Zhakowane chłodnie w supermarketach: lodówki grzały do 50°C, straty w milionach

Atak na chłodnie w supermarketach z nocy z 11 na 12 października 2026 pokazał, jak drogo kosztuje zaniedbane zabezpieczenie urządzeń podłączonych do internetu. Nieznani sprawcy przejęli zdalne sterowniki instalacji chłodniczych w setkach sklepów we Francji i włączyli w lodówkach i zamrażarkach tryb rozmrażania. Temperatura w urządzeniach doszła do 50°C, a w jednym ze sklepów nawet do 80°C. Żywność trzeba było wyrzucić, a w części sklepów doszło do pożarów instalacji elektrycznej.

Co się stało

• Termin: noc z 11 na 12 października 2026
• Skala: szacunki się różnią - od ok. 180 sklepów samego Intermarché i Netto (dane właściciela sieci) przez ok. 300-500 w doniesieniach mediów do ok. 700 supermarketów według Ars Technica
• Sieci: m.in. Intermarché, Netto, Carrefour, Coopérative U, Monoprix i E.Leclerc
• Straty: szef Intermarché mówi o dziesiątkach milionów euro w skali kraju w ciągu jednego dnia
• Inne kraje: według analityka firmy Sekoia, cytowanego przez Reutersa, problem dotknął też Hiszpanii, Portugalii, Polski, Niemiec i Belgii

Jak to było możliwe

Francuska agencja ANSSI i zespół CERT-FR wskazały zdalne sterowniki chłodnictwa Danfoss z serii AK-SM i AK-SC, a dzień później także konsole xweb firm Copeland i Dixell. Służą one technikom do zdalnej obsługi całej instalacji chłodniczej sklepu.

Wszystkie te modele miały znane od miesięcy poważne luki, pozwalające zalogować się zdalnie z uprawnieniami administratora. W starszych sterownikach Danfoss hasło serwisowe zmieniało się codziennie, ale było wyliczane z daty według algorytmu zapisanego w publicznie dostępnym oprogramowaniu - i było takie samo w tysiącach sklepów. Badacze z Claroty ostrzegali przed tym już w zeszłym roku, a amerykańska agencja CISA w lutym.

Według specjalistów zawiodły podstawy: sterowniki stały bezpośrednio w internecie, często na łączu firmy serwisowej, bez VPN, bez listy dozwolonych adresów i bez aktualizacji. Danfoss i Copeland zaznaczają, że zaatakowane urządzenia to wycofane modele, które nie dostają już poprawek.

Kto za tym stoi

Nikt nie przyznał się do ataku i nie było żądania okupu, co dziwi śledczych. W grę wchodzi zwykły wandalizm na masową skalę albo działanie obcego państwa, które chciało wywołać zamieszanie w kilku krajach naraz. Holenderska sieć Albert Heijn ustaliła, że w ataku użyto serwerów m.in. w USA, Polsce, Mołdawii i Turcji - eksperci podkreślają jednak, że to nic nie mówi o tym, skąd działali sprawcy.

A co z Polską?

Informacje są rozbieżne. Polska pojawia się na liście krajów wymienionych przez Sekoię, ale nie znaleźliśmy potwierdzenia ataku na konkretną polską sieć ani komunikatu CERT Polska. Sterowniki Danfoss działają jednak także w polskich sklepach, więc podatny sprzęt może być w użyciu.

Wnioski dla firm

Badacze z Pen Test Partners podsumowują, że atak zablokowałyby podstawowe zasady:

• Odłączyć sterownik od publicznego internetu - dostęp tylko przez VPN i z listy dozwolonych adresów
• Sprzęt serwisantów podłączać do własnej sieci w kontrolowany sposób, a nie zostawiać go na łączu firmy zewnętrznej
• Zmienić domyślne i znane hasła
• Aktualizować oprogramowanie, a urządzenia bez wsparcia wymienić

Eksperci ostrzegają, że w internecie wciąż widać tysiące podobnie wystawionych sterowników. To przypomnienie także dla właścicieli mniejszych sklepów, chłodni i domowych urządzeń IoT: wszystko, co ma dostęp do sieci, wymaga aktualizacji i zabezpieczenia.

Na podstawie: Ars Technica, TIME, Euronews i alertów CERT-FR.