50 °C в морозильной витрине: Ночь, когда холодильные установки превратились в обогреватели

Атаки на холодильные установки вынуждают европейские супермаркеты выбрасывать продукты. Эти инциденты показывают, что даже штатные функции оборудования могут стать источником ущерба. Поэтому главный вопрос — не только в том, как злоумышленники получают доступ, но и в том, что еще способно остановить их после этого.

Первый признак — лужа.
Утром в понедельник, 2 ноября 2026 года, Матс Олссон входит в свой магазин ICA в Бёде на шведском острове Эланд и обнаруживает на полу воду. Шведскому телеканалу SVT он рассказывает, что его морозильная установка нагрелась до 55 °C, а запасы охлажденных и замороженных продуктов испортились. Магазин остается открытым, но в нем нет именно тех товаров, которые его оборудование должно было сохранять в холоде.

В Стокгольме инцидент тоже начинается глубокой ночью. По словам руководителя отдела продаж Энглы Ингвалль, атака на морозильные установки ее магазина ICA начинается около двух часов ночи. Несколько часов ее никто не замечает. В разговоре с Reuters она сообщает о температуре 50 °C и испорченных товарах. К моменту обнаружения цифрового вмешательства физические процессы уже нанесли ущерб.

В течение 2 ноября аналогичные сообщения поступают из Бельгии, Люксембурга и Эстонии. В Нидерландах Danfoss подтверждает NOS, что пострадали как минимум 17 предприятий, включая небольшие продуктовые магазины и склад замороженной продукции. Тремя неделями ранее похожая атака затронула сотни магазинов во Франции. На момент подготовки статьи из общедоступной информации не было ясно, стояли ли за этими событиями одни и те же злоумышленники.

Но главный практический вопрос не зависит от установления их личности: как система, предназначенная для охлаждения, становится источником тепла? Ответ кроется в функции, предусмотренной для ее штатной работы.

Машина делает то, что ей велят. Только подчиняется не тому человеку.

На испарителе холодильной установки может накапливаться лед. Для эффективного теплообмена его необходимо регулярно удалять. В зависимости от конструкции оттайка предполагает остановку охлаждения либо активный подвод тепла с помощью электрических нагревателей или горячего хладагента. Таким образом, холодильная установка способна вырабатывать тепло или целенаправленно подводить его. Во время штатного цикла оттайки это не является неисправностью.

Ключевое значение имеют продолжительность, последовательность и ограничения. В связи с бельгийскими инцидентами компания Sabcobel, обслуживающая холодильное оборудование, сообщила, что испарители были дистанционно переведены в режим оттайки. Злоумышленникам не понадобилось придумывать новую функцию машины. Они использовали существующую вопреки назначению установки.

За холодильной витриной нередко стоит целая иерархия управления. Локальные контроллеры работают с датчиками и клапанами, а системный менеджер верхнего уровня собирает информацию и обеспечивает удаленное администрирование. Исследованный Claroty Danfoss AK-SM 800A имеет встроенный веб-интерфейс для управления, в частности, температурными пределами, расписаниями, сигнализацией и учетными записями пользователей. Это избавляет техника от выезда на объект — и дает значительные возможности любому, кто обладает необходимым доступом.

Такие системы относятся к операционным технологиям, или OT: технологиям, которые отслеживают физические процессы или воздействуют на них. Здесь команда не просто изменяет запись данных. Она может определять, что в следующий момент сделает клапан, двигатель или нагреватель.

Для вредоносного изменения процесса не обязательно захватывать операционную систему. Может оказаться достаточно операторского доступа с нужными привилегиями. В модели ATT&CK для промышленных систем управления MITRE описывает этот прием как «Modify Parameter» (T0836): измененные рабочие параметры заставляют в остальном исправный контроллер выполнять нежелательную последовательность операций. Само по себе это не позволяет установить, применялось ли в этих инцидентах также вредоносное ПО.

Разница принципиальна. Если искать только вредоносные файлы, можно упустить злонамеренное управляющее действие. Команда может быть формально допустимой, программа — корректно ее обрабатывать, а оборудование при этом все равно будет делать не то, что нужно. Зеленый индикатор состояния сообщает лишь о том, что он действительно контролирует. «Система работает» — не то же самое, что «процесс находится под контролем».

Столь же точно нужно относиться и к впечатляющим значениям температуры. Заданные значения температуры — уставки — нельзя путать с температурой испарителя, воздуха или самих продуктов. Изменение температурной настройки на 50 °C не доказывает, что продукты достигли этой температуры. Это показывает случай в пострадавшем магазине в Эстонии: несмотря на настройку 50 °C, сообщалось лишь о небольшом фактическом повышении температуры. Решающее значение имела скорость реакции.

