Кибератаките срещу над 700 френски супермаркета показват как неправомерната промяна на температурни настройки и цикли на размразяване може да причини реални физически и финансови щети. Изследване на Forescout установява хиляди публично достъпни услуги за управление на хладилни системи в 99 държави и територии.
Рискът далеч надхвърля търговските обекти
Изследователското звено Vedere Labs на Forescout е идентифицирало 12 976 наблюдения на интернет-изложени услуги, свързани със системи за управление на хладилно оборудване. Те са разположени на 6017 уникални публични IP адреса в 99 държави и територии. Данните показват, че проблемът не се ограничава до Франция или до супермаркетите, а засяга широк кръг организации, зависими от контролирането на температурата и съхранението на продукти.
Предупреждението идва след киберинциденти през октомври 2026 г., засегнали над 700 супермаркета във Франция. Според публично разпространената информация нападателите са променяли температурни настройки и параметри за размразяване, което е довело до загуби на хранителни продукти.
CERT-FR потвърждава компрометиране на системи Danfoss AK-SM и AK-SC, както и на решения Copeland и Dixell XWEB. Начинът на първоначално проникване, използваните уязвимости, механизмите за запазване на достъпа и самоличността на извършителите обаче остават непотвърдени.
Същественото в тези случаи е, че за причиняване на оперативни щети не е задължително използването на разрушителен зловреден код. Промяната на легитимни настройки в системите за надзор и управление може да бъде достатъчна, за да наруши физически процеси, да доведе до бракуване на продукция и да създаде финансови загуби.
Два основни пътя за атака
Анализът на Vedere Labs обхваща десет продуктови групи, сред които Copeland/Dixell XWEB, Danfoss StoreView, Copeland Site Supervisor и Carel pCOWeb. Изследователите очертават два основни риска.
Първият е липсата на достатъчно надеждна автентикация. Наличието на поле за парола в уеб интерфейса не гарантира, че системата е адекватно защитена. От 513 наблюдавани услуги pCOWeb само 287 са върнали HTTP 401 – отговор, който указва, че достъпът изисква удостоверяване. Дори когато има защита с парола, слаби или компрометирани идентификационни данни могат да позволят неоторизиран достъп.
Вторият риск произтича от известни уязвимости и остарели устройства. Някои от засегнатите продуктови семейства имат история на сериозни дефекти, включително уязвимости, установени през 2025 и 2026 г. Допълнително усложнение са моделите в края на жизнения си цикъл, които вече не получават актуализации за сигурност.
Показателен е случаят с Danfoss AK-SM 800A. Според изследването 3762 наблюдения на услуги StoreView – около 80% от общия брой за разглежданата група – са свързани с фърмуер, по-стар от версия 4.3.1, засегната от CVE-2025-41451 и CVE-2025-41452. Тъй като версиите на фърмуера не винаги са видими отвън, изследователите не могат да потвърдят приложимостта на всяка установена уязвимост към всяка изложена услуга.
Повтарящи се атаки срещу хранителната верига
Рискът не се изчерпва с инцидентите във Франция. От началото на 2026 г. Forescout е проследила над 20 заявени от хактивистки групи атаки срещу хладилни системи. Сред активните участници са проруски групи като Z-Pentest Alliance и NoName057(16).
Посочените цели включват складове за плодове, винарни, супермаркети и предприятия от хранително-вкусовата промишленост в Испания, Италия и други европейски държави. Сред описаните методи е промяната на температурни параметри и настройки за размразяване през достъпни от интернет интерфейси човек-машина (HMI). На 26 април Z-Pentest е заявил десет отделни атаки в рамките на един ден.
Тези твърдения не означават, че всяка заявена от дадена група атака е независимо потвърдена. Те обаче показват устойчив интерес към системи, при които дистанционният достъп до контролни функции може да доведе до непосредствени оперативни последствия.
Потенциално засегнатите организации не се ограничават до търговията на дребно. В обхвата попадат селскостопански предприятия, хранилища, производствени обекти и болници, които използват хладилно оборудване за съхранение на продукти, материали или чувствителни медицински ресурси.
Какво трябва да направят операторите
Първата стъпка е премахване на директния достъп от публичния интернет до интерфейсите за управление на хладилните системи. Дистанционната поддръжка трябва да се осъществява през защитени шлюзове за отдалечен достъп, с ясни правила за удостоверяване и ограничаване на правата.
Организациите трябва да инвентаризират целия път на управление – от публичните IP адреси, защитните стени, VPN връзките, правилата за пренасочване на портове и NAT конфигурациите до надзорните платформи, контролерите, външните изпълнители и отговорните служители. Всеки изложен интерфейс трябва да бъде проверен спрямо действителната оперативна необходимост.
Необходимо е също да се премахнат споделените и неизползваните профили на външни изпълнители, да се въведат индивидуални идентичности и многофакторна автентикация, както и да се прилага принципът на минималните привилегии. Достъпът до функции като промяна на температурни настройки, стартиране на размразяване, изключване на аларми, управление на потребители и промяна на мрежовата конфигурация трябва да бъде изрично ограничен и документиран.
Успоредно с това организациите трябва да актуализират устройствата, за които има налични корекции, и да планират подмяна на неподдържаните модели. Самото инсталиране на актуализации обаче не е достатъчно. Необходим е мониторинг, съобразен със спецификата на оперативните технологии (OT), който свързва събитията от дистанционния достъп с промените в зададените температури, графиците за размразяване, алармите, потребителските профили и мрежовите настройки.
Това е важно, защото злонамерената промяна може да изглежда като обичайна административна операция. Без независима видимост върху действията и физическия процес подобна намеса може да остане незабелязана до появата на материални щети.
Изводът от анализа на Forescout е ясен: системите за хладилно управление са част от оперативната инфраструктура и трябва да се защитават като такава. Когато дистанционната свързаност е необходима, тя трябва да бъде контролирана, наблюдавана и одитируема, а не да осигурява директен достъп от интернет до функции, способни да променят реални физически процеси.
