Hakerzy podgrzali lodówki w 700 supermarketach we Francji. Jak chronić urządzenia IoT/OT

Sprawdź darmową edukację z cyberbezpieczeństwa ↓

Tagi: cyberatak, cybernews, IoT, podatności, ochrona-sieci, zdalny-dostęp, vpn, mfa

Hakerzy podgrzali lodówki w 700 supermarketach we Francji. Jak chronić urządzenia IoT/OT

W nocy z 11 na 12 października 2026 r. napastnicy przejęli zdalnie sterowniki chłodnicze w supermarketach we Francji, wymusili ciągłe odszranianie i podnieśli temperaturę w chłodniach i zamrażarkach nawet do 50°C. Według francuskiego ministra finansów incydent dotknął około 700 z 10 000 supermarketów w kraju.

Tym razem celem nie były dane, tylko urządzenia sterujące chłodzeniem. Straty są fizyczne: zepsuta żywność, puste regały, uszkodzone instalacje, a w części sklepów zaczęły się palić urządzenia. Dlatego ten atak to dobry punkt odniesienia dla każdej firmy, która ma w sieci urządzenia IoT i OT sterujące procesami fizycznymi.

Cyberatak na supermarkety we Francji: przebieg i skala

Celem był system manager, czyli urządzenie, przez które sklep steruje wszystkimi ladami chłodniczymi i zamrażarkami. Firmy serwisowe mają do niego dostęp zdalny. Napastnicy włączyli na nim odszranianie bez limitu czasu i podnieśli temperaturę zadaną do 50°C. Samo odszranianie to zwykła funkcja serwisowa, która cyklicznie usuwa lód z parownika. Uruchomione na stałe zatrzymuje chłodzenie, a temperatura w komorze rośnie. W sklepach Intermarché taki stan trwał w nocy około sześciu godzin.

Sieci handlowe podawały własne liczby sklepów, w których atak dotknął urządzeń:

Sieć	Sklepy dotknięte atakiem (wg deklaracji sieci)
Intermarché i Netto (Les Mousquetaires)	co najmniej 300 (wg AFP), ok. 150 (wg Reutersa)
Coopérative U	80 z ok. 2000
Carrefour	80 supermarketów
Monoprix	ok. 30
E.Leclerc	„kilka sklepów”

Poza dużymi sieciami atak dotknął też mniejsze, niezależne sklepy i masarnie, które korzystały z systemów Danfoss. Dane sieci pochodzą z 12–13 października.

Nie każdy sklep z tej listy stracił towar. W większości placówek Coopérative U łańcuch chłodniczy wytrzymał, bo personel i serwisanci zareagowali na czas. Intermarché poinformował natomiast, że w dotkniętych sklepach wyrzucono wszystkie produkty z objętych atakiem urządzeń. Prezes Les Mousquetaires szacował straty na dziesiątki milionów euro w skali całej Francji.

Paryska prokuratura wszczęła śledztwo z urzędu. Ma ono ustalić liczbę poszkodowanych i związek ataku ze zgłoszonymi szkodami, w tym z urządzeniami, które zaczęły się palić. Do 14 października sprawców nie wskazano publicznie.

Które sterowniki zaatakowano: Danfoss, Copeland, Dixell

Francuski CERT-FR (część agencji ANSSI) w alercie z 12 października, zaktualizowanym 13 października, wskazał cztery rodziny urządzeń: Danfoss serii AK-SM, Danfoss serii AK-SC, Copeland xweb oraz Dixell xweb. Wszystkie to systemy zdalnego zarządzania instalacjami chłodniczymi, przez które ustawia się m.in. temperatury i harmonogramy odszraniania.

