Съвременните супермаркети използват централизирани системи за управление на хладилното оборудване. Те позволяват наблюдение на температурите, управление на компресори, настройване на работни режими и автоматично размразяване на хладилните инсталации. В много случаи тези системи могат да бъдат управлявани дистанционно от специализирани сервизни компании. Именно тази функционалност се оказва ключова за атаката. Според публикуваната информация нападателите са получили неоторизиран достъп до контролери, управляващи хладилните инсталации и са променили техните настройки. Вместо да изключат оборудването, те са използвали неговите собствени функции за размразяване. Това е съществена разлика. Системите не са били непременно физически повредени или изключени от електрозахранването. Те са изпълнявали неправомерно зададени команди, които нарушават нормалния температурен режим. В един от документираните случаи продължителността на цикъла за размразяване е увеличена от един на осем часа. Това позволява температурата да се повишава продължително време, преди персоналът да успее да реагира. В магазин на Intermarché в град Градинян температурата в хладилно помещение достига 50°C, което активира противопожарната система. Собственикът на магазина съобщава пред Le Monde, че само унищожената продукция е на стойност приблизително 21 000 евро по покупни цени. На други места се съобщава за повредено оборудване и пожари. Така една кибератака, насочена към сравнително малки устройства за управление, причинява реални физически щети.
Кои устройства са компрометирани?
Първоначалната информация насочва вниманието към хладилните контролери на датския производител Danfoss. Тези устройства се използват за централизирано управление на хладилни инсталации в супермаркети, складове и други търговски обекти. Сред засегнатите продуктови серии са Danfoss AK-SM и AK-SC. Впоследствие френската агенция CERT-FR разширява предупреждението си, като включва и системите Copeland xweb и Dixell xweb. Това показва, че проблемът не е ограничен единствено до оборудването на един производител. Особено притеснително е, че част от компрометираните контролери са устройства, които вече не получават софтуерни актуализации. Други работят с остарели версии на firmware, въпреки че производителят е публикувал корекции за известни уязвимости. При някои модели на Danfoss сериозни проблеми със сигурността са документирани още през 2023 г., а през 2025 г. са публикувани допълнителни предупреждения и актуализации. Сред установените уязвимости са възможности за заобикаляне на автентикацията и изпълнение на команди върху устройството.
Защо индустриалното оборудване е толкова уязвимо?
Хладилните контролери са част от т.нар. Operational Technology (OT) — системи, които управляват и наблюдават физически процеси. За разлика от стандартните компютри и сървъри, подобно оборудване често остава в експлоатация в продължение на десетилетие или повече. През този период мрежовата инфраструктура около него се променя, появяват се нови заплахи, а производителите постепенно прекратяват поддръжката на старите модели. Допълнителен проблем е организацията на дистанционния достъп. Хладилните инсталации обикновено се обслужват от външни специализирани компании, които трябва да имат възможност да извършват диагностика и промени в настройките. За да се улесни тази поддръжка, понякога административните интерфейси на контролерите се публикуват директно в интернет. Това е сериозен риск. Ако устройството използва остарял firmware, слаба парола или има известна уязвимост, нападателят потенциално може да получи достъп до него, без изобщо да е необходимо първо да компрометира корпоративните компютри или сървъри. Именно затова защитата на подобни системи не може да се разглежда отделно от цялостната сигурност на компютърната мрежа.
Френската агенция за киберсигурност предупреждава за продължаващи атаки
На 12 октомври CERT-FR публикува официално предупреждение с идентификатор CERTFR-2026-ALE-012, актуализирано на следващия ден. В него агенцията потвърждава множество компрометирани контролери за дистанционно управление на хладилни инсталации. Особено важно е предупреждението, че кампаниите срещу подобно оборудване вероятно продължават. CERT-FR препоръчва административните интерфейси да не бъдат директно достъпни от интернет. Когато дистанционният достъп е необходим, той трябва да се осъществява през защитена VPN връзка или друга контролирана мрежова среда. Агенцията препоръчва също проверка на конфигурацията на оборудването, включително настройките за размразяване, актуализиране на firmware и промяна на стандартните пароли. При вече компрометирани устройства може да се наложи възстановяване на фабричните настройки и пълно преконфигуриране. Самото възстановяване обаче не решава проблема, ако устройството продължава да бъде достъпно от интернет и използва неподдържан софтуер.
