Frigiderele a sute de supermarketuri franceze, încălzite de la distanță: cine răspunde, în firma ta, de echipamentele conectate care nu sunt „IT”?

În noaptea de duminică spre luni, 11–12 octombrie 2026, atacatori au pus de la distanță în dezghețare controlerele de refrigerare din mai multe lanțuri de supermarketuri franceze, ridicând temperatura în camerele frigorifice. Parchetul din Paris a deschis o anchetă pentru un atac cibernetic „de amploare” și amintește de pierderi de alimente și de incendii. Premierul Sébastien Lecornu a cerut agenției ANSSI să investigheze. CERT-FR a publicat pe 12 octombrie o alertă despre numeroase compromiteri ale controlerelor Danfoss AK-SM și AK-SC, completată pe 13 octombrie cu echipamente Copeland și Dixell. DNSC a publicat pe 14 octombrie o alertă pe aceeași temă; nu am putut deschide pagina, dar descrierea ei indexată reia textul CERT-FR.

Ce este confirmat, ce este relatat, ce nu se știe

• Confirmat de CERT-FR: sunt „numeroase compromiteri” ale controlerelor de la distanță Danfoss din seriile AK-SM și AK-SC, plus Copeland xweb și Dixell xweb. Alerta spune că expunerea unei interfețe de administrare la internet contravine bunelor practici și că campaniile sunt probabil încă în desfășurare. Nu numește nicio vulnerabilitate, niciun actor, niciun număr de echipamente și nu dă o cronologie exactă.
• Confirmat de parchetul din Paris, prin relatările AFP și Reuters: ancheta privește pierderi de alimente și incendii raportate. Nu am găsit o declarație oficială despre cauza incendiilor.
• Declarat de companii: Les Mousquetaires (Intermarché) spune că circa 150 de magazine au fost afectate, cu frigidere încălzite până la 50°C timp de șase ore, iar produsele au fost aruncate. Carrefour spune 80 de supermarketuri din circa 6.000. Cifrele diferă între relatări (de pildă, Coopérative U: aproape 100 de magazine în relatarea AFP, 80 din 2.000 în alta). Presa a citat și o cifră a guvernului de circa 700 de supermarketuri, pe care nu am putut-o verifica la sursă.
• Declarat de Danfoss, relatat de Reuters: producătorul știe de incidente la „un număr limitat” de sisteme, iar echipamentele afectate rulau un firmware vechi. Potrivit relatărilor, majoritatea erau modele mai vechi, care nu mai primesc actualizări. Compania recomandase de mult actualizarea și înlocuirea echipamentelor vechi.
• Declarat de companii: E.Leclerc spune că unul dintre furnizorii săi de echipamente de refrigerare a fost atacat, iar Intermarché vorbește despre un atac care ar fi vizat un prestator ce administrează refrigerarea magazinelor. Nu este clar cum s-a intrat în sistem.
• Necunoscut: cine a atacat și de ce (în sursele citite nu am găsit o revendicare sau o cerere de răscumpărare), cum au fost compromise controlerele, câte echipamente sunt afectate în total, dacă și alte țări sunt atinse (Sekoia a spus pentru Reuters că Spania, Portugalia, Polonia, Germania și Belgia ar fi atinse, fără detalii) și dacă un alt incident, cel al grupului Ahold Delhaize, are legătură. Nicio sursă citită nu confirmă impact în România. Cercetări anterioare au descris vulnerabilități la un model Danfoss, dar nici autoritățile, nici producătorul nu le-au legat de acest atac.

Ce spune alerta CERT-FR, în cuvinte simple

• Scoate controlerele de pe internet. Alerta cere eliminarea expunerii pentru unitățile accesibile pe o adresă publică și notează un amănunt de guvernanță: verifică condițiile asigurării înainte de a opri transmiterea datelor către firma de refrigerare.
• Verifică întreaga configurație, mai ales programările de dezghețare.
• Restabilește accesul doar printr-un VPN sigur sau o rețea protejată. Filtrarea adreselor IP ale prestatorului este acceptabilă ca măsură de urgență, nu ca soluție de durată.
• Dacă ai motive să crezi că echipamentul e compromis: readu-l la setările din fabrică, apoi reconfigură-l înainte de a-l pune din nou în funcțiune. CERT-FR avertizează că un echipament învechit, fără actualizări de securitate, lăsat expus la internet, are șanse mari să fie compromis din nou, iar resetarea singură nu ajunge.
• Pentru Danfoss, ca exemplu: actualizează firmware-ul, setează nivelul de securitate la „Strict” și schimbă parolele implicite.

