Ответственность за атаку на холодильники в супермаркетах ЕС взяли на себя русские хакеры, но Франция обвинила Иран

Власти Франции официально возложили на Иран ответственность за октябрьскую кибератаку на холодильное оборудование супермаркетов. В ночь с 11 на 12 октября злоумышленники получили доступ к контроллерам примерно на 700 торговых объектах и подняли температуру в камерах до 50 °C, после чего продукты испортились, а как минимум в 15 случаях начались пожары. Париж связал операцию с подразделением Shahid Kaveh Корпуса стражей исламской революции и намерен добиваться новых санкций Евросоюза.

Следы ведут к стражам революции

Расследование вели агентство ANSSI, центр координации киберкризисов C4 и спецслужбы. Следователи нашли фарси в инфраструктуре атаки, IP-адреса, связанные с устройствами в Иране, и совпадения с приёмами других операций Shahid Kaveh. Прокуратура Парижа 9 ноября начала судебное расследование, а прокурор Лор Бекко сообщила о запросе международных ордеров на арест руководителя группы и его заместителей.

Глава МИД Жан-Ноэль Барро сообщил о вызове иранского посла, а глава европейской дипломатии Кая Каллас заявила, что санкции могут рассмотреть на ближайшем заседании Совета ЕС по иностранным делам.

Атака задела около 700 из примерно 10 тыс. французских супермаркетов, а её итоги измеряются в следующем:

• температура в отдельных установках поднималась до 50 °C, а сбой продолжался несколько часов;
• власти сообщили как минимум о 15 возгораниях;
• потери продуктов оценили в десятки миллионов евро, а Intermarché заявила об убытках того же порядка за сутки;
• помимо супермаркетов пострадали небольшие мясные магазины, бойня и пищевые предприятия.

Пророссийские хакеры предложили свою версию

Группировки NoName057(16) и Z-Pentest объявили в Telegram 3 ноября, что стоят за атаками на холодильные системы европейских магазинов, и выложили около 2500 строк данных с якобы найденными паролями сотрудников и клиентов Danfoss. Исследователи подлинность информации не подтвердили, а Telegram-каналы с первыми заявлениями позже исчезли.

В Unit 42 компании Palo Alto Networks отметили, что доказательств связи группировок с октябрьской атакой во Франции нет. Хакеры заявили о себе после второй волны сбоев 1 и 2 ноября, поэтому в единую подтверждённую версию эти эпизоды пока не складываются.

Вторая волна задела 10 стран

По данным Unit 42, в ночь с 1 на 2 ноября проблемы затронули более 100 торговых объектов минимум в 10 европейских странах:

• в Бельгии сбои возникли в магазинах Carrefour, Delhaize, Intermarché и Spar;
• в Швеции температура в морозильных камерах Coop местами поднималась примерно до 50 °C;
• в Ирландии сеть SuperValu сообщила о проблемах в 13 магазинах;
• в Португалии группа Mosqueteiros связала сбои с атакой на внешнего поставщика услуг.

Атаковали контроллеры, а не холодильники

Злоумышленники работали с промышленными контроллерами, которые собирают данные датчиков, управляют компрессорами и циклами размораживания. Французский CERT-FR 12 октября предупредил о множестве компрометаций устройств Danfoss серий AK-SM и AK-SC, Copeland XWEB и Dixell XWEB. Оператор не всегда сразу замечает подмену настроек, ведь контроллер продолжает принимать команды.

Исследователи Claroty 9 августа описали уязвимости в веб-интерфейсе Danfoss AK-SM 800A, а производитель выпустил прошивку R4.3.1, которая закрывает найденные проблемы:

• обход аутентификации через скрытый механизм Code-of-the-Day (CVE-2025-41450);
• внедрение команд операционной системы и удалённое выполнение кода (CVE-2025-41451);
• изменение конфигурации Nginx, нарушающее доступность интерфейса (CVE-2025-41452).

Связь этих уязвимостей с октябрьской атакой не доказана. В разобранном Ransom-ISAC случае с контроллером Copeland XWEB Pro хватило заводского пароля администратора, и злоумышленники изменили настройки 31 устройства, выставив значения 110 и 150 °C.

Тысячи панелей открыты всему интернету

Forescout нашла в открытом интернете 12 976 сервисов холодильного оборудования в 99 странах, а около 80% проверенных сервисов Danfoss StoreView работали на прошивках старше 4.3.1. Оборудование этих производителей давно работает и в российских торговых сетях, на складах и пищевых производствах, поэтому открытая из интернета панель управления остаётся проблемой и для российских компаний.

FBI и CISA 5 ноября предупредили о рисках для холодильных систем после атак на европейские супермаркеты, французские центры хранения крови и американские военные торговые объекты. Владельцам оборудования рекомендовали следующее:

• проверить, какие устройства доступны из интернета;
• отключить ненужный удалённый доступ;
• применять строгую аутентификацию и устанавливать актуальные обновления.

Российским ритейлерам, логистическим операторам и фармацевтическим складам стоит сверить список своих контроллеров с перечнем открытых интерфейсов и сменить заводские пароли раньше, чем к ним подберёт доступ кто-то посторонний.

Эксперты CISOCLUB отметили, что французский случай показал разрыв между ИТ и промышленными системами, где панели управления холодильными камерами годами остаются доступными из интернета без базовой защиты. Заводской пароль, устаревшая прошивка и открытый веб-интерфейс дают атакующему те же возможности, что и сложный эксплойт. Государственная атрибуция остаётся политическим решением, пока не опубликованы технические доказательства, а заявления хактивистов без подтверждений лучше считать информационным шумом.

Компаниям с холодильными складами нужны инвентаризация контроллеров, смена заводских учётных данных, закрытие прямого доступа из интернета и оповещения при отклонении температуры. Цена подобного сбоя считается в испорченных партиях и остановленных продажах, а не в утёкших записях.