Хакеры получили управление 31 холодильной установкой и за несколько минут изменили сотни настроек, включая температуру и сигналы тревоги. Для проникновения не понадобились ни вредоносная программа, ни сложная уязвимость. Достаточно оказалось заводского пароля администратора.
Инцидент произошёл 2 ноября 2026 года на неназванном коммерческом объекте. Контроллер Copeland XWEB Pro с прошивкой 1.9.0 был доступен напрямую из интернета. Через подобные устройства персонал следит за витринами, морозильными шкафами и холодильными камерами, а также дистанционно меняет режимы работы. Ранее контроллеры Copeland уже фигурировали в атаках на супермаркеты.
Из журнала событий следует, что около 03:10 неизвестные вошли в систему с правами Administrator. Сначала изучили параметры 31 устройства, а затем за шесть минут внесли 588 изменений в настройки 26 установок. Скорость достигала примерно 98 операций в минуту, что больше похоже на автоматизированные действия, чем на ручную настройку.
В 03:36 появилась вторая административная сессия с другого IP-адреса. После проверки параметров атакующие изменили ещё 155 настроек пяти холодильных камер. Всего исследователи насчитали 743 записи параметров на 31 устройстве. Однако журнал не позволяет установить, управлял ли обеими сессиями один человек или несколько участников.
В некоторых установках заданную температуру подняли до 110 и даже 150 °C, а пороги срабатывания сигнализации изменили на экстремальные значения. В журнале также появились команды блокировки клавиатур, отключения звуковых тревог и запуска разморозки. Часть действий могла помешать персоналу вовремя заметить неисправность.
Однако запись команды не означает, что оборудование обязательно её выполнило. Одна попытка отключить тревогу завершилась ошибкой, а реальные температуры исследователям неизвестны. Не удалось подтвердить ни порчу продуктов, ни длительность нарушения температурного режима. Для оценки ущерба нужны показания датчиков и осмотр оборудования.
Контроллер работал на устаревшей прошивке. Ранее Claroty обнаружила в Copeland XWEB Pro 23 уязвимости, а производитель выпустил исправления. Среди опасных ошибок есть CVE-2026-21718, позволяющая обойти аутентификацию, и CVE-2026-24663, связанная с внедрением команд. Но эксплуатировать их не требовалось: заводские учётные данные оставались действительными.
Происшествие совпало с волной атак на холодильники европейских супермаркетов. В октябре пострадали около 700 французских магазинов, а в начале ноября похожие инциденты затронули другие страны. Однако авторы расследования Ransom-ISAC не нашли доказательств связи рассматриваемого взлома с другими атаками либо с группами NoName057(16) и Z-Pentest.
Специалисты рекомендуют немедленно менять стандартные пароли, убирать интерфейсы контроллеров из открытого интернета и обновлять прошивки по инструкции производителя. Для удалённого обслуживания лучше использовать защищённый шлюз с многофакторной аутентификацией, а температуру проверять независимыми датчиками. Даже исправный холодильник может стать опасным, если посторонние управляют его настройками.
