Хакеры разогревают морозильники супермаркетов их же нагревателем

В ночь на 2 ноября 2026 года морозильники шведского супермаркета ICA Kvantum в городке Шёбу начали греть. Утром магазин сам написал в фейсбуке, что его холодильники и морозильники взломали и выставили на 50 °C, а сотрудники выбрасывают продукты. Той же ночью похожие сбои случились в десятках магазинов ещё в четырёх странах, сообщило агентство AP.

Это уже третья волна. В августе так же отказывали холодильники в магазинах на американских военных базах, в октябре — около 700 супермаркетов Франции. Самое странное в этих атаках: охлаждение никто не ломал. Взломщики включали то, что есть в каждой морозильной витрине: встроенный нагреватель. А у большинства французских пультов управления холодом, видных из интернета месяц назад, пароль администратора вычислялся по календарю.

Зачем морозильнику нагреватель

Воздух в магазине влажный. Когда он касается холодных трубок внутри витрины, влага оседает на них инеем. Иней работает как шуба: чем он толще, тем хуже трубки отдают холод. Поэтому коммерческий холодильник по расписанию сам себя размораживает. Включается нагреватель, иней тает, вода стекает, и витрина снова морозит. Обычно на это уходит около двух часов в сутки, пишет шведское деловое издание Dagens PS.

Взломщики приказали контроллерам оттаивать без остановки и подняли температуру нагрева до 50 °C. В части французских магазинов, как сообщала Le Monde, они ещё и растянули каждый цикл оттайки с одного часа до восьми. Так сигнализация срабатывала позже, а ущерб успевал вырасти.

Там, где за холодом следили, атаку замечали быстро. В Эстонии, как рассказало AP, сервисная фирма Kitman Coldtech заметила: взломщики добрались до компьютера, который управлял холодом у её клиента, и подняли температуру до тех же 50 °C. По словам директора Янна Мутсо, атаку отбили за несколько минут, серьёзного ущерба не было.

Цифра +50 °C разошлась по заголовкам, но это настройка нагревателя, а не температура на полках. Дисплей одной французской витрины с мороженым, как пишет та же Dagens PS, показывал 26 °C. Мороженому, впрочем, всё равно. Замороженные продукты положено хранить при −18 °C и холоднее, кратковременно допускается −15 °C, а дальше товар уже нельзя продавать. Поэтому магазины выбрасывали всё подряд. «Нам пришлось выбросить все свежие продукты, включая мясной отдел», написал магазин Intermarché в бретонском Мюр-де-Бретань.

От военных баз до Ирландии

Первые похожие случаи заметили не в Европе. В конце августа 2026 года холодильники отказали как минимум в шести магазинах на американских военных базах, выяснило агентство Reuters. На базе Форт-Уачука в Аризоне 26 августа объявили, что холодильник сам перешёл в режим оттайки, нагрел продукты и испортил их. Пентагон рассматривает эти сбои как возможную кибератаку. Чьё оборудование стояло на базах, Reuters установить не удалось.

В ночь на 12 октября то же самое случилось во Франции, причём сразу в сотнях магазинов. Министр финансов Ролан Лескюр сообщил парламенту, что пострадали около 700 из 10 000 супермаркетов страны. «Это неприемлемо», написал глава сети Coopérative U Доминик Шельшер. Два супермаркета в эльзасском Агено вместе потеряли продуктов на €270 000, подсчитала Dagens PS. Intermarché предупредила: страховка магазинов такие случаи не покрывает. Парижская прокуратура расследует саму атаку, ущерб и сообщения о возгораниях в некоторых магазинах.

Французское агентство кибербезопасности выпустило экстренное предупреждение и назвало в нём оборудование датской Danfoss. Через день оно добавило ещё двух производителей и написало, что атаки, скорее всего, ещё идут. Через три недели это подтвердилось: 2 ноября пострадали несколько десятков магазинов Delhaize, Carrefour и SuperValu в Бельгии, Люксембурге и Ирландии, а ирландские к вечеру уже снова заполняли холодильники.

Пароль из календаря

Контроллер Danfoss AK-SM 800A — по сути главный пульт всего холодильного хозяйства магазина. Через веб-страницу на нём следят за всеми контурами, задают пороги температуры, меняют расписание оттаек и чинят настройки удалённо. Раньше холодильные установки жили отдельно от интернета, а теперь их подключают ради датчиков и удалённого наблюдения, объяснил AFP консультант по кибербезопасности Антуан Отен. Сервисной компании удобно видеть витрины всех клиентов из своего офиса.

Исследователи компании Claroty нашли в этом пульте скрытый «код дня». Это служебный пароль: устройство каждый день вычисляет его из одной только текущей даты. Кто повторит алгоритм, войдёт администратором без настоящего пароля. Исследователи сообщили о дыре производителю, и в марте 2025 года Danfoss закрыла её в прошивке 4.2. Амир Цальцман из Claroty опубликовал подробный разбор 9 августа 2026 года.

Обновились немногие, хотя времени было полтора года. 11 октября, накануне атаки, поисковик устройств Censys насчитал во Франции 1825 таких пультов, доступных прямо из интернета. У 1158 из них стояла прошивка старше 4.2, то есть с паролем из календаря. Пользовались ли взломщики именно этой дырой, неизвестно: ни Danfoss, ни французские власти точку входа не назвали.

Ещё хуже со старыми моделями. Danfoss сообщила, что пострадали в основном AK-SM 800 и AK-SC 355. Поддержку первой компания прекратила в мае 2021 года, вторую сняла с производства в 2016-м. Обновлений для них нет вообще, а меняют такие пульты неохотно: они работают годами и стоят дорого.

Никто не просит выкуп

Хакеры обычно взламывают ради денег: крадут данные или шифруют их и требуют выкуп. Здесь ничего не украли, выкупа не потребовали, ответственность на себя никто не взял. Для атаки такого размаха это редкость, заметил Кристофер Уайт из Университета Содружества Виргинии. Провернуть её, по его словам, не так уж сложно. Зачем это кому-то нужно, пока не знает никто.

Совсем новым приём не назовёшь. Danfoss рассказала Reuters, что ещё в 2022 году через её устаревшие контроллеры атаковали супермаркеты в России и Израиле. Новое в масштабе: сотни магазинов за одну ночь и уже несколько стран. Главный аналитик группы Google по киберугрозам Джон Халтквист сформулировал это так: «Сложная система, которая доставляет нам еду, хрупка, но часто не получает того внимания, которого заслуживает».

Провод выдернули, прошивку не обновили

После октябрьской атаки владельцы пультов зашевелились. За три дня число французских контроллеров, видимых из интернета, упало с 1825 до 537, то есть на 71%. Но доли обновлённых и необновлённых устройств сокращались одинаково. Значит, пульты в основном просто отключали от сети, а прошивку не трогали. В Censys считают это, пожалуй, лучшим выбором: таким устройствам вообще незачем смотреть в интернет напрямую. Французское агентство советует то же самое, а удалённый доступ возвращать только через защищённый VPN.

Как редко обновляют такие пульты, видно по одной цифре. 11 октября Censys нашёл самую свежую прошивку Danfoss, версию 5.3.2, всего на 27 пультах из почти трёх тысяч, видимых из интернета по всему миру. Точку входа никто не назвал, мотива никто не знает, а ноябрь показал, что атаки не прекратились. Насколько большой окажется следующая волна, зависит от того, сколько таких пультов ещё смотрит в интернет.