Cine răspunde de ce nu este „IT”

Observația noastră, nu a anchetatorilor: într-o firmă, echipamentele conectate de acest fel sunt de obicei ale facilităților, ale achizițiilor sau ale unui prestator, iar departamentul IT nu le vede în inventar. Atacul din Franța nu dovedește că așa stăteau lucrurile la acele lanțuri; dovedește însă ce se întâmplă când nimeni nu poate răspunde în câteva minute la patru întrebări: unde sunt controlerele conectate la internet, ale cui sunt, cine are acces de la distanță la ele și cine poate decide să le izoleze.

• Facilități și operațiuni: ținem o listă a echipamentelor conectate (refrigerare, climatizare, control acces, camere, lifturi), cu proprietar, furnizor și data la care producătorul nu le mai actualizează.
• IT și securitate: aflăm din ce rețele pot fi atinse aceste echipamente și dacă vreunul are interfața de administrare expusă la internet. Cerem prestatorilor accesul printr-un singur punct controlat, nu prin porturi deschise.
• Achiziții și juridic: contractele cu prestatorii spun cine actualizează echipamentul, cine plătește înlocuirea celui învechit și ce se întâmplă cu asigurarea dacă accesul de la distanță este oprit. Intermarché a avertizat, potrivit AFP, că asigurarea poate să nu acopere acest tip de incident.
• Manageri de magazin sau de locație: există o procedură pe hârtie pentru monitorizarea manuală a temperaturii și pentru decizia de a arunca marfa, cu cine o aprobă și cum se notează.
• Comunicare: cine anunță clienții, partenerii și autoritățile, cu ce formulare, și cine vorbește cu prestatorul.

Exercițiul: 40 de minute, de la alarmă la decizia de a deconecta

Participă un manager de locație, facilități, IT sau securitate, achiziții sau juridic, comunicarea și un reprezentant al conducerii. Scenariu fictiv: duminică seara, alarmele de temperatură arată că camerele frigorifice se încălzesc, iar prestatorul nu răspunde.

• Pasul 1 (10 minute) — cine primește alarma, cine decide dacă este defecțiune sau atac și ce face managerul de locație în prima oră pentru a proteja marfa?
• Pasul 2 (10 minute) — cine poate deconecta controlerele de la internet și ce se pierde dacă o face (monitorizare, garanție, asigurare)? Cine verifică condițiile asigurării în această seară?
• Pasul 3 (10 minute) — ce spune inventarul vostru despre acest echipament: model, versiune, ultima actualizare, cine are acces de la distanță? Dacă răspunsul nu există, notați cine îl va produce și când.
• Pasul 4 (10 minute) — ce spuneți clienților, partenerilor și autorităților, cine aprobă mesajul, și ce nu spuneți (cauza, vinovatul) înainte să fie cunoscute?

Ce măsori

• Procentul echipamentelor conectate (non-IT) din inventar care au proprietar numit și furnizor identificat.
• Numărul de echipamente cu interfața de administrare accesibilă din internet.
• Câte echipamente nu mai primesc actualizări de la producător și ce plan de înlocuire au.
• Timpul de la o alarmă la decizia de izolare și la prima notificare internă.
• Dacă fiecare locație are o procedură de monitorizare manuală și când a fost testată ultima oară.
• Câte contracte cu prestatori spun explicit cine actualizează echipamentul și cum se face accesul de la distanță.

Ancheta abia începe: nu se știe cum a fost compromis echipamentul și nici cât de mare este numărul total. Lecția utilă nu depinde de răspuns. Dacă un echipament este conectat, cineva trebuie să știe că este, să-l poată izola în câteva minute și să fi hotărât dinainte ce se întâmplă cu marfa și cu asigurarea.