В ночь на 2 ноября 2026 года злоумышленники удаленно изменили настройки холодильного оборудования в магазинах нескольких торговых сетей Европы. Они включали режим разморозки, отключали холодильники и морозильники или выставляли на них температуру +50 °C. По подсчетам BleepingComputer, пострадали более 115 магазинов в Бельгии, Нидерландах, Швеции, Люксембурге, Ирландии и Эстонии. Охлажденные и замороженные продукты в части из них пришлось выбросить.
Carrefour Belgique: из более чем 700 магазинов сети затронуты 15, гипермаркетов среди них нет. Изображение: Carrefour Belgique
По данным Financial Times, которые приводит РБК, ущерб от испорченных продуктов исчисляется миллионами евро. Была ли атака скоординированной и кто за ней стоит, пока неизвестно.
Какие магазины пострадали
Больше всего пострадавших магазинов в Бельгии. Ahold Delhaize сообщила об «ИТ-инциденте», затронувшем холодильное оборудование примерно 40 ее магазинов в Бельгии и Люксембурге. По данным бельгийского RTL Info, около 4 часов утра Delhaize разослала управляющим SMS о резком росте температуры в холодильных установках. Температура в холодильниках и особенно в морозильниках доходила примерно до 15 °C. Пострадали в основном магазины Shop & Go на заправках Q8, магазины Proxy Delhaize, а также отдельные супермаркеты и магазины вдоль автомагистралей.
Управляющий магазином Proxy Delhaize в Оверейсе Diego Louwers рассказал RTL Info, что около 3 часов ночи сработали сигнализации холодильных установок. Приехав в магазин, он обнаружил, что все холодильники находятся в режиме разморозки и нагнетают воздух температурой около 40 °C, в том числе в низкотемпературных камерах. Все свежие и замороженные продукты пришлось выбросить.
Carrefour Belgique сообщила, что из более чем 700 магазинов сети затронуты 15, гипермаркетов среди них нет. Сбой коснулся отдельных установок, в основном в отделах замороженных продуктов, все магазины открыты. Кроме того, пострадали около 15 магазинов Intermarche, причем в некоторых из них только один холодильник, и пять магазинов Spar. По словам представителя Colruyt Group, эти магазины Spar принадлежат независимым предпринимателям со своим холодильным оборудованием. Ikea сообщила о кибератаке на холодильники и морозильники магазина в Монсе. Другие бельгийские магазины Ikea не пострадали: по словам представителя компании, их обслуживает другой подрядчик. По данным RTL Info, от атаки, вероятно, пострадал и шоколатье Galler в Льеже, а сеть мясных магазинов De Laet & Van Haver сообщила о резком изменении температуры в холодильниках.
В Швеции сеть Coop сообщила, что пострадали 7 из более чем 800 ее магазинов: холодильники и морозильники отключались полностью или работали частично, а в одном случае установка начала нагревать воздух. В ICA подтвердили, что инцидент затронул «небольшое число магазинов», подключенных к интернету не через центральную сеть ICA. Руководитель магазина ICA в Шебу Rickard Nilsson рассказал TV4, что на морозильниках выставили +50 °C и изменить температуру сотрудники не смогли, а продукты на сотни тысяч крон придется выбросить. Атаке подвергся и склад компании Axfood в Гетеборге, где собирают заказы с доставкой на дом. По словам представителя Axfood, взлом произошел через внешнего поставщика, который обслуживает холодильную установку, собственные системы компании не затронуты.
В Ирландии, как сообщает RTE, пострадали 13 магазинов SuperValu. Владелец сети Musgrave уточнил, что сбой затронул одну модель холодильного оборудования. О нем сообщили системы мониторинга, охлажденные и замороженные продукты в этих магазинах на всякий случай сняли с продажи. К вечеру 2 ноября все магазины SuperValu работали в обычном режиме, ситуацию отслеживает Национальный центр кибербезопасности Ирландии.
В Эстонии атаке подвергся один магазин Selver. Руководитель компании Kitman Coldtech, которая обслуживает холодильное оборудование, Jann Mutso рассказал ERR, что злоумышленники получили доступ к управляющему компьютеру холодильной системы Danfoss старого типа и выставили на ней +50 °C. Атаку заметили в течение 10 минут: температура в морозильниках успела подняться на 2–3 градуса, продукты не пострадали. В Selver уточнили, что это был последний магазин сети, где еще не перешли на новую систему. По данным газеты Sakala, в Эстонии пытались вывести из строя 120 холодильных систем. В Нидерландах пострадали не менее 17 мясных лавок и магазинов у дома.
