Hackeři přepnuli chlazení ve stovkách francouzských supermarketů na 50 °C. Danfoss viní staré regulátory

Útočníci v noci z 11. na 12. října na dálku přepnuli chlazení ve stovkách francouzských supermarketů na nepřetržité odmrazování s cílovou teplotou 50 °C. Obchody Intermarché, Coopérative U, Carrefour nebo E.Leclerc ráno vyhazovaly čerstvé i mražené zboží a škody se podle odhadů počítají v milionech eur. Výrobce regulátorů Danfoss viní hlavně staré řídicí jednotky bez bezpečnostních aktualizací, jenže jak se útočníci dostali dovnitř, zatím nikdo neví.

Co se v noci na 12. října stalo

Francouzský CERT-FR, který patří pod národní agenturu pro kybernetickou bezpečnost ANSSI, vydal výstrahu hned 12. října. Píše v ní o mnoha kompromitacích vzdálených řídicích jednotek chladicích zařízení, které byly dostupné přímo z internetu. Konkrétně jmenuje regulátory Danfoss řady AK-SM a AK-SC.

Počty zasažených prodejen se podle zdroje liší. Agentura AFP v pondělí uvedla nejméně 300 obchodů Intermarché a Netto, přes 100 prodejen Coopérative U, 80 supermarketů Carrefour a několik poboček E.Leclerc. Oborový web Cooling Post odhaduje celkem zhruba 500 supermarketů.

Celkovou škodu zatím nikdo nesečetl. Dva obchody v alsaském Haguenau podle francouzských médií přišly dohromady zhruba o 270 000 eur. Pařížská prokuratura otevřela vyšetřování a podle AFP uvedla, že útok vyvolal i požáry. Kde a kolik jich vzniklo, neupřesnila.

Proč stačilo změnit jedno nastavení, aby vitríny začaly hřát, vysvětluje princip, na kterém chlazení v obchodech běží.

Odmrazování jako zbraň

Výparník každé chladicí vitríny na sobě postupně sbírá námrazu. Regulátor ji proto pravidelně odstraňuje: zastaví chlazení, ohřeje výparník a po dosažení nastavené teploty se vrátí ke chlazení. Útočníci podle webu MacGeneration a televize BFM spustili vynucené odmrazování bez konce a cílovou teplotu nastavili na 50 °C.

Údaj 50 °C je nastavená hodnota a skutečná teplota v regálech se lišila prodejna od prodejny. BFM ukázala displej regulátoru Danfoss, který v pondělí ráno pořád hlásil přes 26 °C. Mrazáky přitom běžně drží −18 °C, takže obchody zboží z postižených vitrín vyhodily.

Odkud útočníci k regulátorům přišli, začal Danfoss vysvětlovat hned první den.

Danfoss: zasažené regulátory byly staré nebo neaktualizované

Dánský výrobce řekl agentuře AFP a stanici franceinfo, že většina zasažených zařízení patří do starších řad, které už nedostávají softwarové ani bezpečnostní aktualizace. Konkrétně jde o regulátor AK-SM800, jehož životní cyklus Danfoss ukončil v roce 2021, a o AK-SC355, který stáhl z nabídky už v roce 2016. Zákazníky podle svých slov dlouhodobě vyzýval, aby oba typy vyměnili.

Útok ovšem nezasáhl jen vyřazené modely. Mezi postiženými jsou podle Danfossu i současné jednotky AK-SM800A, na kterých běžel zastaralý firmware. Výrobce teď se zasaženými obchody nahrává dostupné aktualizace, zpřísňuje síťovou ochranu a odpojuje regulátory od přímého přístupu z internetu.

Právě model AK-SM800A přitom bezpečnostní výzkumníci rozebírali dva měsíce před útokem.

