Zero-day był zbędny: druga fala ataków na chłodnictwo europejskich supermarketów

W nocy z niedzieli 1 na poniedziałek 2 listopada 2026 roku napastnicy ponownie zmanipulowali wystawione do internetu sterowniki chłodnicze w całej Europie, podnosząc temperaturę w sklepowych lodówkach i zamrażarkach i zmuszając sieci handlowe do wyrzucenia żywności.

Podawane liczby wahają się od ponad 100 do ponad 115 dotkniętych sklepów, obejmując zarówno duże sieci, jak i małe sklepy mięsne. Według doniesień BBC zakłócenia wystąpiły w Belgii, Estonii, Finlandii, Niemczech, Irlandii, Włoszech, Luksemburgu, Holandii, Portugalii i Szwecji.

Część sklepów zgłosiła nastawy lub temperatury sięgające 50°C, czyli tę samą wartość co przy francuskim incydencie z 11 na 12 października.

Ocena techniczna jest jednoznaczna i zasługuje na pierwsze miejsce. Jak ujął to jeden z ekspertów: „Weszli przez sterowniki wystawione do internetu, przestarzałe oprogramowanie układowe i domyślne hasła".

Nie wiadomo, kto za tym stoi. Krążące twierdzenia, że odpowiedzialność za tę falę wzięły prorosyjskie grupy NoName057(16) i Z-Pentest Alliance, nie znajdują potwierdzenia w oficjalnych komunikatach. Belgijskie Centrum Cyberbezpieczeństwa oświadczyło w poniedziałek, że nie wiadomo, kto stoi za atakami, i że „może to nigdy nie zostać ustalone". Dotychczasowe postępowania nie zdołały zidentyfikować sprawców.

Co się wydarzyło

Kto ucierpiał

Najmocniej ucierpiała Belgia, a belgijska prokuratura federalna wszczęła postępowanie.

Metoda

Napastnicy dotarli do wystawionych do internetu sterowników firm Danfoss i Copeland, a następnie zmienili ustawienia, wyłączając chłodzenie lub uruchamiając cykle rozmrażania, co podnosiło temperaturę. Kierownicy sklepów odkrywali szkody wczesnym rankiem.

Dostawcy z kilku krajów potwierdzili, że metoda odpowiadała atakom z października. Danfoss stwierdził, że incydenty w Holandii były tego samego rodzaju co we Francji, Sabcobel potwierdził tę samą metodę w Belgii, a Kitman uznał przypadek estoński za podobny. Estoński dostawca chłodnictwa poinformował, że zaatakowane tam urządzenia to starsze modele Danfoss.

Jedna istotna rozbieżność

Punkt wejścia nie był wszędzie taki sam, a to ma znaczenie dla sposobu reagowania.

W Belgii napastnicy dostali się do systemów poszczególnych supermarketów, a nie firm serwisujących chłodnictwo. W Portugalii grupa Mosqueteiros powiązała incydenty w siedmiu sklepach Intermarché z atakiem obejmującym zewnętrznego dostawcę usług chłodniczych.

Mamy więc dwie różne drogi prowadzące do tego samego skutku: bezpośrednią ekspozycję sterownika sklepu oraz kompromitację przez firmę, która go serwisuje. Organizacja, która zabezpieczyła jedną ścieżkę, niekoniecznie zabezpieczyła drugą.

Dane o ekspozycji

Liczby z analiz internetowych pokazują skalę problemu:

• Francja przoduje globalnie w liczbie wystawionych instancji Danfoss StoreView, przed Belgią i Stanami Zjednoczonymi.

• 138 wystawionych instancji w Belgii, z czego około 68 procent wydaje się załatanych.

• 51 w Holandii, około 37 procent załatanych.

• 50 w Szwecji, około 58 procent załatanych.

• Zaledwie kilka wystawionych instancji w Luksemburgu, Irlandii i Estonii.

Brytyjskie badanie naliczyło ponad 800 sterowników chłodniczych i automatyki budynkowej w handlu dostępnych z internetu, w większości na łączach konsumenckich lub komórkowych. Ten ostatni szczegół wiele tłumaczy. Takie urządzenia instalują zwykle firmy chłodnicze, na łączach, których żaden korporacyjny dział IT nigdy nie widzi.

Kwestia atrybucji

Tu potrzebna jest ostrożność, bo krążący opis tej sprawy idzie dalej, niż pozwalają fakty.