Боковой вход в обход защиты корпоративной ИТ-инфраструктуры

Путь к холодильной установке не обязательно проходит через центральную корпоративную сеть. ICA заявила, что подключения пострадавших магазинов работали за пределами этой сети. Это не полноценный отчет по результатам цифрового расследования. Однако это объясняет, почему даже профессионально защищенная корпоративная ИТ-инфраструктура не обеспечивает автоматически безопасность каждого сервисного доступа в каждом магазине.

Установка может быть отделена от сети касс и при этом иметь незащищенное соединение с внешним миром. Британский NCSC прямо предупреждает о дополнительных каналах связи, которые могут устанавливать подрядчики, например о собственных сотовых подключениях. Если проверять только известные соединения компании, такие пути доступа можно не заметить. Важно фактическое подключение к контроллеру, а не то, где заканчивается ответственность одной команды и начинается ответственность другой.

Команда Team82 компании Claroty показала возможный масштаб этой поверхности атаки: поисковый запрос выявил 2 765 устройств исследованной платформы, доступных из интернета. Это была картина внешней доступности устройств на определенный момент, а не список взломанных супермаркетов. Но этот результат опровергает успокаивающее предположение, будто подобные интерфейсы администрирования всегда скрыты внутри закрытых корпоративных сетей.

В Нидерландах опубликованная к настоящему моменту информация скорее указывает на недостаточные меры защиты, чем на неизвестную высокотехнологичную атаку. Представитель Danfoss сообщил NOS, что пострадавшие системы использовали пароли по умолчанию и не были подключены через защищенную сеть. По его словам, после инцидента во Франции производитель уже рекомендовал убрать прямой доступ из интернета. Это версия производителя, а не независимая реконструкция каждого отдельного случая.

Кроме того, существуют документированные уязвимости продуктов. Для серии AK-SM-8xxA Danfoss указывает CVE-2025-41450 как проблему аутентификации в версиях до 4.2. Для версий до 4.3.1 CVE-2025-41451 описывает возможность выполнения команд операционной системы, а CVE-2025-41452 — возможность изменения конфигурации веб-сервера, которое может привести к отказу в обслуживании. Две последние уязвимости требуют успешной аутентификации.

Team82 также описала альтернативный механизм входа — «Code of the Day», который позволял обойти обычную процедуру входа. Суть проблемы: надежный пароль администратора не защищает от всех ошибок в дополнительном механизме доступа.

Изученные открытые источники не позволяют установить, использовались ли эти уязвимости в нынешних атаках и, если да, какие именно. Нельзя смешивать и семейства продуктов: CERT-FR называет системы Danfoss AK-SM и AK-SC, а также системы XWEB от Copeland и Dixell. Поэтому одна CVE не объясняет все инциденты.

Есть и другая проблема, незаметная в торговом зале: старение оборудования. По данным производителя, жизненный цикл старой модели Danfoss AK-SM 800 как продукта завершился в мае 2021 года. В октябре 2025 года Danfoss вновь подтвердила прекращение поддержки соответствующих устаревших продуктов. Этот системный менеджер нельзя отождествлять с более новой платформой 800A. Ее обновления нельзя просто установить на все старые устройства.

Механическая часть оборудования может продолжать работать, когда его цифровой контроллер уже не поддерживается. Фраза «все еще охлаждает» в таком случае описывает текущую функцию установки, а не защищенность сервисного доступа к ней.

Что может остановить злоумышленника, который уже вошел в систему?

Первая линия защиты должна ограничивать доступ к интерфейсу администрирования: отсутствие прямого доступа из интернета, защищенный удаленный доступ, индивидуальные учетные записи и, по возможности, многофакторная аутентификация, устойчивая к фишингу. Именно такой подход рекомендуют CERT-FR и NCSC. Он усложняет первоначальное проникновение. Но затем устойчивая архитектура должна ответить на второй вопрос: что именно может сделать злоумышленник через скомпрометированный доступ?

Аутентификация проверяет учетные данные. Авторизация определяет, какие действия разрешены учетной записи. Валидация рабочих параметров должна гарантировать, что разрешенное изменение не выведет процесс за пределы допустимых условий эксплуатации. Эти три функции не взаимозаменяемы. Поэтому MITRE рекомендует как права на изменение, назначаемые по ролям, так и проверку передаваемых значений непосредственно в логике управления.