Výzkum Claroty: heslo odvozené z data

Tým Team82 z firmy Claroty zveřejnil 9. srpna 2026 rozbor tří zranitelností ve webovém rozhraní centrální jednotky AK-SM800A. Nejvážnější z nich, CVE-2025-41450 s hodnocením 8,2 z 10, popisuje skrytý přihlašovací mechanismus založený na „kódu dne“. Heslo se dá odvodit z data, útočník s ním obejde běžné přihlášení a týká se jednotek AK-SM 8xxA s firmwarem starším než verze 4.2.

Druhá chyba, CVE-2025-41451, dovoluje přes nastavení odesílání e-mailů (SMTP) spustit na zařízení vlastní příkazy. Třetí umí správcovské rozhraní shodit. Danfoss všechny tři opravil ve firmwaru R4.3.1 a doporučil jednotky schovat za VPN a oddělenou síť.

Claroty přes vyhledávač Censys napočítal 2 765 rozhraní AK-SM800A dostupných z internetu. Číslo zachycuje jen dostupná rozhraní. Kolik z nich běželo na zranitelném firmwaru, výzkumníci neuvádějí.

Ve stejné studii Claroty popsal i chyby v regulátorech Copeland XWEB Pro a Trane Tracer SC+. Řídicí jednotky Copeland a Dixell XWEB zařadil do své výstrahy také CERT-FR. Jestli útočníci využili právě tyhle chyby, ukáže až vyšetřování.

Co zatím nevíme

Danfoss souvislost s výzkumem Claroty nepotvrdil ani nevyvrátil a verzi firmwaru zasažených jednotek nezveřejnil. CERT-FR ve výstraze žádnou konkrétní zranitelnost nejmenuje. Podle zdroje z okolí premiéra Sébastiena Lecornua, kterého cituje AFP, ANSSI našla zranitelnost v softwaru dánského dodavatele a výrobce kontaktovala.

Postup útočníků zatím žádný úřad nepopsal. Útočníci mohli zneužít veřejně známou chybu, slabé přihlášení přímo na rozhraní nebo uniklé přístupy servisních firem, které regulátory na dálku spravují.

Útok si nikdo nepřihlásil a motiv zůstává neznámý. CERT-FR varuje, že útočné kampaně nejspíš pořád běží. ANSSI proto spolupracuje s evropskými protějšky, protože zasažené mohou být i další země. Belgický svaz obchodníků Comeos zatím u tamních supermarketů žádný problém nezjistil.

Co z kauzy plyne pro provozovatele obchodů i pro majitele chytré domácnosti, shrnuje přímo francouzský CERT.

Ponaučení: stará zařízení nepatří přímo do internetu

CERT-FR to říká bez obalu: zpřístupnit správcovské rozhraní celému internetu odporuje dobré praxi. Provozovatelům doporučuje zařízení z veřejné sítě odpojit, napadené jednotky vrátit do továrního nastavení, vzdálenou správu vést jen přes VPN nebo chráněnou síť a nahrát aktuální firmware.

Stejný problém znáte z domácnosti. Router, kamera nebo chytrá zásuvka po konci podpory přestanou dostávat opravy, ale fungují dál. Na GeekLife jsme už psali o trojském koni Chalubo, který v USA vyřadil přes 600 000 routerů, i o starých routerech TP-Link v ohrožení.

Doma se vyplatí zjistit, do kdy výrobce vaše zařízení podporuje, vypnout vzdálenou správu routeru z internetu a místo přesměrování portů použít VPN. Francouzská kauza ukazuje, že útok na vzdáleně spravované zařízení může skončit fyzickou škodou.

Česko: zasažený obchod zatím nikdo nehlásil

O zasaženém českém obchodě jsme do úterního odpoledne 13. října nenašli žádnou zprávu. Doporučení CERT-FR ale platí pro každého, kdo provozuje regulátory Danfoss ze zasažených řad nebo jednotky XWEB od Copelandu a Dixellu, bez ohledu na zemi. Když chlazení ve vaší prodejně spravuje servisní firma, ověřte si u ní, odkud je regulátor dostupný a jaký firmware na něm běží.