lifturi, panouri de preț, sisteme de alarmă. Adesea au o adresă publică, un cont al contractorului și o parolă care nu s-a schimbat. Întrebarea de conducere este: știi ce controlere ai, cine le administrează și dacă se văd din internet?

Un al doilea punct: echipamentele ieșite din suport. Potrivit Danfoss, o parte din cele afectate nu mai primesc actualizări. CERT-FR spune că păstrarea în internet a unui dispozitiv fără corecturi are un risc foarte mare. Pentru acestea, singura soluție durabilă este înlocuirea sau scoaterea din internet.

• Inventariază controlerele administrate de terți (refrigerare, HVAC, BMS, acces, camere) și cere contractorului lista cu adresele și versiunile lor.
• Verifică dacă vreunul are adresă publică sau regulă de redirecționare în firewall. CERT-FR cere eliminarea expunerii în internet, inclusiv pentru unitățile neafectate.
• Pune accesul prin VPN sau rețea protejată. Ca măsură de urgență, filtrarea după adresele IP ale contractorilor este posibilă, dar CERT-FR spune clar că nu este o soluție durabilă.
• Schimbă parolele implicite și aplică setările de securitate ale producătorului. Pentru Danfoss, CERT-FR menționează nivelul de securitate „Strict” și actualizările de firmware.
• Verifică configurația, în special programele de dezghețare și alarmele, ca să vezi dacă cineva le-a schimbat.
• Dacă ai suspiciune de compromitere: izolează, restabilește la setările din fabrică, reconfigurează, dar nu te opri aici. CERT-FR avertizează că resetarea singură elimină persistența, nu și vulnerabilitatea, deci reinfectarea rămâne posibilă.
• Citește polița de asigurare înainte să tai fluxul de date către contractor; CERT-FR cere explicit această verificare.
• Ține un senzor independent de temperatură, cu alertă separată de controler. Cercetători Claroty au arătat, în laborator, că un controler compromis poate opri răcirea și raporta valori normale. Aceasta nu este o constatare despre atacul din Franța.

NIS2 acoperă producția, prelucrarea și distribuția de alimente (anexa II) pentru întreprinderi de distribuție angro și producție industrială; comerțul cu amănuntul nu este automat inclus. Dacă ești entitate esențială sau importantă, termenele de 24 de ore pentru avertizarea timpurie și 72 de ore pentru raportul inițial se aplică incidentelor semnificative. Pentru date personale, GDPR cere notificarea în 72 de ore dacă riscul o impune. În toate cazurile, aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

NIS2 cere și gestionarea riscurilor din lanțul de aprovizionare. Un contractor care administrează controlerele tale intră în acest perimetru, iar contractul ar trebui să prevadă expunerea, actualizările, jurnalele și notificarea incidentelor.

Alerta CERT-FR este sursa primară pentru ce se știe tehnic. Declarațiile Danfoss și ale comercianților sunt primare pentru propriile fapte, dar cifrele de magazine afectate nu sunt consolidate. Detaliile despre temperaturi, pierderi și extindere în alte țări sunt mai fragile.

Awarely Monitor poate ajuta la inventarierea expunerilor și la prioritizarea remedierii, iar Awarely Learning la exerciții pentru conducere și achiziții: ce faci dacă ți se spune dimineața că echipamentele de frig ale mai multor magazine nu mai răspund. Articolul nu este consultanță juridică și nu garantează conformitatea.