Șase magazine din România, frigidere compromise: ce confirmă DNSC și ce verifici acum

• DNSC confirmă că șase magazine ale unui singur lanț comercial din România au raportat creșteri anormale de temperatură la instalațiile frigorifice, pe 2 noiembrie 2026. Alerta a fost publicată pe 3 noiembrie.
• Metoda observată include activarea neautorizată a ciclurilor de decongelare, care întrerupe răcirea și ridică temperatura. Accesul a vizat interfețele de administrare ale controlerelor, nu rețelele IT ale magazinelor.
• Dan Cîmpean, directorul DNSC, a descris atacul drept „semi-amatoricesc” și a spus că nu suspectează un actor statal, potrivit Al Jazeera. Nimeni nu a revendicat atacurile, iar motivul rămâne necunoscut.
• Potrivit DNSC, în același val au fost afectate Belgia, Suedia, Țările de Jos, Luxemburg, Irlanda și Estonia. Presa internațională adaugă Germania, Italia, Portugalia, Finlanda, Danemarca și Marea Britanie: cel puțin 11 țări europene, potrivit Al Jazeera, cu 4 magazine în Germania, 7 magazine Coop în Suedia și câteva zeci în Belgia.
• Guvernul italian a declarat pe 3 noiembrie, prin Reuters, că impactul în Italia a fost extrem de limitat și fără risc pentru sănătatea publică: aproximativ 20 de magazine, în majoritate cele care foloseau sisteme vechi expuse în internet. Agenția italiană ACN a emis ghidaj tehnic pentru comercianți după o ședință a miniștrilor cu șefii serviciilor de informații.
• Carrefour Belgia a confirmat un atac cu impact „extrem de limitat”, prin purtătorul de cuvânt Mich Vergauwen. Le Soir a relatat aproximativ 15 magazine Carrefour Shop & Go afectate, plus unități Delhaize, Spar, Q8 și Intermarché.

• Danfoss AK-SC, inclusiv AK-SC 355 — produs retras, fără suport de securitate.
• Danfoss AK-SM 800 — declarat sfârșit de viață în 2021, fără actualizări de securitate.
• Danfoss AK-SM 800A și AK-SM 8xxA — în special unitățile care rulează versiuni de software anterioare 4.2 sau 4.3.1, în funcție de vulnerabilitate.
• Sisteme de management al refrigerării Copeland XWEB și Dixell XWEB.

DNSC este explicit pe acest punct: „Prezenţa unui echipament din familiile enumerate nu reprezintă, în sine, o confirmare a compromiterii.” Trebuie verificate versiunea de firmware, configurația și expunerea în rețea. Lista spune unde să te uiți, nu ce ai găsit.

Producătorul recomandă, la rândul său, ca aceste sisteme să nu fie accesibile direct din internet. Pentru AK-SM 800 și AK-SC 355 nu mai există corecții, deci rămân doar înlocuirea sau izolarea. Coop Suedia a declarat că instalațiile sale erau conectate prin rețele 4G vechi și că trece la 5G și modemuri moderne — un indiciu util despre cum ajung aceste echipamente să fie accesibile de oriunde.

În aceeași zi de 2 noiembrie, Etablissement français du sang, instituția care administrează donarea de sânge în Franța, a fost ținta unui atac asupra refrigerării la trei dintre centrele sale de stocare la rece pentru plasmă. Pragurile de temperatură și de decongelare au fost ridicate. EFS a confirmat că nu a pierdut niciun produs sanguin și că nu a identificat consecințe asupra sănătății.

Motivul este simplu: sistemele de monitorizare și alarmele au semnalat rapid anomaliile, personalul a intervenit, iar eșantioanele au fost transferate în alte unități. Atacul a funcționat tehnic și nu a produs pagubă. Accesul a venit, potrivit relatărilor, prin intermediul unui furnizor; compania care livrează echipamentele de refrigerare, Coolworld, a declarat că are cunoștință de incident.

În cele șase magazine din România, presa a relatat că temperatura a crescut în jurul orei 01:30, iar problema a fost observată de angajați în jurul orei 08:00. Șase ore și jumătate. Diferența dintre cele două situații nu este o vulnerabilitate, un patch sau un firewall. Este existența unei alarme care ajunge la un om treaz la 01:30, nu la un tablou de bord pe care îl citește cineva dimineața.

DNSC avertizează asupra unui detaliu care anulează multe verificări făcute în grabă: versiunea de software afișată în pagina de autentificare a interfeței de administrare poate să nu corespundă versiunii reale de firmware a controlerului. „Am verificat, scrie 4.3.1” nu este, prin urmare, un răspuns. Versiunea trebuie citită de pe echipament sau confirmată de furnizorul care îl administrează.

