Вторая за осень волна кибератак на холодильное оборудование европейских супермаркетов охватила как минимум одиннадцать стран, при этом эксперты и регуляторы сходятся во мнении, что атаки не требовали сложных инструментов — злоумышленники использовали базовые дефекты безопасности, которые можно было устранить заранее.
География и последствия
В ночь на 2 ноября сбои refrigeration-систем затронули магазины в Бельгии, Люксембурге, Швеции, Финляндии, Ирландии, Нидерландах, Эстонии, а позднее — в Германии, Италии, Португалии и Румынии . В Бельгии пострадали десятки торговых точек сетей Ahold Delhaize и Colruyt; федеральная прокуратура начала расследование . В Швеции в магазине ICA в Сьёбо температура в морозильниках поднялась примерно до 50°C — оборудование было переведено в режим разморозки . В Италии, по данным местных СМИ, атаки затронули около двадцати супермаркетов, включая точки Coop на Сицилии . В Германии подтвердили инциденты сети Edeka и CAP, в Португалии — семь магазинов Intermarché .
Это уже второй масштабный эпизод: 11 октября аналогичная атака обрушила refrigeration-системы примерно 700 супермаркетов во Франции, где потери за один день исчислялись десятками миллионов евро .
Техническая суть: почему это сработало
Ключевой элемент — контроллеры Danfoss серии AK-SM 800A, широко используемые для удалённого мониторинга и управления холодильным оборудованием. В августе 2025 года исследователи Claroty Team82 раскрыли три уязвимости в этих контроллерах. Наиболее показательная — CVE-2025-41450: механизм аутентификации допускал обход пароля администратора с помощью ежедневно генерируемого кода, алгоритм которого можно воспроизвести, зная текущую дату . Две другие уязвимости (CVE-2025-41451 и CVE-2025-41452) позволяли выполнять команды операционной системы через конфигурацию электронной почты и нарушать работу веб-сервера .
Danfoss выпустил исправление — прошивку R4.3.1 — ещё в 2025 году . Однако, по данным Censys, непосредственно перед ноябрьской волной во Франции 45% доступных из интернета экземпляров StoreView всё ещё работали на версиях ниже 4.2, то есть оставались уязвимыми ко всем трём CVE. В Бельгии доля пропатченных систем составляла 68%, в Швеции — 58%, но даже там exposure сохранялся .
Французское агентство ANSSI после октябрьской атаки заявляло, что эксплуатировались не столько сами уязвимости прошивки, сколько «базовые дефекты безопасности»: прямое подключение оборудования к интернету без защиты, слабые пароли, отсутствие изоляции управляющих сетей . Иными словами, даже наличие патча не гарантировало защиты, если контроллер оставался открыт для внешнего доступа.
Реакция регуляторов и пробел в ответственности
Еврокомиссия назвала происходящее попыткой нарушения цепочки поставок продовольствия, однако конкретных законодательных инициатив по обязательной безопасности OT-устройств в ритейле пока не последовало . Бельгия инициировала уголовное расследование, но атрибуция остаётся неясной: сложность атак была настолько низкой, что сузить круг подозреваемых по техническим признакам практически невозможно .
Структурная проблема, которую высветили эти инциденты, лежит в распределении ответственности. Холодильными системами супермаркетов часто управляют сторонние подрядчики, тогда как сеть и учётные записи могут находиться в ведении IT-департамента, а оборудование принадлежать магазину. Ни одна из сторон не обладает полной картиной exposure. Censys зафиксировал показательную деталь: после французской атаки число открытых StoreView в стране упало на 71% за три дня, но доля пропатченных систем при этом практически не выросла — операторы просто отключили контроллеры от интернета, а не обновили прошивку .
Что это означает для России
Публично подтверждённых случаев аналогичных атак на российские торговые сети нет. Однако это не свидетельствует об отсутствии уязвимости, а скорее об отсутствии систематического мониторинга exposure OT-устройств в российском ритейле. Импортные контроллеры Danfoss и Copeland, используемые в холодовой цепи, могут оставаться подключёнными к интернету для удалённого обслуживания — практика, которая в Европе и привела к инцидентам. Ключевой вопрос — не столько наличие патчей, сколько архитектурная изоляция: если управление refrigeration-системами не требует прямого доступа из глобальной сети, его не должно быть.