Как проходила атака
По данным RTL Info, первые атаки начались около полуночи. Директор бельгийской компании Sabcobel, которая устанавливает холодильное оборудование, в том числе в нескольких пострадавших магазинах, Stephan Moelans рассказал RTL Info, что злоумышленники действовали так же, как при октябрьской атаке во Франции. Они удаленно включали режим разморозки испарителей. Этот режим нужен, чтобы убирать иней, но при запуске в неподходящее время температура в холодильниках и морозильниках растет.
По словам Moelans, техников Sabcobel начали поднимать с часа ночи, всю ночь и утро они отключали пострадавшие установки от сети. Уязвимость известна со времени атаки во Франции, и в последние недели компания защищала оборудование клиентов. Однако обновления программного обеспечения недостаточно: установки нужно дорабатывать физически, а это требует от владельцев вложений. Самым простым решением Moelans назвал управление холодильниками через защищенное подключение к интернету, его после атаки во Франции выбрали большинство клиентов Sabcobel.
Производителя оборудования прямо назвали только в Эстонии – это Danfoss. По данным Financial Times, программное обеспечение датской компании Danfoss использовалось и во многих холодильниках и морозильниках, пострадавших в Швеции, Бельгии и Франции.
Атака на супермаркеты Франции в октябре
В ночь на 12 октября злоумышленники так же удаленно включили разморозку холодильников в сотнях супермаркетов Франции, в том числе сетей Intermarche, Cooperative U, Carrefour Market, Monoprix, Leclerc и Super U. Парижская прокуратура возбудила дело. Как сообщал Reuters, следователям не удалось установить, как злоумышленники получили доступ к оборудованию, а ответственность за атаку никто на себя не взял.
Французский центр реагирования на компьютерные инциденты CERT-FR в тот же день выпустил предупреждение о многочисленных взломах контроллеров удаленного управления холодильными установками Danfoss серий AK-SM и AK-SC, а также Copeland XWEB и Dixell XWEB. Danfoss сообщила изданию Cooling Post, что большинство пострадавших устройств – устаревшие AK-SM800, поддержка которых закончилась в 2021 году, и AK-SC355, снятые с производства в 2016 году. Обновлений ПО и безопасности для них больше нет. Пострадавшие современные AK-SM800A работали на устаревшей прошивке.
Системный менеджер холодильного оборудования Danfoss AK-SM 800A. Изображение: Claroty
В августе исследователи Claroty опубликовали разбор трех уязвимостей в веб-интерфейсе управления Danfoss AK-SM 800A. CVE-2025-41450 – скрытый механизм «кода дня», с помощью которого можно обойти аутентификацию. CVE-2025-41451 – внедрение команд, которое позволяет выполнить код на устройстве. CVE-2025-41452 позволяет пользователю, вошедшему в систему, изменить конфигурацию веб-сервера Nginx и вызвать отказ в обслуживании. Danfoss исправила уязвимости в новой версии прошивки. По данным поисковой системы Censys, которые приводит Claroty, из интернета были доступны 2765 таких контроллеров. Использовались ли эти уязвимости в атаках на супермаркеты, не сообщалось.
Censys нашел 2765 доступных из интернета контроллеров AK-SM 800A. Изображение: Claroty
Похожие сбои были и в США. Как сообщал Reuters, в конце августа морозильники вышли из строя как минимум в шести продуктовых магазинах на военных базах США, и Пентагон рассматривает это как возможный результат взлома.
Что рекомендует CERT-FR
CERT-FR напоминает, что открывать интерфейс управления в интернет противоречит базовым правилам безопасности. Владельцам оборудования, которое еще не взломано, центр рекомендует убрать доступ к контроллерам из интернета, проверить всю конфигурацию, особенно расписание разморозки, и восстановить удаленный доступ только через защищенный канал или закрытую сеть. Временно можно разрешить на межсетевом экране подключения только с IP-адресов обслуживающей компании, но постоянным решением это считать нельзя. Прежде чем отключать передачу данных обслуживающей компании, CERT-FR советует проверить условия договора страхования.
Для оборудования Danfoss центр рекомендует обновить прошивку, включить строгий режим безопасности (Strict) и сменить пароли по умолчанию. Взломанный контроллер нужно перезагрузить, а если это не поможет – сбросить к заводским настройкам и настроить заново. По оценке CERT-FR, атаки на такие устройства, вероятно, продолжаются. Снятый с поддержки контроллер, для которого нет исправлений, при доступе из интернета с очень высокой вероятностью будет взломан. Сброс к заводским настройкам удалит закрепившиеся в нем изменения злоумышленников, но устройство останется уязвимым и, скорее всего, будет взломано снова.
Специалист по кибербезопасности Nicklas Keijser в эфире Radio Aftonbladet посоветовал магазинам выяснить у поставщика, подключены ли их холодильники и морозильники к интернету: по его словам, многие владельцы об этом не знают.