Al doilea avertisment al DNSC are aceeași formă: resetarea la setările din fabrică poate elimina mecanismele de persistență ale atacatorului, dar nu este suficientă dacă echipamentul rămâne expus în internet. Curățenia fără izolare înseamnă doar că aștepți următoarea încercare.

• Anexa II punctul 4 din Directiva (UE) 2022/2555 acoperă „întreprinderile din sectorul alimentar [...] care desfășoară activități de distribuție în sistem de comerț cu ridicata și de producție și procesare industrială”. Magazinul ca atare rămâne, în mare parte, în afara acestei intrări; grupul de retail intră pentru platformele de comerț cu ridicata și achizițiile centralizate.
• Furnizorul care administrează la distanță instalația frigorifică poate intra în sfera NIS2 pe cont propriu, dacă atinge pragul de întreprindere mijlocie. Obligația nu dispare — se mută.
• Termenele de raportare, conform articolului 23 alineatul (4): avertisment timpuriu în cel mult 24 de ore, notificarea incidentului în cel mult 72 de ore, raport final în cel mult o lună de la notificare.
• Sancțiuni, conform articolului 34 alineatul (5): pentru entitățile importante, amenzi de maximum cel puțin 7.000.000 EUR sau cel puțin 1,4% din cifra de afaceri anuală totală la nivel mondial, luându-se valoarea cea mai mare.
• Pentru producători, Regulamentul privind cyber-reziliența (CRA) impune, din 11 septembrie 2026, raportarea vulnerabilităților exploatate activ.
• DNSC nu poate numi lanțul comercial: legislația NIS interzice identificarea entităților care raportează fără consimțământul lor. Practic, nu vei afla din presă că este vorba despre tine.

Comisarul european pentru agricultură și alimentație, Christophe Hansen, a calificat incidentele drept o încercare deliberată de a perturba lanțul alimentar, iar un purtător de cuvânt al Comisiei, Thomas Regnier, a spus că atacurile nu sunt izolate și că agențiile europene lucrează cu autoritățile naționale. Richard Horne, șeful NCSC din Marea Britanie, a vorbit despre „tehnologie vulnerabilă” exploatată în câteva cazuri.

Nimic din toate acestea nu înlătură faptul simplu: dacă obligația de raportare cade la furnizorul care îți administrează instalația, paguba rămâne la tine. Marfa aruncată, magazinul închis câteva ore și clientul care vede rafturi goale sunt ale tale, indiferent cine semnează notificarea către autoritate.

• Cere furnizorului o listă exactă: model, versiunea de firmware citită de pe echipament, și pe ce cale ajunge accesul la distanță la el. Nu accepta versiunea afișată în pagina de login ca răspuns.
• Orice echipament accesibil printr-o adresă IP publică: blochează accesul din internet. Ca măsură temporară, filtrează pe firewall adresele IP sursă ale furnizorului de servicii.
• Revizuiește integral configurația, în special programările de decongelare. Acolo s-a produs efectul, nu în rețeaua IT.
• Permite accesul la distanță numai prin VPN sau rețea protejată. Actualizează firmware-ul, setează nivelul de securitate pe „Strict” și schimbă parolele implicite.
• Pentru echipamentele compromise: blochează accesul, resetează la setările din fabrică, reconfigurează înainte de repunerea în funcțiune, apoi aplică pașii de mai sus. Resetarea singură nu rezolvă expunerea.
• Definește o alarmă de temperatură care ajunge la o persoană, cu escaladare, la orice oră. Testează-o o dată, noaptea.
• Cere în contract un termen de notificare în ore pentru incidentele la echipamentele administrate de furnizor și dreptul de a primi versiunile de firmware la cerere.

• Numele lanțului comercial. DNSC nu îl poate publica, compania nu a confirmat, iar singura atribuire vine dintr-o relatare de presă. Nu o reproducem.
• Calea de intrare. Nu este public dacă a fost exploatată o vulnerabilitate cunoscută sau doar interfețe expuse cu acreditări implicite ori slabe. Claroty Team82 a documentat deficiențe în AK-SM 800A și a numărat 2.765 de echipamente expuse într-o scanare Censys, recomandând firmware R4.3.1 sau mai nou — dar nici autoritățile franceze, nici producătorul nu au legat oficial acele deficiențe de acest val.
• Atribuirea și motivul. Necunoscute. Evaluarea „semi-amatoricesc” este a directorului DNSC, nu o concluzie a unei anchete încheiate.
• Pierderile din România. Nu sunt publice. În Italia, Coop Sicilia a raportat pagube de mii de euro din patru magazine; la nivel european au fost aruncate tone de alimente. Într-un magazin ICA Kvantum din Suedia, congelatoarele au fost urcate la 50 de grade Celsius, potrivit Al Jazeera.