Copeland, właściciel marki Dixell, odmówił potwierdzenia, że jego urządzenia zostały przejęte. Danfoss podał, że większość trafionych jednostek to starsze modele bez wsparcia, a część nowszych działała na nieaktualnym firmware:

Sterownik Danfoss	Status wg producenta
AK-SM 800	koniec wsparcia (EOL) od maja 2021, brak aktualizacji bezpieczeństwa
AK-SC 355	wycofany w 2016, brak aktualizacji bezpieczeństwa
AK-SM 800A	model bieżący; część zaatakowanych jednostek miała nieaktualny firmware

Dla właściciela sklepu to ważna informacja: urządzenie EOL nie dostanie już poprawki. Jedyną ochroną jest odcięcie go od internetu i kontrola dostępu na poziomie sieci, a docelowo wymiana.

Jak napastnicy dostali się do sterowników i czego jeszcze nie wiadomo

Oficjalnie wektor ataku nie został ustalony. Do 13 października CERT-FR nie wskazał konkretnej podatności, wersji firmware ani sposobu wejścia. Alert stwierdza jedynie, że wystawianie interfejsu zarządzania do internetu jest sprzeczne z dobrymi praktykami.

Co wiadomo na pewno:

Szef ANSSI uznał za pilne odcięcie sterowników AK-SM i AK-SC od internetu albo bardzo ścisłe filtrowanie dostępu do nich. Panele sterujące chłodnictwem w sklepach są zwykle dostępne przez internet, żeby firmy serwisowe mogły nimi zarządzać zdalnie. Dzień po ataku analitycy Predicta Lab znaleźli w sieci 2752 wystawione systemy Danfoss, w tym 1590 we Francji.
Zdalny dostęp często należy do firmy zewnętrznej. Sklepy Coopérative U kupują system nie od Danfossa, tylko od instalatorów chłodnictwa, którzy go serwisują. E.Leclerc i Intermarché mówią o ataku, który dotknął ich dostawcę usług chłodniczych.
Według Danfossa większość zaatakowanych urządzeń nie otrzymuje już aktualizacji bezpieczeństwa.
W 2025 r. Danfoss wydał poprawki dla trzech podatności w AK-SM 800A, w tym obejścia uwierzytelniania (CVE-2025-41450) w wersjach starszych niż 4.2. Badacze Claroty opisali je w sierpniu 2026 r. i znaleźli tysiące interfejsów AK-SM 800A dostępnych z internetu. Ani francuskie władze, ani Danfoss nie powiązały tych luk z atakiem.
To nie pierwszy taki przypadek. Według Danfossa w 2022 r. zaatakowano model AK-SM 800 w 16 supermarketach w Rosji i 40 sklepach w Izraelu; żaden z tych 40 sklepów nie miał właściwej ochrony firewallem ani VPN.

CERT-FR ostrzega, że kampania najprawdopodobniej nadal trwa. Do 13 października nie opublikowano wskaźników kompromitacji (IoC), więc operatorzy nie mają oficjalnej listy śladów do sprawdzenia.

Czy podobny atak grozi firmom w Polsce?

Informacje o incydentach poza Francją są na razie niepotwierdzone. ANSSI kontaktuje się z agencjami w innych krajach europejskich, bo tam też mogło dojść do ataków. Niezależnie od tego, czy polskie sklepy ucierpiały, mechanizm ataku jest powtarzalny.

Ten sam schemat ryzyka występuje wszędzie tam, gdzie urządzenie sterujące procesem fizycznym ma dostęp do internetu:

chłodnie i mroźnie w handlu, magazynach i logistyce,
automatyka budynkowa (BMS), HVAC, wentylacja,
linie produkcyjne i sterowniki PLC w zakładach przemysłowych.

Wspólne cechy to zdalny dostęp serwisanta, którego dział IT często nie widzi i nie kontroluje, długi cykl życia urządzeń (sterownik AK-SC 355 wycofano w 2016 r., a w 2026 r. wciąż pracował w sklepach) oraz płaska sieć, w której sterownik stoi obok kas i komputerów biurowych. Jeśli ten sam model sterownika działa w setkach lokalizacji sieci handlowej, jedna metoda ataku wystarcza do uderzenia w setki sklepów jednocześnie. Francja pokazała to w praktyce.

