Кибератака на холодильники французских супермаркетов оказалась масштабнее первоначальных оценок. Власти подтвердили взлом оборудования уже четырёх серий от Danfoss, Copeland и Dixell. Пострадали около 700 магазинов, а злоумышленники, возможно, продолжают действовать.
Французская служба CERT-FR 12 октября предупредила о многочисленных взломах контроллеров Danfoss AK-SM и AK-SC. Уже на следующий день в перечень попали Copeland XWEB и Dixell XWEB. Речь идёт об устройствах, которые удалённо регулируют работу холодильных установок, следят за температурой и управляют разморозкой.
По оценке министра финансов Франции Ролана Лескюра, атака затронула около 700 из примерно 10 тысяч супермаркетов страны. Ранее фигурировали оценки в 300–350 магазинов. Среди пострадавших сети Carrefour, Coopérative U, E.Leclerc, Intermarché и Monoprix. Расследованием занимается подразделение прокуратуры Парижа по борьбе с киберпреступностью.
В сети Intermarché сбой затронул около 150 магазинов. Холодильники там разогрелись до 50 °C и оставались горячими шесть часов, поэтому продукты пришлось выбросить. Carrefour подтвердила проблемы в 80 торговых точках. В двух супермаркетах Эльзаса совокупные потери оценили в 270 тысяч евро, а прокуратура упомянула случаи возгорания.
По опубликованным сведениям, злоумышленники увеличивали продолжительность циклов разморозки с одного часа до восьми, задерживая срабатывание сигнализации. Контроллеры, которые должны предотвращать порчу продуктов, фактически стали инструментом атаки. Личность нападавших пока не установлена, требований выкупа и заявлений об ответственности не поступало.
Компания Danfoss уточнила, что большая часть пострадавших устройств относится к устаревшим AK-SM 800 и AK-SC 355. Поддержку первых прекратили в 2021 году, вторых в 2016-м. Среди затронутых оказались и более новые AK-SM 800A с устаревшей прошивкой. Copeland также признала наличие уязвимости и заявила, что помогает клиентам снизить риски.
Летом исследователи Claroty описали уязвимости в Danfoss AK-SM 800A и 23 проблемы безопасности контроллера Copeland XWEB Pro. Производители выпустили исправления для поддерживаемых устройств. Но пока никто не подтвердил, что атакующие использовали именно найденные ошибки, и точный способ проникновения остаётся неизвестным.
В предупреждении CERT-FR владельцам советуют убрать интерфейсы управления из открытого интернета, проверить расписания разморозки и разрешить удалённый доступ лишь через защищённую сеть или VPN. Взломанные контроллеры рекомендуют сбросить к заводским настройкам и заново настроить. Для снятых с поддержки устройств одного сброса недостаточно.
Масштаб проблемы виден и по открытым портам. По подсчётам Censys, 11 октября в интернете находились почти 3000 панелей Danfoss StoreView, свыше 1800 из них во Франции. К 14 октября число доступных во Франции панелей сократилось до 537. Судя по динамике, владельцы прежде всего отключали оборудование от сети, а не обновляли прошивки.
