Хакеры во второй раз за месяц нагрели морозильники в супермаркетах ЕС до 50 °C – теперь более чем в 100 европейских магазинах

В ночь на 2 ноября неизвестные получили удалённый доступ к контроллерам промышленных холодильников в европейских супермаркетах и подняли заданную температуру морозильников до 50 °C. По данным BleepingComputer, пострадали более 115 торговых точек в Бельгии, Нидерландах, Швеции, Люксембурге, Ирландии и Эстонии, а отдельные сбои зафиксировали и в Финляндии. Владельцам пришлось отключать установки и выбрасывать продукты, которые не удалось сохранить в нужном режиме.

Первая волна прошла в октябре, когда во Франции в сотнях магазинов, в том числе Intermarché и Coopérative U, холодильные установки перешли в режим разморозки и начали греть товар вместо охлаждения. Новая серия последовала примерно через 21 день.

Carrefour сообщила о проблемах в 15 из примерно 700 бельгийских магазинов, а представитель компании Миш Вергаувен подтвердил кибератаку и пояснил, что пострадали в основном морозильники, а ни один гипермаркет не остановился. Ahold Delhaize признала IT-инцидент в нескольких десятках магазинов, часть из них находилась в Люксембурге. Все магазины Carrefour продолжили работу. Федеральная прокуратура начала проверку, а организаторов правоохранители не назвали.

Цифры по странам нельзя сложить в точную сумму, поскольку компании считали то магазины, то предприятия:

• в Бельгии затронули более 50 точек Delhaize, Carrefour, Spar, Intermarché и IKEA;
• в Ирландии пострадали 13 магазинов SuperValu из 233;
• в Нидерландах Danfoss насчитал минимум 17 предприятий, в основном мясные лавки и небольшие магазины;
• в Швеции, Эстонии и Финляндии сбои нашли в магазинах ICA, Coop, Selver и K Group.

Менеджер по продажам стокгольмского магазина ICA Энгла Ингвалл рассказала Reuters, что вмешательство произошло ночью, сотрудники заметили последствия через несколько часов, а продукты в морозильниках, нагревшихся примерно до 50 °C, испортились. ICA пояснила, что пострадали магазины вне центральной сетевой инфраструктуры, куда не дотягивались централизованные средства защиты и мониторинга.

В Эстонии злоумышленники через компьютер управления изменили заданную температуру морозильника магазина Selver на +50 °C. Янн Мутсо, руководитель компании Kitman Coldtech, рассказал вещателю ERR, что атакующие воспользовались старой системой управления Danfoss, а специалисты отреагировали примерно за 10 минут, и реальная температура выросла всего на 2-3 °C. В Финляндии руководитель корпоративной безопасности Kesko Петри Кяхкё сообщил, что проблема затронула несколько небольших магазинов K Group вне зоны централизованной защиты, но причину в кибератаке компания окончательно не подтвердила.

Производители и исследователи назвали общие для разных стран условия вмешательства:

• контроллеры с интерфейсами, доступными прямо из интернета;
• устаревшие устройства без исправлений от производителя;
• пароли по умолчанию, которые, по информации NL Times, использовала часть нидерландских систем;
• независимые магазины и подрядчики вне централизованной защиты.

Злоумышленники атаковали не сами холодильники, а веб-интерфейсы контроллеров, через которые подрядчики дистанционно проверяют температуру и меняют режимы работы. Если интерфейс виден из интернета, до него может добраться кто угодно. Представитель Danfoss сообщил, что после октябрьских инцидентов компания рекомендовала клиентам отключить контроллеры от открытого интернета, но часть владельцев оставила оборудование доступным извне.

Предупреждение ANSSI CERTFR-2026-ALE-012 от 12 октября назвало затронутые семейства контроллеров:

• Danfoss серий AK-SC и AK-SM;
• Copeland XWEB;
• Dixell XWEB.

Контроллеры этих производителей встречаются в торговых сетях и на складах разных стран, в том числе в России, а после ухода западных вендоров официальные обновления для части установок получить сложнее. Сброс к заводским настройкам не помогает, если уязвимый интерфейс остаётся открытым.

Руководитель бельгийской компании Sabcobel Стефан Муланс заявил агентству Belga, что механизм атаки совпал с французским, а исследователь Кевин Бомонт отметил, что установки в разных странах имели доступные из интернета интерфейсы и устаревшее оборудование. Центр кибербезопасности Бельгии сообщил The Record, что не знает организаторов и установить виновных может не получиться. Комиссар ЕС по сельскому хозяйству Кристоф Хансен назвал случившееся преднамеренной попыткой подорвать доверие потребителей, но уточнил, что продовольственной безопасности Евросоюза ничто не угрожает.

После октябрьских атак ANSSI рекомендовало владельцам оборудования минимальный набор действий:

• убрать публичные IP-адреса с контроллеров;
• организовать обслуживание через VPN;
• обновить прошивки и заменить заводские пароли;
• изолировать или заменить устройства без поддержки производителя.

Эксперты CISOCLUB отметили, что атака на холодильники показала, насколько дёшево злоумышленнику обходится физический ущерб, если управление оборудованием выставлено в интернет. Для взлома не потребовались шифровальщик, выкуп или кража данных, хватило открытого интерфейса, старого контроллера и слабого пароля. Проблема лежит на стыке ответственности, потому что контроллеры холода нередко обслуживают подрядчики вне периметра, который защищает служба информационной безопасности компании.

Инвентаризация подключённых устройств, закрытие внешнего доступа и оповещения о любом изменении заданной температуры обходятся в разы дешевле партии испорченных продуктов. Российским ритейлерам и владельцам складов стоит проверить, не светятся ли их контроллеры во внешней сети, и заранее решить, кто отвечает за эти устройства. Повторная волна меньше чем через месяц показала, что рекомендации производителей работают лишь после того, как владельцы доводят их до конца.

Ранее сообщалось, что кибератаки на промышленные системы управления заводов и водоканалов могут привести не только к остановке оборудования, но и к физическому ущербу: травмам людей, загрязнению окружающей среды, затратам на ликвидацию последствий и судебным искам от пострадавших третьих лиц. При этом стандартные полисы киберстрахования далеко не всегда компенсируют такие потери, а страховки от физических повреждений и экологических аварий нередко содержат условия, которые не согласуются с киберстраховыми договорами. На эту проблему обратили внимание специалисты американского страхового брокера Howden US.