Sterowniki chłodnicze Danfoss i Dixell: atak na 700 sklepów

Analiza zagrożenia: sterowniki chłodnicze w publicznym internecie

Alert CERTFR-2026-ALE-012 wymienia cztery rodziny urządzeń: Danfoss serii AK-SM i AK-SC oraz Copeland xweb i Dixell xweb. Sterownik nadrzędny (supervisor) steruje m.in. harmonogramem odszraniania i alarmami; serwisanci łączą się z nim zdalnie. Przepisy wymagają rejestrowania temperatur i alarmu przy ich wzroście (Infosecurity Magazine), a sieci kupują „chłodnictwo jako usługę" ze stałym zdalnym dostępem dostawcy (CSO Online). Ani rejestrowanie, ani zdalny nadzór nie wymagają wystawienia panelu zarządzania do publicznego internetu: Dixell zaleca dostęp zdalny przez tunel VPN.

Według relacji (700 to liczba ministra, Reuters liczył co najmniej 350):

• Les Mousquetaires (Intermarché, Netto) podało Reutersowi, że w ok. 150 sklepach chłodnie osiągnęły 50°C na sześć godzin.
• Według Le Monde w części urządzeń wydłużono cykl odszraniania z jednej do ośmiu godzin, co opóźniło alarmy. To rekonstrukcja dziennikarska, nie ustalenie śledczych.
• Le Monde opisał sklep pod Bordeaux, gdzie nastawy zmieniały się kilka razy na sekundę, co sugeruje automatyzację.

Czego nie wiadomo. Alert CERT-FR nie wymienia CVE, wersji firmware ani oceny CVSS; zalecenia Dixell przywołują advisory CISA ICSA-26-057-10 dla XWEB PRO, a dla Danfoss producent nie wskazał numeru; nie wiadomo, czy to te luki wykorzystano. Według Reutersa osoba z otoczenia premiera mówiła o luce w oprogramowaniu Danfoss zidentyfikowanej przez ANSSI, ale nic nie opublikowano. Do 13 października nikt nie przyznał się do ataku i nie było żądania okupu; śledztwo prowadzi paryska prokuratura i ANSSI. CERT-FR w alercie (ostatnia wersja z 16 października) ostrzega, że kampanie przeciwko tym urządzeniom prawdopodobnie wciąż trwają, a sprzęt bez poprawek (EOL) wystawiony do internetu ma bardzo wysokie prawdopodobieństwo kompromitacji.

Co mówią producenci. Danfoss w oświadczeniach dla franceinfo i Reutersa: większość dotkniętych urządzeń to produkty po końcu wsparcia (AK-SM800, AK-SC355), a pozostałe miały nieaktualny firmware. Copeland (właściciel Dixell) potwierdził Cybernews i AP podatność w „wycofanej, końcowej generacji sterowników", ale do 14 października nie potwierdził kompromitacji swoich urządzeń we Francji. Dixell France w zaleceniach dla XWEB (październik 2026) każe bez zwłoki aktualizować XWEB PRO z firmware 1.12.1 lub starszym (podstawa: advisory CISA ICSA-26-057-10 z lutego 2026), zmienić hasła domyślne (fabryczne Admin/Admin) i dopuszcza dostęp zdalny wyłącznie przez tunel VPN, także na routerze 4G z VPN. Przekierowanie wyłącznie portu HTTPS do jednego zaufanego IP to rozwiązanie „tymczasowe i zdegradowane"; zero DMZ i zdalnego pulpitu.

Kontekst: słabości znane od ponad roku

Według BleepingComputer CISA ostrzegała o obejściu uwierzytelniania w serii Danfoss AK-SM 8xxA w maju 2025 r. i o wstrzykiwaniu poleceń w sierpniu 2025 r. 9 sierpnia 2026 r. zespół Team82 firmy Claroty opublikował analizę AK-SM 800A: ukryte logowanie „kodem dnia" wyliczanym z daty, wstrzykiwanie poleceń po zalogowaniu i błąd konfiguracji serwera WWW - naprawione w firmware R4.3.1. Claroty znalazło też lukę w sterownikach Dixell, potwierdzoną przez Copeland.

