Хакеры нагрели холодильники сотен супермаркетов Франции

Подробно

Что именно хакеры сделали с холодильниками в супермаркетах?

В первых сообщениях писали, что холодильники «отключили», но это неточно. По данным BFMTV, злоумышленники удалённо запускали принудительную разморозку и меняли температурные параметры. Из-за этого витрины, морозильники и холодильные камеры нагревались.

По данным расследования Le Monde, в некоторых системах атакующие не только выставили 50 °C, но и растянули цикл разморозки с одного до восьми часов. Из-за этого тревожные сигналы сработали позже и персонал не успел вовремя вмешаться. Это вывод издания, а не опубликованное техническое заключение ANSSI.

В Intermarché в Градиньяне, по оценке владельца магазина Шарля Дезона, атака началась около 23:00 11 октября. Проблему заметили примерно в 04:00: водитель, привёзший товар, увидел залитое водой помещение. Температура в холодильной камере дошла до 50 °C, и сработал спринклер.

В Intermarché в Агно оборудование нагрелось до 32 °C вместо штатных минус 23 °C. Магазин потерял весь ассортимент заморозки, около 2 000 наименований. Магазин Intermarché в Ла-Э в Нормандии сообщил о температуре до 80 °C и расплавившихся деталях оборудования. Это единичное сообщение: чаще всего источники называют заданную температуру до 50 °C.

Сколько супермаркетов пострадало от кибератаки?

Оценки менялись по мере подсчёта. Сначала Les Mousquetaires сообщила Reuters примерно о 150 своих магазинах, где оборудование около шести часов нагревалось до 50 °C. По более поздней сводке AFP пострадали:

• не менее 300 магазинов Intermarché и Netto;
• 80 супермаркетов Carrefour (сеть подчеркнула, что подавляющее большинство из примерно 6 000 её магазинов во Франции не пострадало);
• около 30 магазинов Monoprix;
• несколько магазинов E.Leclerc;
• магазины Coopérative U: сначала говорили о «менее чем 100», затем 13 октября президент и генеральный директор сети Доминик Шельшер уточнил цифру.

«Они получили контроль над холодом в 80 магазинах из 2 000», - сказал Шельшер в эфире RTL.

По его словам, в большинстве из этих 80 магазинов персонал успел предотвратить разрыв холодовой цепи, и товар пропал лишь в меньшей части точек.

Le Monde также получил подтверждение инцидента от Metro. Сеть замороженных продуктов Picard заявила, что не пострадала. Отраслевое объединение Culture Viande сообщило минимум о двух пострадавших компаниях из мясопереработки и оптовой торговли.

Общего числа пострадавших магазинов по стране пока нет: разные источники называют от 250-350 до более чем 400 и даже около 500. Складывать цифры из разных подсчётов нельзя, так как они могут пересекаться. По данным Reuters, аналитик компании Sekoia считает, что атака затронула также Испанию, Португалию, Польшу, Германию и Бельгию. Французские власти говорили лишь о возможном распространении атаки на другие страны, подтверждённого списка зарубежных пострадавших нет.

Какой ущерб понесли магазины?

Окончательной суммы ущерба нет. Опубликованные цифры относятся к разным магазинам и считаются по-разному:

• €50 000 - закупочная стоимость уничтоженной заморозки в Intermarché в Агно;
• €220 000 - по данным BFMTV, стоимость уничтоженных свежих и замороженных продуктов в E.Leclerc в Васселоне;
• €21 000 - потери Intermarché в Градиньяне по закупочной стоимости, их зафиксировал судебный исполнитель;
• €180 000-200 000 - возможные потери одного пострадавшего гипермаркета U по оценке Доминика Шельшера; для небольшого магазина, по его словам, это несколько десятков тысяч евро.

«Мы потеряли €21 000 по закупочной стоимости», - рассказал владелец Intermarché в Градиньяне Шарль Дезон.

Часто встречающаяся сумма €270 000 - это потери двух эльзасских магазинов в разных городах, Intermarché в Агно и E.Leclerc в Васселоне. Утверждение, что столько потеряли два магазина в Агно, неверно.

Общую оценку по стране тоже пересматривали. Сначала отраслевые источники и Les Mousquetaires говорили о «нескольких миллионах евро». Вечером 12 октября Тьерри Котийяр назвал более крупную цифру.

«На национальном уровне речь пойдёт о десятках миллионов евро», - заявил президент Groupement Les Mousquetaires.

Это предварительная оценка пострадавшей стороны, а не проверенный итог фактических убытков.

Как злоумышленники получили доступ к холодильникам?

Общим техническим элементом пострадавших объектов называют контроллеры и системы регулирования датской компании Danfoss. Среди затронутых устаревших систем компания назвала модели AK-SM 800 и AK-SC 355, но не уточнила, сколько всего устройств пострадало. Danfoss сообщила Reuters, что знает об инцидентах во Франции, затронувших «ограниченное количество» систем управления холодильным оборудованием, и что на этих устройствах стояла устаревшая прошивка.

«Большинство затронутых устройств - старые продукты, достигшие конца жизненного цикла», - говорится в заявлении Danfoss для AFP.

