Durante la notte di lunedì, gli attaccanti hanno manipolato da remoto i controller della refrigerazione commerciale in oltre 400 supermercati e punti vendita al dettaglio europei. Secondo quanto riferito, le temperature sono state portate a 50 °C, distruggendo le scorte di prodotti refrigerati e surgelati. Sono stati segnalati anche piccoli incendi.
Il numero dei punti vendita deriva dalle segnalazioni delle aziende coinvolte, riprese da Dark Reading. I rivenditori francesi sono stati i bersagli principali documentati, mentre un analista di Sekoia ha dichiarato a Reuters che sono stati colpiti anche punti vendita in Spagna, Portogallo, Polonia, Germania e Belgio.
Gli autori dell'intrusione non sono stati identificati e il movente resta poco chiaro.
Le impostazioni della refrigerazione sono state modificate da remoto
Le prime segnalazioni collegavano gli episodi ai controller per refrigerazione Danfoss. CERT-FR ha successivamente identificato anche la piattaforma XWEB di Dixell e Copeland come un altro sistema coinvolto negli attacchi.
Secondo la stampa francese citata da Dark Reading, gli attaccanti hanno allungato i cicli di sbrinamento, in modo che l'aumento di temperatura somigliasse a un normale intervento di manutenzione. Le funzioni di sbrinamento riscaldano legittimamente le apparecchiature per eliminare il ghiaccio, ma cicli prolungati o manipolati possono esporre gli alimenti a temperature pericolose e sottoporre l'apparecchiatura a ulteriore stress termico.
Due supermercati della regione francese dell'Alsazia hanno dichiarato perdite complessive di 270.000 euro, circa 300.000 dollari statunitensi, secondo il resoconto della BBC citato nel rapporto. La cifra riguarda solo queste due sedi, non l'intero attacco.
Les Mousquetaires, società madre di Intermarché e Netto, ha dichiarato a CNBC che l'accesso ai sistemi di refrigerazione di alcuni suoi punti vendita è avvenuto tramite un fornitore di servizi. La dichiarazione indica la connettività di terze parti come una via d'intrusione, almeno in parte dell'incidente, senza stabilire un unico metodo di accesso valido per tutti i rivenditori coinvolti.
Vulnerabilità rese note nei controller Danfoss
Il 9 agosto Claroty Team82 ha reso note tre vulnerabilità nella famiglia Danfoss AK-SM 800A. Le fonti non stabiliscono che gli attaccanti abbiano sfruttato un CVE specifico durante gli episodi nei supermercati.
Le descrizioni NVD indicano condizioni tecniche e versioni interessate diverse:
- CVE-2025-41450 è un problema di autenticazione impropria, classificato come CWE-305, nella serie Danfoss AK-SM 8xxA precedente alla versione 4.2. Ha un punteggio CVSS 3.1 di 8,2 e il vettore
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:H. NVD lo descrive come accessibile dalla rete, con elevata complessità di attacco, nessun privilegio richiesto e interazione dell'utente necessaria. - CVE-2025-41451 è una debolezza di command injection, classificata come CWE-77, nei campi di configurazione degli allarmi inviati via email. Nelle versioni precedenti alla 4.3.1, un attaccante autenticato potrebbe ottenere, in linea teorica, l'esecuzione remota di codice.
- CVE-2025-41452 è una vulnerabilità post-autenticazione che riguarda il controllo esterno di un'impostazione della configurazione dell'interfaccia web. Classificata come CWE-15, può causare un denial of service a causa di una gestione impropria di condizioni eccezionali nelle versioni precedenti alla 4.3.1.
In base a questi intervalli di versioni, la 4.3.1 è la prima release identificata come esterna all'ambito di tutte e tre le vulnerabilità. Danfoss ha rilasciato aggiornamenti, ma la loro installazione spetta ai clienti.
Danfoss ha dichiarato che la maggior parte delle unità coinvolte negli incidenti erano controller AK-SM 800 o il più vecchio AK-SC355. L'azienda ha indicato che questi prodotti hanno raggiunto la fine del ciclo di vita rispettivamente nel 2021 e nel 2016. Ha attribuito il problema a firmware obsoleto e ha ribadito la raccomandazione di aggiornare le apparecchiature supportate e migrare i sistemi legacy verso prodotti attuali.
La distinzione è importante: le vulnerabilità appena documentate riguardano la serie AK-SM 8xxA, mentre l'attacco riferito ha coinvolto anche apparecchiature installate più vecchie. Le fonti disponibili non forniscono una spiegazione vulnerabilità per vulnerabilità delle compromissioni.
Anche XWEB è coinvolto
Il 9 agosto Claroty Team82 ha reso note 23 vulnerabilità in Copeland XWEB Pro, 21 delle quali con gravità alta. CERT-FR ha poi identificato come coinvolta negli attacchi l'intera piattaforma XWEB.
La tempistica ha fatto ipotizzare che gli attaccanti abbiano usato ricerche pubblicate di recente, ma si tratta ancora di un'inferenza. Le fonti non collegano una specifica vulnerabilità di XWEB a un particolare punto vendita compromesso.
Cosa dovrebbero fare gli operatori della refrigerazione
Gli operatori che usano controller Danfoss AK-SM 8xxA dovrebbero verificare il firmware installato. I sistemi precedenti alla 4.2 restano nell'intervallo interessato da CVE-2025-41450, mentre CVE-2025-41451 e CVE-2025-41452 riguardano le versioni precedenti alla 4.3.1. Le installazioni legacy di AK-SM 800 e AK-SC355 vanno valutate in base alle indicazioni di migrazione di Danfoss.
Andrew Ginter di Waterfall Security Solutions ha raccomandato, come misura d'emergenza, di rimuovere i dispositivi di controllo industriale dall'esposizione diretta su Internet. Quando l'isolamento immediato non è possibile, i suoi consigli includono: installare davanti ai controller un firewall di grado commerciale o industriale, adottare una politica default-deny (che blocca per impostazione predefinita tutto ciò che non è esplicitamente consentito), limitare le connessioni a indirizzi IP approvati, richiedere password e autenticazione a due fattori, e mantenere il firewall aggiornato automaticamente.
La via del fornitore di servizi descritta da Les Mousquetaires rende prioritario anche l'accesso di terze parti. I rivenditori dovrebbero identificare quali appaltatori possono raggiungere da remoto i sistemi di refrigerazione, limitare tali connessioni ai sistemi e ai periodi strettamente necessari, e verificare i controlli di autenticazione e firewall che le riguardano.
Per le aziende coinvolte, le conseguenze vanno oltre il raffreddamento non disponibile: controller manipolati possono distruggere le scorte, interrompere le attività del punto vendita e creare rischi fisici. Gli aggiornamenti del firmware, la rimozione dell'esposizione diretta e un controllo più stretto sugli accessi dei fornitori affrontano le debolezze concrete evidenziate da questo episodio.
