Русскоязычные хакеры взяли ответственность за атаки на холодильники европейских супермаркетов

Пророссийские группировки NoName057(16) и Z-Pentest Alliance заявили, что совместно атаковали холодильные и морозильные установки европейских супермаркетов. В опубликованном видео хактивисты утверждали, что вывели из строя оборудование датской Danfoss и системы Dixell XWEB. Независимых доказательств их причастности ко всем инцидентам нет, а сами публикации вскоре исчезли.

Заявления появились 4 ноября, когда телеканал DR нашёл в Telegram-канале, который представляется официальным каналом NoName057(16), видео о совместной операции. По словам авторов, вредоносные программы им не понадобились, они пользовались встроенными функциями управления и могли удалённо менять температуру и режимы размораживания. Датское ведомство SAMSIK подтвердило, что знает о заявлениях, но не может ни подтвердить, ни опровергнуть участие группировок.

NoName057(16) появилась в марте 2022 года и известна DDoS-атаками, а в июле 2025 года против неё прошла операция Eastwood с участием правоохранителей 12 стран. Z-Pentest Alliance сложилась в сентябре 2024 года при участии людей, связанных с Cyber Army of Russia Reborn и NoName057(16), и проникает в промышленные системы управления.

Первая крупная волна накрыла Францию в ночь с 11 на 12 октября 2026 года. Злоумышленники меняли настройки холодильников, температура в морозильных камерах резко росла, а цикл размораживания в одном из случаев увеличили в восемь раз, чтобы отсрочить срабатывание сигнализации. Пострадали магазины Intermarché, Carrefour и E.Leclerc. Министр экономики Франции Ролан Лескюр сообщил парламенту примерно о 700 затронутых торговых точках. Местами в помещениях становилось 50 °C, и мясо с замороженными продуктами пришлось выбросить.

Вторая волна в ночь с 1 на 2 ноября прокатилась по Бельгии, Швеции, Ирландии, Португалии и другим странам, а торговые сети раскрыли отдельные случаи:

• в Швеции у сетей ICA и Coop;
• в Бельгии у Carrefour, которая подтвердила инциденты примерно в 15 из 700 магазинов страны;
• в Португалии у группы Mosqueteiros в семи магазинах Intermarché, причём компания допустила удар через внешнего поставщика услуг.

Под удар попали и три объекта французской службы крови EFS. Злоумышленники изменили в холодильных помещениях настройки температуры на аномально высокие значения, проникнув через внешнего поставщика оборудования для охлаждения и удалённого мониторинга. Системы контроля вовремя заметили вмешательство, потерь компонентов крови и образцов не было. Доказательств, что за этим стоят те же люди, что и за атаками на магазины, нет.

Атакующие воздействовали не на бытовые холодильники с Wi-Fi, а на промышленные контроллеры, которые управляют холодильными установками целого магазина и позволяют подрядчикам менять настройки удалённо. Если интерфейс открыт в интернет и защищён слабым паролем, получить те же права может любой, кто его нашёл. Исследование Forescout Vedere Labs от 22 октября нашло через поисковик Shodan 12 976 доступных из интернета сервисов управления холодильным оборудованием на 6 017 публичных IP-адресах в 99 странах. Почти все относились к двум семействам техники:

• 7 075 сервисов связаны с системами Copeland и Dixell XWEB;
• 4 697 сервисов относятся к Danfoss StoreView;
• около 80% сервисов Danfoss StoreView работали на прошивках старше версии, которая закрывает известные уязвимости.

В 2022 году Danfoss сообщала об атаках на холодильные установки в 16 российских супермаркетах и 40 магазинах Израиля. Российским торговым сетям с подключёнными к интернету контроллерами этих производителей стоит проверить, не открыты ли интерфейсы управления снаружи.

Компания SentinelOne в исследовании от 4 ноября назвала пророссийские группировки правдоподобным направлением расследования, но доступные доказательства не позволяют назвать виновных. Для этого нужны технические данные, в числе которых:

• журналы входа в системы;
• следы использования конкретных учётных записей;
• характерные последовательности команд;
• инфраструктура, которую можно уверенно связать с операторами атаки.

BBC сообщила, что заявления группировок удалили, и часть наблюдателей предположила, что хакеры присвоили атаки уже после обсуждения их возможной причастности. Исследователи не исключили участие других хактивистов, государственных группировок или одиночек, а иранский след тоже не подтверждён.

5 ноября пресс-секретарь президента России Дмитрий Песков назвал обвинения в адрес России абсурдными и заявил, что у них нет никаких доказательств.

Для владельцев холодильных контроллеров европейские власти рекомендовали:

• закрыть интерфейсы управления от прямого доступа из интернета;
• устанавливать обновления и менять заводские пароли;
• ограничить права подрядчиков;
• организовать удалённое обслуживание через VPN с индивидуальными учётными записями и многофакторной аутентификацией.

Эксперты CISOCLUB отметили, что громкие заявления хактивистов нельзя считать доказательством, ведь изменение температуры в морозильнике оставляет одинаковый след вне зависимости от того, кто его выполнил. Группировки могли участвовать в отдельных взломах, но могли и присвоить чужие результаты после того, как атаки попали в международные новости. Контроллеры с открытыми интерфейсами, заводскими паролями и старыми прошивками доступны для вмешательства без сложного вредоносного ПО, поэтому главный урок лежит в плоскости обслуживания, а не геополитики.

Владелец магазина, подрядчик по холоду и ИТ-отдел нередко по-разному понимают, кто отвечает за обновления, и эту ответственность нужно закрепить в договорах. Независимые датчики температуры с отдельным каналом оповещения позволяют заметить вмешательство, даже когда настройки основного контроллера уже изменены. Российским торговым сетям, складам и пищевым предприятиям стоит провести инвентаризацию подключённого к интернету промышленного оборудования, пока на него не обратили внимание хактивисты любой стороны.

Ранее сообщалось, что Федеральная резервная система США и Управление контролёра денежного обращения (OCC) начали проверять американские банки после масштабного хищения криптовалюты у биржи Binance. Регуляторы выясняют, фиксировали ли финансовые организации подозрительные транзакции или сбои, связанные с атакой, в ходе которой злоумышленники вывели активы примерно на $6,34 млрд. ФБР возложило ответственность за взлом на северокорейскую группировку TraderTraitor. При этом подтверждённых сведений о финансовых потерях американских банков пока нет. Проверки призваны установить, затронул ли инцидент традиционную банковскую систему.