Reuters znalazł 13 października co najmniej 4 500 interfejsów Danfoss dostępnych z internetu. Według Onyphe tylko niewielka część działa na aktualnym oprogramowaniu.

Reuters wskazał podobne zakłócenia w sklepach wojskowych USA pod koniec sierpnia. Félix Aimé z Sekoia powiedział Reutersowi, że dotknięte były też Hiszpania, Portugalia, Polska, Niemcy i Belgia, bez podania liczby sklepów; redakcja nie znalazła publicznego komunikatu CERT Polska do 16 października.

Wpływ na biznes: aktywo bez właściciela

Clément Domingo (SaxX) w RMC i Amir Preminger z Claroty w Infosecurity Magazine oceniają, że atak nie był wyrafinowany. Tom Hegel z SentinelOne w CSO Online zwraca uwagę, że sieci handlowe mają ogromne floty sterowników, systemów zarządzania budynkiem (BMS) i kontroli dostępu, instalowanych przez wykonawców, którzy rzadko angażują zespół bezpieczeństwa. Stąd hipoteza organizacyjna, nie ustalona przyczyna: urządzenie bez właściciela nie ma nikogo, kto zapyta, czy stoi w internecie.

Skutki finansowe (szacunki firm, nie audyt):

• Thierry Cotillard (Les Mousquetaires) mówił w BFMTV o dziesiątkach milionów euro strat w skali kraju; grupa podała CNBC kilka milionów euro dla ok. 180 własnych sklepów.
• Dominique Schelcher (Coopérative U) szacował w RTL: mały sklep - kilkadziesiąt tysięcy euro, hipermarket - 180-200 tys. euro.
• Pożary: prokuratura opisała sprzęt, który zaczął się palić; rzecznik Les Mousquetaires mówił CNBC o zadymieniu bez pożarów. Przyczyn nie ustalono.

Reset fabryczny a dowody. CERT-FR zaleca dla skompromitowanych urządzeń Danfoss restart, a w razie potrzeby przywrócenie ustawień fabrycznych. W ocenie ComplexDiscovery ten krok może też skasować konfigurację, logi i zmiany kont potrzebne ubezpieczycielowi i prokuraturze. Intermarché powiedziało AFP, że ubezpieczenie będzie punktem spornym, bo polisy nie obejmują tego typu zdarzeń; sam alert każe sprawdzić warunki polisy, zanim odetnie się przesył danych do serwisu. ComplexDiscovery radzi, by przed resetem - jeśli nie opóźnia to ochrony - zabezpieczyć konfigurację, historię alarmów, listę kont, logi dostępu oraz rejestry temperatur i utylizacji.

Ocena pilności. Pilne dziś, jeśli firma ma sterownik z listy CERT-FR osiągalny z publicznego adresu IP, także wtedy, gdy adres należy do serwisanta. Zadanie na ten tydzień, jeśli sterowniki są za VPN lub w sieci zamkniętej, ale nikt nie sprawdził wersji firmware; hasła domyślne zmienia się dziś. Nie dotyczy firm bez chłodnictwa komercyjnego ze zdalnym nadzorem. Brak CVSS nie obniża pilności: decyduje aktywna kampania, tysiące wystawionych interfejsów i sprzęt bez wsparcia - Denis Calderone z Suzu Lab w Cybernews wskazuje, że modele użyte w ataku są EOL od lat i można je tylko odseparować, monitorować albo wymienić. W firmie bez działu bezpieczeństwa sterownik „należy" do serwisu.

Obowiązkowe i zalecane.