Щетите може да останат за сметка на търговските вериги
Освен техническите последствия инцидентът повдига и сериозен финансов въпрос. Според Reuters общите загуби могат да достигнат десетки милиони евро. Проблемът е, че стандартните киберзастраховки невинаги покриват физически щети или унищожена продукция вследствие на кибератака. Това означава, че част от засегнатите компании могат да се окажат в ситуация, при която разполагат със застраховка срещу киберинциденти, но въпреки това трябва сами да понесат значителна част от загубите. Случаят показва и нещо друго — възстановяването на компрометираните системи не означава автоматично възстановяване на нормалната дейност. Дори след като хладилното оборудване заработи отново, магазините трябва да изхвърлят негодната продукция, да извършат необходимите проверки и да организират нови доставки. Последствията от атаката могат да продължат дни след отстраняването на техническия проблем.
Какво трябва да научат компаниите от този инцидент?
Атаката във Франция показва, че киберсигурността вече не е свързана единствено със защитата на информацията. Все повече устройства, които управляват физическата инфраструктура на компаниите, използват стандартни компютърни мрежи и интернет свързаност. Това включва системи за климатизация, контрол на достъпа, видеонаблюдение, сградна автоматизация, производствено оборудване и множество други технологии. Защитата им изисква няколко основни мерки.
На първо място е правилната мрежова сегментация. Оборудването, което управлява физически процеси, трябва да бъде отделено от стандартната офисна инфраструктура. Комуникацията между отделните мрежови сегменти следва да се контролира чрез firewall политики, които разрешават само необходимия трафик.
На второ място е защитеният дистанционен достъп. Административните интерфейси на индустриални контролери и други критични устройства не трябва да бъдат директно публикувани в интернет. Достъпът на външни сервизни компании трябва да бъде ограничен, контролиран и защитен.
Не по-малко важно е управлението на актуализациите. Устройствата с остарял firmware и прекратена поддръжка представляват сериозен риск, особено когато са достъпни през мрежата. Актуализациите на OT оборудването трябва да се планират съвместно с производителя или обслужващата организация, за да не се наруши работният процес.
Ключова роля има и постоянният мониторинг. Не е достатъчно единствено да се проверява дали дадено устройство отговаря в мрежата. Необходимо е да се наблюдават неговото състояние, комуникацията и, когато е технически възможно, критичните работни параметри. При подобни системи навременното откриване на необичайна промяна може да предотврати значителни финансови загуби.
Киберсигурността вече защитава не само информацията, но и самия бизнес
Случаят с френските супермаркети е показателен за една все по-важна тенденция — кибератаките могат да причиняват физически щети, без нападателите да имат пряк достъп до самото оборудване. Достатъчно е да бъде компрометирана система, която управлява критичен процес. За компаниите това означава, че сигурността на корпоративната мрежа, сървърите, индустриалните контролери и дистанционните връзки трябва да се разглежда като обща задача.
В Simplex Systems предоставяме цялостна ИТ поддръжка и компютърна поддръжка, като изграждаме и администрираме сигурни компютърни мрежи и мрежови услуги с подходяща сегментация и контролиран достъп. Осигуряваме професионална поддръжка на сървъри, внедряваме решения за виртуализация на сървъри и съдействаме за надеждното използване на облачни услуги. Прилагаме съвременни решения за киберсигурност, включително конфигуриране на защитни стени, защитен отдалечен достъп и мониторинг на критичната инфраструктура. Чрез нашата абонаментна компютърна поддръжка помагаме на компаниите да поддържат сигурна, стабилна и надеждна ИТ среда. Защото добре защитената инфраструктура не просто намалява риска от кибератаки — тя е съществена част от осигуряването на непрекъсваемостта на бизнес процесите.
