В ночь на понедельник, 2 ноября, неизвестные получили удалённый доступ к контроллерам холодильного оборудования супермаркетов в нескольких странах Европы и перевели витрины и морозильники в режим оттайки. Пострадали магазины Delhaize, Carrefour, ICA, Coop, SuperValu и других сетей. Это вторая волна после атаки на сотни французских супермаркетов в ночь на 12 октября.
Больше всего пострадали Бельгия и Люксембург, где проблемы возникли в нескольких десятках магазинов Delhaize, а также в магазинах Carrefour, Intermarché и Spar. По словам генерального директора компании Sabcobel, обслуживающей холодильные системы Delhaize, Стефана Моэланса, испарители были переведены в режим оттайки; техников подняли в час ночи. Федеральная прокуратура Бельгии возбудила уголовное дело.
В Швеции, по данным AFP, затронуты магазины ICA и Coop. Coop сообщила о проблемах в шести из примерно 800 магазинов, продукты пришлось утилизировать; представитель сети при этом заявил, что не располагает информацией о кибератаке. Один из магазинов ICA сообщил, что уставку холодильного оборудования изменили на 50 °C. В Ирландии сеть Musgrave зафиксировала сбои в 13 из 223 магазинов SuperValu и к вечеру понедельника восстановила работу. По сводке The Hacker News, инциденты также произошли в Нидерландах, Эстонии, Финляндии, Португалии и Италии; в Эстонии температура в единственном пострадавшем магазине поднялась на 2–3 °C и была восстановлена примерно за 10 минут.
Уязвимое место — удалённый доступ
Атакованы контроллеры, подключённые к интернету для удалённого мониторинга подрядчиками. Danfoss, оборудование которой фигурирует в ряде случаев, связывает уязвимость прежде всего с устаревшим программным обеспечением, которое заказчики не обновляли; в Нидерландах, по данным компании, системы работали вне защищённой сети и со стандартными паролями. В Швеции затронутые системы ICA находились в отдельной сети, не связанной с центральной сетью компании.
После октябрьской атаки во Франции национальный центр реагирования CERT-FR выпустил предупреждение CERTFR-2026-ALE-012. В нём перечислены контроллеры Danfoss серий AK-SM и AK-SC, а также Copeland XWEB и Dixell XWEB. CERT-FR указывает, что вывод интерфейса управления в интернет противоречит надлежащей практике, а кампания атак, вероятно, продолжается.
CERT-FR советует убрать доступ к контроллерам из интернета, проверить конфигурацию — прежде всего графики оттайки, — организовать удалённый доступ только через защищённый VPN, обновить прошивки, а для Danfoss включить строгий режим безопасности и сменить стандартные пароли. Если устройство уже скомпрометировано, его нужно перезапустить или сбросить к заводским настройкам и заново настроить; сам по себе сброс, предупреждает CERT-FR, не защищает от повторного взлома. Шведский национальный центр кибербезопасности NCSC рекомендует провести инвентаризацию подключённых к интернету устройств, оценить, нужно ли им подключение, и иметь отработанный порядок действий при ИТ-инцидентах.
Ответственность за атаки никто на себя не взял. Danfoss, Sabcobel и эстонский подрядчик Kitman Coldtech отмечают сходство методов с французской атакой, но связаны ли две волны, неизвестно. Бельгийский центр кибербезопасности допускает, что исполнителей так и не удастся установить.