• Obowiązkowe: nowelizacja ustawy o KSC obowiązuje od 3.04.2026 (Dz.U. 2026 poz. 252). Sektor „produkcja, przetwarzanie i dystrybucja żywności" jest sektorem ważnym, ale według Q&A Ministerstwa Cyfryzacji obejmuje co najmniej średnie przedsiębiorstwa prowadzące hurtową dystrybucję żywności (wybrane kody PKD 46) lub przemysłowe przetwórstwo (działy PKD 10-12); handlu detalicznego na tej liście nie ma. Dla objętych podmiotów: wniosek o wpis do wykazu w 6 miesięcy od spełnienia przesłanek (dla już objętych termin minął 3.10.2026), system zarządzania bezpieczeństwem informacji do 3.04.2027, kary pieniężne najwcześniej po 3.04.2028, z wyjątkiem kary ekstraordynaryjnej do 100 mln zł (Q&A MC pkt 12.1 i 12.6). Sieć handlowa może podlegać ustawie z innego tytułu - to wymaga oceny prawnej.
• Zalecane dla każdego z takim sprzętem: środki CERT-FR i producentów (poniżej).
• Do decyzji budżetowej: wymiana sprzętu EOL i monitorowanie ruchu do urządzeń OT.

Rekomendacje

Dziś

1. Ustalić, kto odpowiada za sterowniki chłodnicze i czy którykolwiek jest osiągalny z publicznego IP (także na łączu serwisanta).
2. Odciąć ekspozycję internetową zgodnie z CERT-FR - po sprawdzeniu, co polisa mówi o przesyle danych do serwisu.
3. Sprawdzić całą konfigurację, zwłaszcza harmonogramy odszraniania i listę kont; zmienić domyślne i słabe hasła.
4. Przy śladach kompromitacji - zabezpieczyć konfigurację i logi przed restartem lub resetem, o ile nie opóźnia to przywrócenia chłodzenia.
5. Dixell XWEB PRO z firmware 1.12.1 lub starszym: zaktualizować bez zwłoki (tak każe producent), po odcięciu od internetu i kopii konfiguracji.

W tym tygodniu

1. Przywrócić dostęp zdalny wyłącznie przez VPN lub prywatną sieć operatora (APN); filtr IP serwisanta tylko awaryjnie.
2. Zaktualizować firmware pozostałych sterowników oraz, osobno, ustawić w sterownikach Danfoss poziom bezpieczeństwa „Strict" (dwie czynności z alertu CERT-FR).
3. Sprawdzić, czy alarm temperaturowy działa niezależnie od sterownika (wniosek redakcji), i zinwentaryzować inne systemy budynkowe wystawione do internetu.

Do zaplanowania

1. Wymiana sprzętu po końcu wsparcia (modele wskazane przez producentów jako wycofane) lub trwała segmentacja.
2. Aneks do umowy z serwisem chłodniczym: imienne konta serwisantów z datą wygaśnięcia (zaleca to Dixell), skąd się łączą, jakie logi i jak długo, kto odpowiada za aktualizacje, zmiana haseł po interwencji z kontem uprzywilejowanym.
3. Dla podmiotów objętych KSC - ujęcie sterowników w systemie zarządzania bezpieczeństwem informacji.

Podsumowanie

Pierwszy krok to odcięcie sterowników od internetu. Użytej luki nie ujawniono, a cytowani eksperci oceniają atak jako mało wyrafinowany: celem były urządzenia wystawione do internetu, często po końcu wsparcia. Jedną z prawdopodobnych przyczyn jest brak właściciela takich urządzeń w organizacji; to hipoteza, nie ustalenie śledztwa. Pytania zarządu do IT lub serwisanta: (1) Czy nasze sterowniki chłodnicze są dostępne z internetu? Kto to sprawdził? (2) Jakie modele i wersje firmware mamy, czy producent je wspiera? (3) Co mówi polisa o utracie towaru po cyberataku i o odcięciu danych serwisowi? (4) Kto zabezpieczy logi, zanim ktoś naciśnie reset?

Źródła

• CERT-FR, alert CERTFR-2026-ALE-012 (wersja z 16.10.2026)
• samorzad.gov.pl: Nowelizacja ustawy o KSC - najważniejsze terminy
• Dixell France: Recommandations pour une utilisation sécurisée des superviseurs XWEB, v1.0 (PDF)
• Ministerstwo Cyfryzacji: Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać
• ISAP: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252
• Ministerstwo Cyfryzacji: Q&A „Nowelizacja KSC" (pkt 1.4, 1.27, 2.1, 12.1, 12.6; PDF, 124 strony)
• gov.pl, Baza wiedzy: Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (terminy)