Кибератака срещу системи за управление на хладилното оборудване предизвика сериозни нарушения в работата на няколко големи търговски вериги във Франция. Инцидентът засегна магазини на Intermarché, Carrefour и Monoprix, като в някои хладилници и фризери температурите достигнали до 50°C. Последствията включват разваляне на хранителни продукти и съобщения за пожари. Френската национална агенция за киберсигурност ANSSI е натоварена с разследването на случая.

Според информация на компанията майка на Intermarché, групата Les Mousquetaires, приблизително 150 магазина са били засегнати. Хладилните агрегати са били подложени на въздействие в продължение на около шест часа през нощта. Carrefour съобщава за проблеми в 80 свои супермаркета, докато Monoprix оценява засегнатите обекти на около 5% от приблизително 490-те си магазина във Франция.

Инцидентът от нощта на 11 срещу 12 октомври 2026 г. поставя акцент върху нарастващия риск от атаки срещу оперативни технологии (OT) – системите, които управляват физически процеси в търговски, промишлени и инфраструктурни обекти. За разлика от типичните кибератаки, насочени към кражба на данни или блокиране на информационни системи, подобно въздействие може директно да наруши условията за съхранение на стоки и да доведе до материални щети.

Уязвимостите в хладилните контролери поставят въпроса за отдалечения достъп

Случаят във Франция придобива допълнително значение на фона на изследване на екипа Team82 към Claroty, публикувано през август 2026 г. То разкрива няколко уязвимости в Danfoss AK-SM 800A – централизирана система за управление и наблюдение на хладилни инсталации, използвана в супермаркети, складове, хладилни бази и други търговски обекти.

Платформата предоставя уеб интерфейс за наблюдение на хладилни контури, настройване на температурни прагове, преглед на аларми и управление на потребителски достъп. Тези възможности улесняват поддръжката, но създават и потенциална входна точка за нападатели, когато административните интерфейси са достъпни през интернет или не са защитени достатъчно добре.

При свое сканиране изследователите установяват 2765 устройства, достъпни от публичния интернет, според данни от платформата Censys. Това не означава, че всички устройства са уязвими или успешно компрометирани, но показва мащаба на потенциалната повърхност за атака.

След обратен инженеринг на фърмуера Team82 идентифицира няколко сериозни проблема:

• CVE-2025-41450 – скрит механизъм за удостоверяване с код за конкретния ден, който може да позволи заобикаляне на стандартния процес за вход.

• CVE-2025-41451 – уязвимост за инжектиране на команди, която може да доведе до отдалечено изпълнение на код.

• CVE-2025-41452 – проблем с инжектиране в конфигурацията на Nginx, който може да предизвика отказ на услуга.

Claroty е уведомила производителя Danfoss за откритите проблеми. Компанията е публикувала фърмуер R4.3.1 за отстраняването им и е препоръчала на клиентите да актуализират устройствата си и да не оставят интерфейсите за управление достъпни директно през интернет.

Важно уточнение е, че наличната публична информация не доказва, че конкретна от тези уязвимости е била използвана при атаката срещу френските супермаркети. Все още няма достатъчно потвърдени данни за първоначалния вектор на проникване, използваните инструменти или наличието на обща техническа инфраструктура зад засегнатите вериги.

Защо компрометирането на хладилна система може да причини сериозни щети

Според Амир Премингер, технически директор на Claroty, системите за управление на охлаждането често остават извън основния фокус на екипите по сигурността, въпреки че са пряко свързани с критични оперативни процеси.

Последствията от компрометирането им могат да надхвърлят значително обичайния технологичен проблем. В супермаркетите нарушаването на температурния режим води до загуба на стоки и потенциални рискове за безопасността на храните. Във фармацевтични складове подобен инцидент може да засегне лекарства и други температурно чувствителни продукти. В химическото производство и промишленото съхранение последствията могат да включват нарушения на технологични процеси и допълнителни рискове за безопасността.

Това е съществена разлика спрямо традиционния ransomware. Нападателят не е задължително да криптира файлове, да открадне информация или да блокира корпоративната мрежа. Достатъчно е да промени легитимна настройка в контролер, за да предизвика реални щети.

Именно тази особеност прави подобни атаки трудни за откриване чрез стандартни средства за защита на информационните системи. Командата може да бъде технически валидна, а промяната – извършена през разрешен административен интерфейс. Въпросът е дали действието е извършено от оторизиран потребител и дали съответства на нормалната работа на обекта.

Атаката показва слабостите на изолираните на теория OT мрежи

Според анализа на Shieldworkz инцидентът подчертава рисковете, произтичащи от свързаните оперативни технологии. Компанията посочва, че Danfoss е съобщила за използване на остарял фърмуер в засегнатите системи. Това обстоятелство е особено важно на фона на установените от Claroty уязвимости в платформата AK-SM 800A, но само по себе си не доказва причинно-следствена връзка между тях и атаката.