Co jest udokumentowane: Z-Pentest Alliance ma udokumentowaną historię przypisywania sobie ataków na chłodnictwo w 2026 roku. Monitoring haktywizmu prowadzony przez Forescout odnotował w tym roku ponad dwadzieścia deklarowanych ataków na instalacje chłodnicze, głównie na przechowalnie owoców, winiarnie, supermarkety i zakłady przetwórstwa spożywczego w Hiszpanii i we Włoszech. Samego 26 kwietnia Z-Pentest przypisał sobie dziesięć odrębnych ataków.

Czego brakuje: potwierdzonego przez oficjalne instytucje przyznania się Z-Pentest lub NoName057(16) do tej konkretnej listopadowej fali.

Co mówią instytucje: belgijskie Centrum Cyberbezpieczeństwa stwierdziło, że atrybucja może nigdy nie zostać ustalona, i wezwało operatorów do odłączenia sterowników od sieci. Szwedzkie Narodowe Centrum Cyberbezpieczeństwa poinformowało, że śledzi incydenty i wymienia informacje z agencjami w krajach nordyckich i europejskich.

Historia przypisywania sobie podobnych ataków czyni grupę rozsądnym podejrzanym. Nie jest to jednak ustalona atrybucja, a przedstawianie jej jako przesądzonej byłoby przedwczesne.

Twierdzenie odstające od reszty

Jeden szeroko powtarzany szczegół zasługuje na sceptycyzm. Właścicielka sklepu mięsnego w Atenach powiedziała greckiej stacji Skai TV, że ktoś włamał się do sterowania temperaturą urządzenia chłodniczego i podniósł ją do 150°C. Ta wartość odbiega od wszystkiego innego, co zgłoszono, opiera się na pojedynczej relacji i należy ją traktować jako niepotwierdzoną.

Dlaczego to ma znaczenie

To druga fala, a metoda nie musiała się zmienić. Październikowe ataki na francuskie supermarkety opisano na całym świecie, rządy wydały ostrzeżenia, a producenci opublikowali zalecenia. Trzy tygodnie później ta sama technika zadziałała w dziesięciu krajach. To pokazuje, jak niewielką część wystawionej infrastruktury faktycznie zabezpieczono.

Najważniejsze są odsetki załatanych urządzeń. Około 37 procent wystawionych instancji w Holandii wygląda na załatane. Nawet w Belgii, najlepszej z całej trójki, mniej więcej jedna trzecia pozostaje bez poprawki. Mowa o urządzeniach, o których publicznie wiadomo od października.

Nikt nie jest właścicielem tych urządzeń. Sterowniki chłodnicze instalują firmy serwisowe, często na łączach konsumenckich lub komórkowych, poza korporacyjnymi inwentarzami IT. Brytyjska liczba ponad 800 osiągalnych sterowników opisuje sprzęt, który formalnie nie jest niczyim zasobem.

W zasięgu są małe firmy. Siedemnaście holenderskich sklepów mięsnych, sklep z czekoladą, jeden sklep IKEA. Rzeźnik tracący zawartość zamrażarki nie ma zespołu bezpieczeństwa, planu reagowania ani zwykle świadomości, że sterownik był w internecie.

Atrybucja może nigdy nie nadejść, a czekanie na nią niczego nie zmienia. Powiedziało to wprost belgijskie centrum cyberbezpieczeństwa. Działania naprawcze są identyczne niezależnie od tego, czy stoi za tym haktywizm powiązany z państwem, zwykła przestępczość, czy coś jeszcze innego.

Realną konsekwencją jest bezpieczeństwo żywności. Zepsuty towar to koszt widoczny. Ryzykiem niewidocznym jest produkt, który się ogrzał i ponownie schłodził, a nikt tego nie zauważył, co jest już kwestią bezpieczeństwa konsumentów, a nie bezpieczeństwa IT.

Kogo to dotyczy

• Sieci handlowych i firm spożywczych w dziesięciu wskazanych krajach, od dużych sieci po pojedyncze sklepy.

• Użytkowników sterowników Danfoss i Copeland, zwłaszcza modeli starszych i wycofanych ze wsparcia.

• Każdego, kto ma sterownik chłodniczy na łączu zainstalowanym przez firmę serwisową, czyli grupy najmniej świadomej swojej ekspozycji.

• Firm serwisujących chłodnictwo, wskazanych jako droga wejścia w przypadkach portugalskich i będących teraz oczywistym celem.

• Zakładów przetwórstwa, sklepów mięsnych i chłodni, wymienianych we wcześniejszych deklaracjach Z-Pentest z 2026 roku.

• Konsumentów, przez wyrzucony towar, puste regały i wskazaną wyżej kwestię bezpieczeństwa.