Применительно к холодильным установкам это означает, что сервисная учетная запись, которой разрешено запрашивать запуск цикла оттайки, не должна автоматически получать возможность изменять все ограничения этого цикла. Просмотр рабочего состояния, обычные управляющие действия и изменение защитных настроек требуют разных прав. Универсальный ключ ко всему превращает компрометацию одной учетной записи в гораздо более масштабную проблему.

Такие ограничения — не абстракция. Например, документация контроллера Danfoss AK-CC 750 описывает условия завершения оттайки по температуре и времени. Это не доказывает, что данный контроллер использовался в пострадавших магазинах. Но показывает, какие вопросы необходимо поставить при технической проверке: какие ограничения существуют, где обеспечивается их соблюдение и кто вправе их менять?

Не всегда достаточно проверять каждое значение отдельно на соответствие разрешенному числовому диапазону. Надежная стратегия защиты должна также учитывать взаимодействие продолжительности, повторяемости и состояния установки. Ориентироваться следует на эксплуатационные пределы, установленные производителем и инженерным проектом системы. Форма ввода в браузере не является достаточной границей безопасности: проверка должна действовать там, где контроллер фактически принимает и обрабатывает изменения.

Не менее важно, на какую степень компрометации рассчитаны защитные меры. Злоупотребление операторской учетной записью и полный захват контроллера — разные сценарии. Локальная программная проверка может ограничить действия учетной записи с ограниченными привилегиями. Но злоумышленник, который контролирует также программу или ее защитную конфигурацию, потенциально способен изменить и саму эту проверку. Вывод для анализа архитектуры очевиден: защитные меры должны оставаться независимыми в рассматриваемом сценарии атаки, а не только на организационной схеме.

Более глубокий вопрос — действительно ли защитные функции независимы. Если один и тот же административный доступ позволяет изменять процесс и отключать его ограничения, эти функции не образуют независимых уровней защиты. Если с его помощью можно также менять работу сигнализации, тот же скомпрометированный доступ способен задержать обнаружение. NIST прямо предупреждает о недостаточном разделении управляющих и защитных функций в OT-системах.

Для холодильной установки из этого следует четкий критерий проверки: дополнительный контроль температуры особенно полезен, когда его настройки и канал передачи сигналов тревоги не зависят целиком от той же системы администрирования. Два датчика с общим интерфейсом управления, который может быть скомпрометирован, сами по себе не дают двух независимых уровней защиты. Сигнал тревоги также не заменяет механизм, обеспечивающий соблюдение пределов процесса: сначала он лишь сообщает кому-то о проблеме.

Это объясняет и ограничения подхода, сосредоточенного только на сети. Межсетевой экран может ограничивать соединения определенными узлами и службами. Однако это не делает каждое управляющее действие, переданное по разрешенному соединению, допустимым с точки зрения эксплуатации. Более глубокий анализ команд требует понимания протокола и доступа к их содержимому. Шифрование защищает данные при передаче, но не подтверждает эксплуатационную корректность передаваемой команды.

Открытые сообщения не дают полной картины того, какие из этих мер действовали в пострадавших установках и какие не сработали. Тем не менее архитектурный вопрос остается точным: какую функцию может запустить удаленный доступ и какой последующий защитный механизм еще способен предотвратить опасную последовательность операций? Дополнительная сегментация сети помогает блокировать неразрешенные каналы связи. Для защиты от опасного, но разрешенного управляющего действия нужны также подходящие права доступа и ограничения процесса.

Минуты, когда ущерб еще можно предотвратить

В Эстонии ночь закончилась иначе. Один из магазинов Selver пострадал после того, как злоумышленники получили доступ к управляющему компьютеру старой установки. Сервисная компания сообщила, что отреагировала примерно за десять минут. По ее данным, фактическая температура выросла лишь на 2–3 °C, и продукты не пострадали. Selver заявила, что это был последний магазин, где еще не установили более новую систему.

Десять минут — не универсальный запас времени для безопасного реагирования. Этот случай показывает, насколько важным может быть время после получения злоумышленником доступа. При планировании необходимо учитывать всю цепочку реагирования: обнаружить отклонение, оценить его, принять решение и эффективно вмешаться. Все эти шаги должны уложиться во время, которое еще оставляет конкретный процесс. Даже мгновенный сигнал тревоги мало полезен, если никто не отвечает за реагирование или не может действовать.

