Хакеры нагрели холодильники сотен магазинов Франции до 50°C. ANSSI: слабые пароли

Неизвестные в ночь с 11 на 12 октября 2026 года взяли под контроль панели холодильников в сотнях французских супермаркетов и включили непрерывную разморозку. Витрины с мясом и мороженым нагрелись до 50C, в отдельных залах сообщали о 80C, сети Intermarche (французская сеть гипермаркетов), Coopérative U (Super U), Carrefour, Monoprix и E.Leclerc выбросили тонны продуктов. 21 октября глава национального киберагентства ANSSI Венсан Стрюбель сказал сенату, что это не «крутая дыра 2025 года», а панели, торчащие в интернет, и слабые пароли. Обычному человеку это касается прямо: та же схема стоит у аптек, складов и маленьких магазинов по всей Европе.

Что увидели утром покупатели

Магазины открылись с пустыми холодильными горками. Les Mousquetaires, владелец Intermarche и дискаунтера Netto, сначала говорил примерно о 150 точках, где шесть часов держали 50C; позже в сводках фигурировали сотни магазинов группы. Coopérative U подтверждала удар по своим залам. Carrefour называли порядка 80 магазинов, Monoprix - около 5% сети. Министр финансов Франции Ролан Лескюр в парламенте говорил уже о примерно 700 из 10 000 супермаркетов страны. Цифры расходятся, потому что сети считали свои точки отдельно, а прокурор Парижа открыл дело по «крупной атаке на подключенные холодильники» без единого реестра.

Директор Intermarche в Ланнионе позже назвал свои потери: минимум 150 000 евро и 21,7 тонны товара, который нельзя было отдать благотворительности, потому что цепь холода уже была разорвана. Два магазина в Эльзасе в ранних репортажах оценили совместный ущерб в 270 000 евро. По стране журналисты складывали «десятки миллионов евро». В отдельных залах оборудование дымило, срабатывали спринклеры; прокурор упоминал пожары, сети осторожнее говорили о дыме. CERT-FR, оперативная команда ANSSI, в своей тревоге пожары не фиксировала: там речь только о компрометации контроллеров.

Как холодильник оказался в открытом интернете

Холодильник в супермаркете почти никогда не «сам по себе». Им рулит промышленный контроллер: он держит температуру, включает короткий цикл разморозки, шлет тревогу фригористу в три ночи. Датская компания Danfoss (крупный производитель промышленного холода) делает линейки AK-SM и AK-SC, которые как раз умеют открывать веб-панель для удаленного сервиса. Рядом в той же атаке CERT-FR позже назвал шлюзы Copeland xweb и Dixell xweb. Смысл панели простой: мастер не едет ночью на вызов, а правит уставку из браузера.

12 октября CERT-FR выпустил тревогу CERTFR-2026-ALE-012: «многочисленные компрометации» удаленных контроллеров холода. Агентство прямо написало, что выставлять интерфейс управления в интернет противоречит нормальной практике. Danfoss в комментариях к прессе говорил, что большинство задетых блоков - старые AK-SM 800 (поддержка кончилась в мае 2021) и AK-SC 355 (сняты около 2016), плюс часть актуальных AK-SM 800A на устаревшей прошивке. То есть парк, который «и так работает», годами не трогали.

ANSSI закрыла красивую версию про CVE

В первые дни в отраслевых чатах гуляли прошлогодние дыры Danfoss AK-SM 8xxA: обход логина и удаленное выполнение команд, которые чинили прошивками R4.2 и R4.3.1. 21 октября Стрюбель на слушании в сенате это отрезал. По его словам, анализ ANSSI на тот момент не подтвердил эксплуатацию опубликованных исследователями CVE. «Это элементарные дефекты защиты: прямое выставление холодильного оборудования в интернет, админка без особой защиты, слабые пароли».

Он напомнил, что с 2014 года у агентства есть гайд по промышленным системам, и первая строка там - не торчать в открытую сеть. «Очевидно, наши рекомендации соблюдают не всегда». Для читателя это важнее любой аббревиатуры: атака не требовала нулевого дня. Хватило панели, которую сервисная фирма когда-то повесила «на всякий случай», и пароля, который не меняли после монтажа.

Почему это не только Франция и не только мясо

Премьер Себастьен Лекорню сразу поручил ANSSI координироваться с европейскими коллегами: похожие контроллеры стоят в Бельгии, Нидерландах, Испании, Польше. Сообщения о сбоях в соседних странах были обрывочными, но логика та же. Cети часто отдают холод подрядчику. ИТ-директор магазина не владеет паролем от AK-SM, фригорист не считает себя кибербезопасником, а панель висит на белом IP, потому что так удобнее ночной дежурной службе.

Стрюбель отдельно предупредил сенат про здравоохранение: те же классы шкафов держат вакцины и препараты, которым нельзя «чуть погреться». Аптека, склад клинических реагентов, цех с заквасками - все это тот же удаленный холод. Атака не украла карты покупателей и не требовала выкуп. Она просто сломала физику: шесть часов плюс 50C, и товар становится отходом по санитарным правилам.

Что делать сетям, складам и маленьким магазинам

CERT-FR разложил действия на два случая. Если панель еще не взломали: снять ее с публичного IP, проверить уставки разморозки, пускать удаленку только через VPN или белый список адресов подрядчика, сменить заводские пароли, на Danfoss включить режим Strict, где он есть, поставить доступные прошивки. Если компрометация уже подозревается: сначала отрезать сеть, затем сброс к заводским, патчи, смена всех ключей и полный пересмотр учетных записей. Просто «поменять пароль на том же железе в той же сети» агентство не считает лечением.

Для владельца одной точки проверка приземная. Спросить у фригориста: есть ли у контроллера веб-вход с улицы, какой логин, когда меняли пароль, есть ли VPN. Если мастер отвечает «мы заходим по ссылке из браузера с телефона», это ровно та схема, которую во Франции прогрели до 50C. Покупателю в зале делать почти нечего, кроме здравого смысла: пустая витрина после «сбоя холода» - повод не брать соседний лоток «со скидкой, но уже теплый».

Кто выиграл и кто молчит

Никто не взял ответственность. Выкупа не было. Выгода атакующих, если она была, могла быть в хаосе, insiders-ставке на логистику или в проверке, насколько легко дернуть критичный холод целой страны. Расследование у полиции Осаки тут ни при чем: дело ведет парижская прокуратура, техническую картину держит ANSSI. Производитель железа указывает на списанный парк. Ритейл указывает на подрядчика. Подрядчик указывает на «так исторически повесили».

Для русскоязычного читателя в ЕС история ближе, чем очередной слив паролей форума. Intermarche и Carrefour - это полки, на которые заходят в отпуске. Та же датская коробка стоит на складах дистрибьюторов по всему континенту. Урок октября 2026 года неприятно скучный: еду уничтожили не гении эксплойта, а админка, которую забыли убрать из интернета.

Источники

Официальная тревога CERTFR-2026-ALE-012 от CERT-FR. Репортаж The Guardian о ночи атаки. Слушание главы ANSSI: Le Figaro и Public Sénat.