Sterowniki chłodnicze wystawione do internetu. Francuski rachunek za jedno zaniedbanie

Co się stało

Atakujący przejęli sterowniki chłodnictwa Danfoss zarządzające instalacjami w sklepach - te same, które firmy serwisowe obsługują zdalnie. Urządzenia zostały zablokowane w trybie odszraniania na kilka godzin, a temperatura w meblach chłodniczych i mroźniach podniosła się nawet do pięćdziesięciu stopni.

Skala jest niecodzienna. Intermarché i Netto podają co najmniej 300 sklepów, Coopérative U - 80 z dwóch tysięcy, Carrefour 80, Monoprix około trzydziestu, E.Leclerc kilka. Poza Francją ucierpiały obiekty w Hiszpanii, Portugalii, Polsce, Niemczech i Belgii. Prezes Les Mousquetaires szacuje straty samej grupy na dziesiątki milionów euro, a śledztwo paryskiej prokuratury obejmuje nie tylko zmarnowany towar, ale i urządzenia, które zaczęły się palić.

Ani CERT-FR, ani Danfoss nie ujawnili drogi wejścia. Warto to powiedzieć wprost, zanim przejdziemy dalej: nie wiemy, którędy atakujący weszli. Wiemy natomiast, w jakim stanie zastali ten park urządzeń - i to jest ta część historii, która powinna nie dawać spać.

Pierwszy błąd: sterownik widoczny z internetu

12 października badacz Baptiste Robert znalazł 2752 sterowniki Danfoss dostępne z sieci publicznej, z czego 1590 we Francji. Dzień później Reuters mówił o co najmniej 4500 interfejsach widocznych w Shodanie.

To nie są liczby z laboratorium. To liczby z wyszukiwarki urządzeń podłączonych do internetu, którą każdy może odpalić w przeglądarce.

Tu nie są potrzebne żadne wyrafinowane dobre praktyki. Wystarczy jedna zasada, stara jak sam zdalny serwis: sterowników automatyki nie wystawia się do sieci publicznej. Rozwiązań VPN dla urządzeń przemysłowych jest cała fura i ich wdrożenie naprawdę nie jest drogie.

Drugi błąd: sprzęt, który od lat nie dostaje poprawek

Danfoss przyznaje, że większość dotkniętych urządzeń to produkty wycofane albo pracujące na przestarzałym oprogramowaniu. AK-SM 800 zakończył cykl życia w maju 2021 r., AK-SC 355 wycofano w 2016. Żaden z nich nie dostaje już aktualizacji bezpieczeństwa. Trafione egzemplarze aktualnego AK-SM 800A nie były zaktualizowane.

Francuska firma Onyphe oceniła, że tylko niewielka mniejszość znalezionych sterowników pracowała na najnowszym oprogramowaniu.

Znane podatności w tej rodzinie urządzeń nie są nowością. Synacktiv opisał w 2023 r. obejście logowania, a Claroty Team82 w 2025 r. trzy luki w interfejsie webowym AK-SM 800A, w tym ukrytą ścieżkę uwierzytelniania opartą na haśle wyliczanym z bieżącej daty urządzenia. Żadnej z nich nie powiązano z tym atakiem - ale żadna też nie była tajemnicą.

Czego to nie usprawiedliwia

Dwa zaniedbania złożyły się tu w jedno. Urządzenie bez wsparcia producenta w zamkniętej, odseparowanej sieci to dług techniczny, który trzeba spłacić w najbliższym budżecie. To samo urządzenie dostępne z internetu to nie dług - to otwarte drzwi, przy których ktoś postawił tabliczkę z adresem.

Nie twierdzę, że z firewallem i VPN-em nic nie może się stać. Twierdzę, że atakującemu jest wtedy o dwa oczka trudniej i że nie włamuje się od razu do tysięcy sklepów naraz.

Zalecenia po incydencie są dokładnie tak nudne, jak można się spodziewać. CERT-FR każe odłączyć albo odfiltrować dostęp do każdego sterownika AK-SM i AK-SC. CISA radzi usunąć zdalny dostęp tam, gdzie nie jest potrzebny, a tam, gdzie jest - przepuścić go przez centralnie zarządzaną bramę z silnym uwierzytelnianiem. Nic z tego nie wymaga nowej technologii.

VPN to warstwa pierwsza, nie jedyna

Odseparowanie sieci automatyki od świata zewnętrznego to warunek wstępny, a nie koniec tematu. Wewnątrz samego segmentu automatyki zostaje jeszcze protokół - a automatyka budynkowa i chłodnicza wciąż stoi na rozwiązaniach sprzed trzydziestu lat, które nie znają ani uwierzytelniania, ani szyfrowania. Kto już zamknął perymetr, powinien zająć się właśnie tym.

Przydaje się też warstwa, która widzi pracę instalacji w sposób ciągły. Mroźnia w trybie odszraniania przez kilka godzin to anomalia, którą system nadzorujący zużycie i parametry pracy wychwytuje jako zdarzenie - niezależnie od tego, czy przyczyną jest atak, awaria czy ręczne obejście zostawione przez serwis.

Najbardziej szkoda kierowników sklepów

Kierowniczka jednego ze sklepów opisała dziennikarzom, że o piątej czterdzieści rano zobaczyła trzydzieści pięć stopni w meblach chłodniczych i pięćdziesiąt tysięcy euro towaru do wyrzucenia.

To nie ona podłączała ten sterownik do internetu.

Nie wiem, kto te instalacje wdrażał i kto je utrzymywał. Wiem, że pytanie „czy nasze sterowniki są widoczne z zewnątrz i na jakim oprogramowaniu pracują" da się zadać dziś po południu - i że odpowiedź na nie jest tańsza niż jedna noc z pięćdziesięcioma stopniami w mroźni.