Hackeři napadli chladící boxy v sedmi stech supermarketech. Udělali z nich pece s teplotou 50 °C

Šest hodin. Tak dlouho trvalo, než se v části francouzských prodejen přestaly vařit potraviny v chladicích boxech. Zasaženo bylo zhruba 700 z 10 000 prodejních míst, jak v Národním shromáždění uvedl ministr hospodářství Roland Lescure. Zásobování země potravinami podle něj ohroženo nebylo.

Cíl, který nikdo nehlídal jako pokladny

Útočníci nesáhli po platebních systémech ani po zákaznických databázích, tedy po tom, co si většina lidí s kybernetickým útokem spojí. Zajímalo je technické zázemí obchodů, kde stojí řídicí jednotky chladicích zařízení. Právě ony hlídají, aby mléko, maso a mražené zboží zůstaly v bezpečné teplotě.

Jediná taková jednotka přitom v prodejně často obsluhuje několik chladicích okruhů najednou. Přes její rozhraní technik nastavuje teploty, sleduje alarmy a spouští odmrazování. Výrobce Danfoss popisuje svůj model AK-SM 800A jako „mozek“ inteligentního obchodu a technik s ním zvládne obsloužit celou prodejnu, aniž by chodil od jednoho boxu ke druhému.

Dálkový přístup má svůj smysl. Šéf Coopérative U Dominique Schelcher vysvětlil, že internetové připojení dovoluje sledovat teploty nepřetržitě a při poruše zasáhnout, aniž by se čekalo na příjezd technika. Slabinou se stává ve chvíli, kdy je stejné administrační rozhraní dostupné z veřejného internetu a někdo najde způsob, jak obejít jeho ochranu. Takto vystavená zařízení lze vyhledat bez jediného kroku do prodejny.

Z mrazáku pec: co se dělo uvnitř prodejen

Hackeři po průniku neupravovali jen cílovou teplotu. Sáhli i na odmrazování, které chladicí systémy používají k odstranění námrazy z výparníků. Podle dokumentace výrobce umí jednotka odmrazování jednotlivých skupin zařízení centrálně plánovat i spouštět.

Nejhůře dopadlo přibližně 150 prodejen řetězce Intermarché. Podle agentury Reuters tam teplota v chladicích zařízeních stoupla až na 50 °C a potraviny po přerušení chladicího řetězu musely skončit v odpadu. Pařížská prokuratura v souvislosti s útoky evidovala také případy požárů.

Francouzský bezpečnostní tým CERT-FR později mezi dotčené modely přidal také Copeland XWEB a Dixell XWEB. Technik pracující se systémem Dixell popsal deníku Le Monde, že útočníci přepsali nastavení odmrazování i regulace. U mrazicího zařízení posunuli hodnotu z přibližně −22 °C až na 150 °C. Samotný mrazák se na takovou teplotu nedostal, ale změna rozhodila regulaci a zařízení přestalo fungovat, jak mělo.

Jak se útočníci dostali dovnitř a co dál

Danfoss po útocích potvrdil, že napadené jednotky běžely na zastaralém firmwaru. Konkrétní cestu průniku ale nezveřejnil. Zajímavě proto působí starší práce týmu Team82 ze společnosti Claroty. Výzkumníci přes vyhledávač Censys objevili 2 765 jednotek AK-SM 800A dostupných z veřejného internetu a našli v nich chyby, které umožňovaly převzetí systému.

Zranitelnost CVE-2025-41450 obcházela běžné přihlašování přes mechanismus „code-of-the-day“. Zpětným rozborem zjistili, jak se kód generuje, a dokázali si vytvořit administrátorský účet bez znalosti hesla. Oprava přišla od verze 4.2. Druhá chyba, CVE-2025-41451, dovolovala po získání přístupu vložit vlastní příkaz do polí pro e-mailové alarmy. Jednotka jej provedla ve svém operačním systému, takže útočník mohl spouštět příkazy přímo na zařízení. Danfoss ji opravil ve firmwaru 4.3.1.

Důkaz, že právě tyto dvě chyby otevřely útočníkům cestu do francouzských obchodů, však chybí. Claroty po incidentu uvedlo, že přesný způsob průniku se zatím nepodařilo potvrdit.

Reset nestačí, útoky mohou pokračovat

CERT-FR doporučuje, aby chladicí kontroléry nebyly dostupné přímo z internetu a vzdálená správa vedla přes VPN nebo jinou chráněnou síť. U napadených zařízení má následovat tovární reset, nová konfigurace a aktualizace firmwaru.

Francouzský úřad zároveň upozorňuje, že útoky na tyto systémy pravděpodobně pokračují. U starších jednotek s neopraveným firmwarem je samotný reset jen dočasným řešením. Pokud se zařízení po něm vrátí na internet bez záplaty, zranitelnost zůstává přesně tam, kde byla před útokem.

Otázka tak míří i za hranice Francie: kolik podobných ovladačů stojí zapomenutých v technických místnostech obchodů, skladů a restaurací a kdo se stará o jejich aktualizace?