Jak zabezpieczyć sterowniki chłodnicze i inne urządzenia IoT/OT

Zasada jest jedna: interfejs zarządzania urządzeniem OT nie może być dostępny z internetu. Serwisant łączy się przez kontrolowany punkt wejścia, a sterownik działa w wydzielonym segmencie sieci.

Co zrobić od razu (wg zaleceń CERT-FR)

Jeśli urządzenia nie zostały przejęte:

Usuń ekspozycję w internecie wszystkich sterowników i innych urządzeń z publicznym adresem IP. Przed odcięciem zdalnej telemetrii do firmy serwisowej sprawdź warunki umowy ubezpieczeniowej.
Zweryfikuj całą konfigurację, szczególnie harmonogramy odszraniania.
Przywróć zdalny dostęp wyłącznie przez bezpieczny VPN lub sieć chronioną. Filtrowanie adresów IP serwisanta na firewallu jest dopuszczalne awaryjnie, ale nie jako rozwiązanie docelowe.
Wdroż zalecenia producenta: aktualny firmware, zmienione hasła domyślne, a w urządzeniach Danfoss poziom bezpieczeństwa ustawiony na tryb Strict.

Jeśli urządzenia zostały przejęte: usuń ekspozycję w internecie, przywróć ustawienia fabryczne, przywróć dostęp tylko przez VPN, skonfiguruj urządzenie od nowa i wdroż zalecenia producenta.

Uwaga przy urządzeniach bez wsparcia (EOL): sam reset fabryczny nie wystarczy. Usuwa ślady włamania, ale podatność zostaje, a urządzenie wystawione do sieci zostanie przejęte ponownie.

Zabezpieczenie docelowe

Inwentaryzacja. Lista wszystkich urządzeń IoT/OT: model, wersja firmware, status wsparcia, kto ma do nich zdalny dostęp. Bez niej nie wiadomo, co chronić.

Segmentacja sieci. Sterowniki chłodnicze, HVAC i automatyka budynkowa trafiają do osobnej sieci lub VLAN. Firewall WatchGuard Firebox kontroluje ruch między segmentami i przepuszcza do segmentu OT tylko połączenia z wskazanych sieci. W płaskiej sieci firewall nie widzi ruchu wewnętrznego; po segmentacji widzi go i może go kontrolować. Dokumentacja WatchGuard wymienia ochronę urządzeń IoT o ograniczonych zabezpieczeniach jako jeden z celów segmentacji.

Zdalny dostęp serwisanta przez VPN z MFA. Zamiast otwartego portu: Mobile VPN na Firebox (SSL, IKEv2 lub IPSec) i uwierzytelnianie wieloskładnikowe WatchGuard AuthPoint. Serwisant po zalogowaniu dostaje dostęp tylko do segmentu ze sterownikami, nie do całej sieci. Uwaga konfiguracyjna: po włączeniu Mobile VPN Firebox dodaje domyślną politykę dającą dostęp do wszystkich zasobów, więc trzeba ją zawęzić.

Monitoring ruchu i nowych urządzeń. WatchGuard ThreatSync+ NDR stale analizuje ruch sieciowy, identyfikuje urządzenia w sieci (w tym IoT) i alarmuje, gdy pojawi się nieautoryzowane urządzenie, nowe urządzenie IoT lub znana podatność. Działa w WatchGuard Cloud, z Firebox, firewallami innych producentów oraz routerami i switchami. W kontekście tego ataku pozwala to zauważyć nowe lub nietypowe zdarzenia w sieci, w której działają sterowniki.

Polityka cyklu życia. Urządzenie bez aktualizacji bezpieczeństwa ma datę wymiany w budżecie, a do tego czasu działa wyłącznie w odizolowanym segmencie.

Umowy z podwykonawcami. Kto ma zdalny dostęp, jak się łączy, kto zmienia hasła po zakończeniu serwisu. W Coopérative U systemy dostarczali i serwisowali instalatorzy chłodnictwa, a nie producent. Zdalny dostęp firmy zewnętrznej powinien podlegać tym samym zasadom co dostęp własnych pracowników.