Co powinny zrobić organizacje

Natychmiast

1. Odłącz sterowniki chłodnicze i automatyki budynkowej od publicznego internetu. To bezpośrednie zalecenie belgijskiego Centrum Cyberbezpieczeństwa i jedyny środek, który działa niezawodnie.

2. Najpierw je znajdź. Sprawdź łącza zainstalowane przez firmy serwisowe, konsumenckie łącza szerokopasmowe i modemy komórkowe. Twój korporacyjny inwentarz sieciowy ich nie wykaże.

3. Zmień domyślne hasła w każdym sterowniku. Domyślne poświadczenia wskazywane są jako główna droga wejścia.

4. Zidentyfikuj przestarzałe oprogramowanie układowe i wycofane modele. W Estonii zaatakowano starsze modele Danfoss. Tam, gdzie poprawka nie istnieje, jedyną opcją jest odłączenie.

5. Wgraj dostępne aktualizacje oprogramowania układowego. Przy od jednej trzeciej do dwóch trzecich wystawionych urządzeń wciąż bez poprawek, to nadal otwarta luka.

Gdy zdalny dostęp jest faktycznie potrzebny

6. Umieść go za VPN-em lub zarządzaną bramą z uwierzytelnianiem wieloskładnikowym, zamiast wystawiać interfejs sterownika wprost.

7. Ogranicz dostęp do znanych adresów jako krok przejściowy, a nie docelowy.

Dostawcy i łańcuch serwisowy

8. Zapytaj firmę serwisującą chłodnictwo, jak dokładnie łączy się z Twoimi urządzeniami, skąd i jakimi poświadczeniami. Przypadki portugalskie przyszły właśnie przez dostawcę usług.

9. Wymagaj informowania o każdej zmianie w zdalnym dostępie i usuwaj konta firm, z którymi już nie współpracujesz.

Wykrywanie i działania operacyjne

10. Alertuj na zmiany konfiguracji, a nie tylko na temperaturę. Zmiany nastaw i wydłużone cykle rozmrażania są najwcześniejszym sygnałem, a w październikowych atakach we Francji alarmy celowo wyciszano właśnie przez wydłużanie okien rozmrażania.

11. Dodaj niezależny pomiar temperatury, który nie przechodzi przez ten sam sterownik.

12. Poinstruuj personel nocny i poranny. W tej fali kierownicy odkrywali szkody przy otwarciu sklepu.

13. Przygotuj procedurę decyzji dotyczących bezpieczeństwa żywności. Personel potrzebuje jasnej reguły, co wyrzucić, udokumentowanej na potrzeby kontroli i ubezpieczyciela.

Podsumowanie i kluczowa lekcja

Trzy tygodnie po tym, jak francuskie ataki obiegły światowe media, ta sama technika zadziałała ponownie w dziesięciu krajach. Niczego nie ulepszono, nie znaleziono nowej podatności, nie dodano wyrafinowania. Napastnicy po prostu powtórzyli ten sam scenariusz wobec dużej części wystawionej infrastruktury, której od października nikt nie ruszył.

Lekcja: nie mamy tu do czynienia z luką w zabezpieczeniach, tylko z luką we własności. Sterownik chłodniczy instaluje firma serwisowa, podłącza go do jakiegokolwiek wygodnego łącza, konfiguruje domyślnym hasłem, po czym wszyscy o nim zapominają. Nie pojawia się w rejestrze zasobów. Nie wchodzi w zakres testów penetracyjnych. Nikt go nie łata, bo nikt za niego nie odpowiada. Napastnicy znaleźli całą klasę przemysłowych urządzeń podłączonych do internetu, która leży poza każdym procesem używanym przez organizacje do zabezpieczania czegokolwiek.

Druga lekcja dotyczy atrybucji i pokusy czekania na nią. Prorosyjskie grupy haktywistyczne przypisywały sobie podobne ataki przez cały 2026 rok i są tu wiarygodnym podejrzanym. Ale belgijskie centrum cyberbezpieczeństwa powiedziało wprost, że sprawcy mogą nigdy nie zostać ustaleni, a działania naprawcze nie zależą od tej odpowiedzi. Odłączenie sterownika od internetu działa niezależnie od tego, kto go skanuje.

Dwie rzeczy warte zrobienia w tym tygodniu: znajdź każdy sterownik chłodniczy i automatyki budynkowej w swojej infrastrukturze, który ma łącze internetowe, oraz zapytaj firmę serwisową, jak dociera do Twoich urządzeń.