След като вече писахме за кибератаките срещу хладилните системи на стотици френски супермаркети, при които бяха компрометирани условията за съхранение на хранителни продукти, вече има допълнителна информация за засегнатото оборудване, установените уязвимости и препоръчителните мерки за защита. Инцидентът от нощта на 11 срещу 12 октомври 2026 г. показва как компрометирането на оперативни технологии (OT) може да доведе до преки физически щети, значителни финансови загуби и рискове за безопасността на храните, без да е необходимо да бъдат откраднати данни или да бъде използван софтуер за изнудване.
По публикувани сведения атаката е засегнала около 300 магазина Intermarché и Netto, приблизително 100 обекта на Coopérative U, 80 магазина Carrefour и около 30 на Monoprix, както и отделни магазини E.Leclerc. В супермаркет Intermarché в Градиан, Югозападна Франция, загубите от унищожени стоки са достигнали 21 000 евро по доставни цени. Първоначалните оценки за общите щети в страната са за няколко милиона евро, като сумата може да достигне и десетки милиони.
Атакуващите са манипулирали контролерите на хладилните инсталации, като са повишавали температурите в хладилни камери и фризери до 50 градуса по Целзий. Циклите на размразяване са били удължавани от един на осем часа, което е забавяло алармите и реакцията на персонала. Според публикуваните сведения в един от обектите температурата е достигнала 80 градуса по Целзий. Част от магазините временно са преустановили работа, за да отстранят засегнатите продукти и да предотвратят рискове за потребителите.
Установени са рискове за няколко платформи за управление на охлаждането
Допълнителната информация насочва към софтуер за управление на хладилни системи на датската компания Danfoss. Сред оборудването, включено в предупреждението на френската национална агенция за киберсигурност ANSSI, са контролери Danfoss AK-SC и AK-SM, Copeland XWEB и Dixell XWEB.
Особено тревожен е рискът за остарели устройства, които продължават да изпълняват критични функции, но вече не получават софтуерни или защитни актуализации. Това създава дългосрочен проблем за организациите, които разчитат на оборудване с продължителен експлоатационен живот, но не разполагат с ефективен механизъм за управление на свързаните с него рискове.
ANSSI започна разследване на инцидента, насочено към дистанционните контролери на хладилните системи. По наличната информация Danfoss е публикувала предупреждения за сигурността през март и август 2025 г. след отстраняване на софтуерни уязвимости, които потенциално биха могли да позволят на нападатели да поемат контрол над системите.
Междувременно изследователите от Claroty обръщат внимание и на проблеми в платформата Copeland XWEB. През август екипът Team82 е публикувал анализ на 23 уязвимости, 21 от които са с висока степен на сериозност. Според изследователите те са били отстранени с актуализация на фърмуера през февруари. Уязвимостите са могли да позволят на неавтентикирани нападатели постепенно да заобиколят защитните механизми и да достигнат до отдалечено изпълнение на код с най-високи привилегии.
Тези данни показват, че проблемът не се ограничава до един производител или конкретна верига супермаркети. Рискът засяга по-широка група системи за дистанционно управление на хладилно оборудване, използвани в търговията, хранително-вкусовата промишленост и складовото стопанство.
Какви мерки препоръчват експертите
Според препоръките на ANSSI първата стъпка при незасегнато оборудване е премахването на директния достъп от интернет, включително за устройствата с публични IP адреси. Следва проверка на цялата конфигурация, особено на параметрите за размразяване и температурните настройки. Преди прекъсване на дистанционния достъп, използван от доставчика на хладилни услуги, организациите трябва да проверят договорните си задължения и условията на застрахователното покритие.
При възстановяване на работата достъпът трябва да бъде разрешен единствено през защитена VPN връзка или друга подходящо обезопасена мрежа. Филтрирането на IP адресите на доставчиците през защитна стена може да бъде временна аварийна мярка, но не и дългосрочно решение. Необходимо е също да се приложат актуализациите на производителя, да се променят паролите по подразбиране и да се активират препоръчителните настройки за сигурност. За оборудването на Danfoss това включва актуализиране на фърмуера, задаване на нивото на сигурност в режим Strict и смяна на фабричните пароли.
При съмнение за компрометиране подходът трябва да бъде по-строг. Освен прекратяване на директната интернет експозиция се препоръчва възстановяване на фабричните настройки, последвано от защитено повторно конфигуриране и проверка преди връщане в експлоатация.
Оперативната технологична киберкоалиция OTCC подчертава, че инцидентът демонстрира последствията от пренебрегването на основни мерки за сигурност. Организацията призовава американската Агенция за киберсигурност и защита на инфраструктурата CISA да въведе задължителни изисквания за защита на оперативните технологии във федералната администрация. Според коалицията подобни изисквания биха могли да послужат като ориентир и за частния сектор, включително за хранително-вкусовата промишленост.
Контролът върху отдалечения достъп е критичен
Един от основните въпроси остава как атакуващите са достигнали до контролерите – чрез директно изложени в интернет интерфейси или през споделена инфраструктура за поддръжка. Според Sai Molige, старши мениджър по лов на заплахи във Forescout, дистанционният достъп често се управлява чрез договорености между доставчици, подизпълнители, екипи по поддръжката на сградите и ИТ отдели. Това може да доведе до неясно разпределение на отговорностите за сигурността.
Експертът препоръчва ясно определяне на отговорността за тези връзки, по-строг контрол върху достъпа на външните изпълнители и наблюдение за неразрешени команди за размразяване, потискане на аларми и промени в конфигурацията. Допълнителна защита осигуряват независимите измервания на температурата, които позволяват откриване на несъответствия, когато показанията на самия контролер може да са компрометирани.
Изследователите от Claroty предупреждават и за по-широкия контекст. Според тях атаките срещу критични услуги и инфраструктура стават все по-значим риск, а инструментите с изкуствен интелект (ИИ) могат да ускорят откриването на уязвимости и слабости в контрола на достъпа. В съчетание с геополитическото напрежение това увеличава необходимостта от систематична защита на оперативните среди.
Наследеното оборудване не бива да остава извън контрола за сигурност
Според експерти от IGEL и LevelBlue основният проблем е системен: много OT устройства работят години или десетилетия след внедряването си, без да бъдат управлявани като пълноценни компютърни системи, нуждаещи се от актуализации, контрол на достъпа и постоянно наблюдение.
Защитата не може да се ограничава до мрежовия периметър. Необходими са инвентаризация на активите, мрежово сегментиране, ограничаване на привилегиите, контрол върху достъпа на подизпълнителите и непрекъсната проверка на устройствата и потребителите, които управляват критични процеси. При оборудване, което не поддържа съвременни защитни механизми, трябва да се предвидят компенсиращи мерки и независими предпазни механизми, способни да предотвратят опасни физически последствия.
Последващата информация за атаките във Франция затвърждава извода, че киберсигурността на оперативните технологии е пряко свързана с безопасността на храните, непрекъсваемостта на бизнеса и обществената сигурност. Когато хладилна система може да бъде управлявана дистанционно от нападател, последствията не се ограничават до информационната инфраструктура. Те достигат до физическите активи, стоковите наличности и услугите, от които зависи ежедневието на хората.
За операторите на супермаркети, складове и производствени предприятия това е основание да преразгледат не само защитата на корпоративните мрежи, но и сигурността на всяко свързано устройство, способно да промени реален физически процес.