Najczęstsze pytania o cyberatak na lodówki i bezpieczeństwo OT

Czy można zhakować lodówkę albo zamrażarkę w sklepie? Tak. W supermarketach chłodnictwem steruje centralny sterownik z interfejsem webowym. Jeśli jest dostępny z internetu i niezabezpieczony, napastnik może zmienić temperatury i harmonogram odszraniania. We Francji w październiku 2026 r. podniesiono w ten sposób temperaturę do 50°C.

Co to jest system manager chłodnictwa? To urządzenie, które koordynuje pracę wszystkich sterowników chłodniczych w obiekcie: zbiera odczyty temperatur, ustawia progi i harmonogramy odszraniania oraz udostępnia panel do zdalnego zarządzania. Przykładem jest Danfoss AK-SM 800A.

Jak hakerzy dostali się do sterowników we Francji? Tego oficjalnie nie ustalono. Według Danfossa większość zaatakowanych urządzeń nie dostawała już aktualizacji bezpieczeństwa, a CERT-FR jako pierwszy krok zaleca usunięcie ich z internetu.

Czy reset fabryczny wystarczy po ataku? Nie, jeśli urządzenie nie ma już wsparcia producenta. Reset usuwa zmiany wprowadzone przez napastnika, ale nie usuwa podatności. Urządzenie trzeba odciąć od internetu i udostępniać wyłącznie przez VPN.

Jak bezpiecznie dać serwisantowi zdalny dostęp do urządzeń OT? Przez VPN zakończony na firewallu, z uwierzytelnianiem wieloskładnikowym (MFA) i polityką, która wpuszcza serwisanta tylko do segmentu z jego urządzeniami. Nie przez port otwarty na publiczny adres IP.

Czym różni się bezpieczeństwo OT od IT? W IT skutkiem ataku jest zwykle utrata lub wyciek danych. W OT napastnik zmienia działanie procesu fizycznego: temperaturę, ciśnienie, pracę maszyny. Skutkiem są straty materialne, przestoje, a nawet zagrożenie pożarowe.

Sprawdź, co z Twojej sieci widać z internetu

Zacznij od trzech pytań: które urządzenia OT mają publiczny adres IP, kto ma do nich zdalny dostęp i czy sterowniki stoją w tej samej sieci co reszta firmy. Jeśli odpowiedź na którekolwiek jest niepewna, warto to sprawdzić teraz, a nie po incydencie.

Autor artykułu

Agnieszka Kamieńska

Marketing Specialist

Oceń blog:

Czas czytania: 14 min

Data: 14.10.2026

Terminarz

Lista najbliższych webinariów

23.10.2026

10:00 Darmowy warsztat ESET: Nowości w platformie ESET. Co warto wdrożyć jesienią?

Darmowy warsztat ESET: Nowości w platformie ESET. Co warto wdrożyć jesienią?

23.10.2026

10:00 ESET PROTECT Elite - zarządzanie ochroną, podatnościami oraz incydentami z wykorzystaniem XDR

ESET PROTECT Elite - zarządzanie ochroną, podatnościami oraz incydentami z wykorzystaniem XDR

28.10.2026

10:00 Konferencja cyberbezpieczeństwa | Władcy Sieci 2026

Konferencja cyberbezpieczeństwa | Władcy Sieci 2026

17.11.2026

09:00 Szkolenie Ansible z Windows i Active Directory

Szkolenie Ansible z Windows i Active Directory

19.11.2026

09:00 Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

Chcesz wiedzieć więcej? Zapisz się na Newsletter i otrzymuj najnowsze informacje

Zobacz inne wpisy

Wiedza i świadomość na temat aktualnych cyberzagrożeń to podstawa dobrej taktyki bezpieczeństwa. Chcesz być na bieżąco z wydarzeniami ze świata cybersecurity? A może szukasz wskazówek jak zapewnić wyższy poziom cyberbezpieczeństwa w swojej firmie? Chcesz poznać topowe rozwiązania? Dobrze trafiłeś.

zobacz wszystkie wpisy