По словам компании, такие устройства больше не получают обновлений ПО и исправлений безопасности.

Intermarché объяснила сбой атакой на подрядчика, который обслуживает холодильное оборудование. E.Leclerc подтвердил AFP, что кибератака затронула одного из поставщиков холодильного оборудования сети. По данным окружения премьер-министра, ANSSI обнаружило уязвимость в ПО датской компании и связалось с поставщиком. Публичного технического отчёта с подтверждённым способом атаки пока нет. До сих пор неясно, как именно злоумышленники проникли в системы: через сервисного подрядчика, через отдельные контроллеры, доступные из интернета, или через общую платформу обслуживания.

Генеральный секретарь французской компании по кибербезопасности Almond Антуан Отен отметил, что промышленные системы исторически проектировали с упором на надёжность и стоимость, а не на защиту от удалённых атак, поскольку раньше они не были подключены к интернету. Одновременное поражение сотен объектов, по его оценке, говорит об определённой сложности операции.

Было ли известно об уязвимостях контроллеров Danfoss раньше?

Да, производитель и исследователи предупреждали о рисках:

• в мае 2021 года Danfoss объявила о завершении жизненного цикла контроллера AK-SM 800, а в октябре 2025 года снова рекомендовала заменить его на AK-SM 800A с усиленной защитой;
• по техническому обзору самой Danfoss, в 2022 году кибератаки затронули 16 российских супермаркетов с AK-SM 800 и 40 магазинов в Израиле; во всех израильских случаях не было надлежащей защиты межсетевым экраном или VPN;
• 24 марта 2025 года Danfoss выпустила бюллетень DSA-2025-03-01 об уязвимости CVE-2025-41450, позволявшей обойти аутентификацию в контроллерах AK-SM 8xxA до версии 4.2 (8,2 балла по шкале CVSS); производитель рекомендовал обновиться;
• 9 августа 2026 года команда Claroty Team82 описала три уязвимости AK-SM 800A: предсказуемый «код дня» для обхода входа, командную инъекцию с удалённым выполнением кода и изменение конфигурации Nginx, приводящее к отказу в обслуживании. Исследователи нашли 2 765 интерфейсов, доступных из интернета, и сообщили, что Danfoss закрыла эти уязвимости в версии R4.3.1.

Не доказано, что во Франции использовали именно уязвимости, описанные Claroty. Они относятся к AK-SM 800A, а Danfoss среди реально затронутых систем назвала более старые AK-SM 800 и AK-SC 355. Утверждения некоторых изданий о том, что известную уязвимость «так и не исправили», не совпадают с материалами Danfoss и Claroty: исправления 4.2 и R4.3.1 существовали. Неясно, остались ли они неустановленными, были ли устройства сняты с поддержки или злоумышленники использовали другой путь.

Кто расследует атаку и что известно о злоумышленниках?

Парижская прокуратура по собственной инициативе открыла расследование «масштабной кибератаки» на подключённые холодильники крупных продуктовых сетей по всей Франции. Следствию предстоит установить всех потерпевших и проверить, связаны ли с атакой заявленные потери продуктов и возгорания. Премьер-министр Франции Себастьен Лекорню поручил заняться инцидентом ANSSI. Агентство сообщило, что работает с возможными пострадавшими во Франции и координирует действия с европейскими партнёрами.

На утро 13 октября никому не предъявлены обвинения. Личности, гражданство, принадлежность и мотив злоумышленников не установлены, публично ответственность за атаку никто не взял. Сведений о требовании выкупа нет. Вина Danfoss, подрядчиков или сетей тоже не установлена: кто и за что отвечает, должно выяснить расследование.

Тьерри Котийяр считает произошедшее угрозой продовольственному суверенитету Франции и допускает экономический или дестабилизирующий мотив. При этом он оговаривается, что мотив должно установить расследование. Доминик Шельшер назвал случившееся недопустимым.

«Атака на жизненно важное оборудование чрезвычайно серьёзна, беспрецедентна и неприемлема», - заявил глава Coopérative U.

Еврокомиссар по сельскому хозяйству и продовольствию Кристоф Хансен решительно осудил атаку и назвал использование продовольственной инфраструктуры реальной угрозой.

«Продовольственной безопасности необходимо уделять больше внимания на всех уровнях», - сказал Хансен.

Как сети и производитель защищаются после атаки?

Groupement Les Mousquetaires поручила магазинам отключить холодильное оборудование от интернета. По словам Тьерри Котийяра, холодильные подрядчики первым делом велели физически выдернуть интернет-кабели. Intermarché и Netto изъяли продукты из продажи в качестве меры предосторожности.

Danfoss заявила, что помогает клиентам обновлять ПО, защищать сети и убирать прямой доступ к оборудованию из интернета. Компания напоминает, что и раньше советовала обновлять поддерживаемые системы и заменять снятые с поддержки. Это позиция заинтересованной стороны. Исследователь Claroty Team82 Амир Зальцман рекомендует для AK-SM 800A версию R4.3.1 или новее, закрыть прямой доступ к интерфейсам управления из интернета, использовать VPN и разделять сети. По оценке Claroty, если контроллер доступен из интернета, атаковать объект можно без предварительного взлома корпоративной сети.