Анализаторът Прайюкт К. В. от Shieldworkz предупреждава и срещу прибързани заключения. Наличните данни не установяват, че нападателите са компрометирали единна централизирана облачна платформа, заобиколили са независими физически защитни механизми или са използвали обща услуга, за да достигнат до всички засегнати магазини.

Тези разграничения са важни за правилната оценка на инцидента. Ако атаката е използвала обща инфраструктура за управление, потенциалният обхват би бил различен от този при множество отделни компрометирани устройства. Ако пък е осъществен достъп до конкретни контролери през интернет, основният проблем може да се крие в експонирани интерфейси, недостатъчно ограничен административен достъп или пропуснати актуализации.

И в двата случая се откроява една често срещана слабост: оперативните системи се приемат за защитени, защото се намират в предполагаемо изолирана мрежа, без тази изолация да бъде проверявана постоянно.

Отдалеченият достъп е необходим за поддръжката на много съвременни инсталации. Той позволява на техническите екипи да диагностицират проблеми, да настройват параметри и да реагират на аларми без физическо посещение. Когато обаче тази функционалност е реализирана чрез директно достъпни административни интерфейси, удобството се превръща в допълнителен риск.

Какви мерки трябва да предприемат организациите

Раф Пилинг, старши директор по разузнаване на заплахите в Sophos, посочва, че приблизително една трета от проникванията с ransomware в търговията и производството започват с експлоатация на известни уязвимости. По думите му организациите трябва да проверяват кои системи са достъпни отвън, дали използват актуален софтуер и дали съществуват компенсиращи мерки за защита.

За компаниите, които използват хладилни контролери и други OT устройства, това означава да предприемат няколко конкретни стъпки:

• Ограничаване на достъпа през интернет. Административните интерфейси не трябва да бъдат директно изложени на публичната мрежа. Отдалечената поддръжка следва да преминава през защитени канали, включително VPN, и да бъде достъпна само за оторизирани потребители.

• Управление на уязвимостите и актуализациите. Необходимо е да се поддържа точен регистър на OT устройствата, версиите на фърмуера и наличните корекции. Когато актуализацията не може да бъде приложена незабавно поради оперативни ограничения, трябва да се въведат допълнителни защитни мерки.

• Сегментиране на мрежите. Системите за охлаждане трябва да бъдат отделени от офисните мрежи и другите информационни системи, като комуникацията между тях се разрешава само когато е необходима.

• Контрол и регистриране на административните действия. Организациите трябва да могат да установят кой е получил достъп до даден контролер, какви параметри е променил и дали действието е било разрешено.

• Независим контрол на критичните процеси. Там, където е приложимо, температурните аларми, резервните механизми за наблюдение и физическите защити трябва да бъдат проектирани така, че да ограничават последствията от неоторизирани промени.

• Планове за реакция и възстановяване. Необходими са процедури за проверка на температурните отклонения, изолиране на компрометирани устройства, запазване на доказателства и безопасно възстановяване на нормалната работа.

Тези мерки не изискват непременно подмяна на цялата инфраструктура. В много случаи значителното намаляване на риска започва с правилно конфигуриране на съществуващите системи, ограничаване на достъпа и ясна отговорност за поддръжката им.

Легитимните команди могат да бъдат използвани за злонамерени действия

Джошуа Стайнман, главен изпълнителен директор и съосновател на Galvanick, обръща внимание на особеност, която прави атаките срещу индустриални системи различни от много други киберинциденти. Функцията за размразяване например не представлява експлойт сама по себе си – тя е нормална част от работата на хладилната система. Проблемът възниква, когато тази функция бъде задействана неоторизирано или в неподходящ момент.

Това означава, че защитата не може да разчита единствено на откриване на подозрителен код или известни сигнатури. Необходимо е да се анализира контекстът на действията: кой ги е извършил, кога, от кое устройство и дали промяната съответства на оперативните нужди.

За търговските вериги това е въпрос не само на информационна сигурност, но и на непрекъсваемост на бизнеса. Една атака може да доведе до бракуване на продукция, прекъсване на дейността, разходи за почистване и възстановяване, проверки за безопасност на храните и репутационни щети.

Инцидентът във Франция показва защо оперативните технологии трябва да бъдат включени в общата стратегия за управление на риска. Докато организациите защитават корпоративните си данни и облачните услуги, системите, които поддържат физическите им операции, могат да останат слабо наблюдавани.

Основният извод е, че защитата на OT инфраструктурата трябва да обхваща не само предотвратяването на проникване, но и откриването на неоторизирани промени в реални процеси. При системи, които управляват температура, налягане, електрозахранване или производствени параметри, една команда, изпълнена в неподходящ момент, може да има последствия далеч отвъд цифровата среда.