Хакеры превратили холодильники во французских и бельгийских супермаркетах в духовки

По данным BFMTV, в ночь на 12 октября злоумышленники удалённо вмешались в работу холодильных систем Danfoss в сотнях французских супермаркетов, и морозильные камеры вместо холода начали нагреваться. В тот же день нидерландская Ahold Delhize подтвердила проблему с кибербезопасностью и отключила часть систем, а в Нидерландах и Бельгии сбой затронул распределительные центры, электронные ценники, сайты и приложения магазинов. Связь между двумя инцидентами пока никто не доказал.

Оборудование датской Danfoss управляет холодильными установками, от которых зависит сохранность молока, мяса и замороженных полуфабрикатов. Утром сотрудники магазинов обнаружили, что холодильники и морозилки работают как обогреватели, а запасы под угрозой порчи. По сути, кто-то в ночь на понедельник переключил супермаркеты в режим сауны.

Под раздачу попали магазины нескольких крупных французских сетей:

• магазины Intermarché и Netto, входящие в Groupement Mousquetaires;
• магазины Super U и Marché U под управлением Coopérative U;
• торговые точки Leclerc;
• по словам Жонатана Ле Борня, создателя подкаста и блога Je Bosse En Grande Distribution, ещё Carrefour Market и Monoprix.

Убытки отдельных магазинов, по сообщениям французских СМИ, могут достигать десятков и даже сотен тысяч евро. Во внутреннем сообщении Intermarché от 12 октября, с которым ознакомился BFMTV, подтвердили взлом систем Danfoss, случившийся ночью. На понедельник назначили экстренный созвон с поставщиками холодильного оборудования, в том числе с Axima и самой Danfoss.

Интересно, что последствия оказались разными. Некоторым магазинам удалось спасти часть запасов. Где-то вмешательство случилось незадолго до открытия, и на реакцию почти не осталось времени, а где-то управляющие получили предупреждения об изменении настроек.

Жонатан Ле Борнь рассказал, что злоумышленники перехватили управление системами Danfoss, которые допускают удалённое администрирование. Холодильник с удалённой админкой в 2026 году звучит как шутка из курилки сисадминов, но ущерб вполне материальный.

Оборудование этих вендоров стоит далеко не только во Франции, поэтому российским ритейлерам с контроллерами Danfoss или Copeland стоит проверить, не торчит ли их веб-интерфейс в открытый интернет. Если торчит, это приглашение, которым рано или поздно кто-нибудь воспользуется.

В начале августа 2026 года исследователи Team82 из Claroty разобрали холодильные контроллеры, и вот что они нашли:

• несколько уязвимостей в веб-интерфейсах управления Danfoss AK-SM 800A;
• уязвимости в надзорных контроллерах Copeland XWEB Pro;
• возможность при определённых условиях захватить устройство и вмешиваться в работу холодильной инфраструктуры;
• оба производителя уже выпустили обновления прошивок.

Доказательств, что в октябре злоумышленники использовали эти уязвимости, нет, поэтому связывать их с французским инцидентом рано. Похожая загадка случилась в конце августа 2026 года в США, где холодильные установки в магазинах военного снабжения перешли в режим разморозки. Версию взлома обсуждали, но официально не подтвердили.

Ahold Delhize сообщила, что её специалисты оценивают ситуацию и временно отключают часть систем, а магазины продолжают работать. Компания извинилась перед клиентами и партнёрами, но способ проникновения в сеть не раскрыла.

Перебои затронули сразу несколько направлений бизнеса:

• распределительные центры Albert Heijn в Нидерландах;
• магазины Albert Heijn, дрогери Etos и алкогольную розницу Gall & Gall;
• магазины Delhize в Бельгии;
• сайты и мобильные приложения брендов, которые перестали открываться.

Клиенты онлайн-магазинов не могут оформить заказ, а электронные ценники в залах показывают прежние цены, потому что получают данные из централизованных систем. Сотрудники Stop & Shop, принадлежащей Ahold Delhize, пожаловались в интернете на недоступные рабочие графики и расчётные листки.

Стоит обратить внимание, что магазин может работать, а проблемы всё равно доберутся до торгового зала. Когда распределительные центры встают, страдают пополнение полок и обработка заказов.

Российских покупателей сбой Ahold Delhize напрямую не касается, но схема знакома любому ритейлу, где касса, склад и приложение сидят на общей инфраструктуре, а отключение систем превращается в вынужденный рубильник.

Расследования пока не дали ответов на несколько вопросов:

• как злоумышленники проникли в системы управления холодильным оборудованием;
• использовали ли они августовские уязвимости Danfoss и Copeland;
• какой характер носит инцидент в Ahold Delhize, будь то вымогательство, кража данных или что-то иное;
• связаны ли два инцидента общими организаторами или технической причиной.

Эксперты CISOCLUB отметили, что инженерное оборудование вроде холодильных контроллеров годами подключали к сети ради удобного удалённого обслуживания, а защиту оставляли на втором плане. Для атакующего эта цель привлекательна, потому что ущерб физический, заметен сразу и считается в евро. Августовские уязвимости Danfoss и Copeland пока не связаны с инцидентом, но сам факт взлома веб-интерфейсов контроллеров показывает цену отложенных обновлений прошивок.

Интерфейсы нужно убрать из открытого доступа, удалённый доступ закрыть VPN с многофакторной аутентификацией, сеть холодильной автоматики отделить от касс и корпоративных систем, а патчи вендоров ставить вовремя. Скорость реакции остаётся главным фактором потерь, поэтому мониторинг температуры с оповещениями работает как самый дешёвый детектор вторжения. Решение Ahold Delhize отключить часть систем до выяснения обстоятельств оправдано с точки зрения сдерживания, но за этот рубильник платят магазины и клиенты.

Ранее сообщалось, что специалисты ESET изучили развитие загрузчика MATCHBOIL, используемого пророссийской хакерской группировкой UAC-0099, за период с апреля 2024-го по апрель 2026 года. За два года исходный загрузчик на C# получил коммерческий обфускатор, механизмы обнаружения виртуальных песочниц и поддельный пользовательский интерфейс. При этом основное назначение вредоносной программы осталось прежним: загружать следующий компонент и обеспечивать закрепление в заражённой системе.