По возможности обнаружение должно начинаться до того, как порча товаров станет заметной. Сам по себе ночной цикл оттайки не подозрителен. Изменение становится более показательным, если оно поступает из неожиданного источника, задаёт значение за пределами утвержденного рабочего диапазона или не соответствует подтвержденному заданию на обслуживание. MITRE рекомендует сопоставлять такие наблюдения с последующими данными процесса. Важно не только новое значение, но и то, что оборудование действительно делает после него.

Для холодильных установок поводами для проверки могут быть необычная продолжительность оттайки, измененные пороги сигнализации или одновременные отклонения на нескольких устройствах. Это возможные подходы к обнаружению, а не реконструкция данной волны атак. Эксплуатационный контекст также помогает избегать ложных тревог: согласованное испытание следует оценивать иначе, чем необъяснимое изменение. Но запланированное окно обслуживания не должно становиться основанием игнорировать без проверки всю активность в этот период.

Журналы должны позволять выполнить такое сопоставление. Полезные записи должны показывать использованную учетную запись, затронутое устройство, суть изменения и время его выполнения. При наличии данных с изменением следует также связывать предыдущее значение и соответствующее задание на обслуживание. Это отражает принцип, который подчеркивает NCSC: журналирование должно помогать достигать конкретных целей обнаружения, а не просто накапливать данные. Журналы, которые изучают лишь после того, как ущерб уже нанесен, не позволяют вовремя предупредить об угрозе.

Затем кто-то должен суметь прервать последовательность. NCSC рекомендует проверенные планы изоляции: какое соединение разрешено заблокировать? Какие функции должны продолжать работать локально? Как сервисная компания возьмет управление на себя, если удаленное обслуживание недоступно? Правильная реакция не обязательно заключается в отключении питания всей установки. Она должна защищать людей и переводить процесс в заранее определенное, управляемое состояние.

План должен также определять, какие возможности наблюдения сохранятся после изоляции. Если отключение удаленного обслуживания случайно оборвет единственный канал тревожных сообщений, дежурная смена лишится именно той обратной связи, которая ей нужна. Проверять следует не только возможность закрыть доступ, но и то, смогут ли ответственные лица после этого понять, работает ли принятая контрмера.

Здесь легко упустить важное различие: изоляция сети не отменяет автоматически уже измененные настройки. Она может перекрыть дальнейший доступ, пока оборудование продолжает работать с подмененными параметрами. Поэтому специалисты должны проверить не только путь доступа, но и фактическое рабочее состояние и конфигурацию. Ни «устройство недоступно по сети», ни «снова работает» сами по себе не означают, что опасность миновала.

Если это не создает дополнительных рисков, перед сбросом следует сохранить значимые журналы и конфигурации. Однако сохранение доказательств не должно задерживать необходимые защитные действия. Само по себе восстановление охлаждения не завершает инцидент безопасности: CERT-FR прямо предостерегает от простого сброса уязвимых устаревших устройств с последующим незащищенным подключением к интернету. При этом исходная проблема безопасности может сохраниться.

Поэтому восстановление требует большего, чем успешная перезагрузка. Конфигурация должна соответствовать утвержденному эталону, а физический процесс — снова работать в предусмотренных пределах. Одна лишь установка новой прошивки не подтверждает возвращение процесса в эти пределы. Для закрытия инцидента необходимы и техническая, и эксплуатационная проверка.

Подготовка, таким образом, не сводится к технике. Еще до инцидента операторы и сервисные компании должны знать, кто вправе ночью перекрыть доступ, кто возьмет установку под контроль на месте и кто отвечает за обновления или замену. Передача обслуживания подрядчику не устраняет эти обязанности. Она делает четкое согласование ответственности еще важнее.

Когда в следующий раз ты окажешься перед холодильной витриной, прежде всего ты увидишь продукты. За ними стоит цепочка датчиков, программ, прав доступа и решений. Вопрос безопасности — не только в том, какие данные хранит устройство. Важно также, что ему разрешено изменять в окружающей среде и кто может вовремя вмешаться, чтобы оно не сделало то, чего делать не должно.

На Эланде инцидент стал заметен по луже. В Эстонии, по сообщению оператора, продукты не пострадали. Между этими двумя исходами и находится настоящая задача защиты: обнаружить атаку раньше, чем ее выдаст ущерб, и сохранить действенные ограничения даже после того, как злоумышленник получит доступ.

Резервная копия может восстановить конфигурацию. Она не может вернуть часы, прошедшие без достаточного охлаждения.

Кибератаке не обязательно уничтожать машину. Иногда достаточно заставить ее делать то, чего она делать не должна.