Ciberatac a França: atacants descongelen les neveres de centenars de supermercats

Què ha passat

Diumenge a la nit de diumenge 11 d'octubre, uns atacants van accedir en remot als controladors de refrigeració de diverses cadenes de supermercats franceses i van pujar la temperatura de neveres i vitrines. Segons BleepingComputer, van prendre el control de controladors Danfoss amb programari de gestió antic i van activar la funció de desgavell automàtic que porten els propis equips. Així van aconseguir que s'escalfessin sense necessitat de fer malbé res físicament.

Entre les cadenes afectades hi ha Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc i Super U. La premsa francesa calcula que l'atac va arribar a entre 250 i 350 botigues, amb pèrdues econòmiques importants i molt menjar desaprofitat.

Dominique Schelcher, president de Coopérative U, va confirmar que «un ciberatac està afectant els sistemes de refrigeració de diverses botigues» i el va qualificar d'«extremadament greu i sense precedents». El comissari europeu d'Agricultura i Alimentació Christophe Hansen també va condemnar l'atac. La Fiscalia de París ha obert una investigació sobre aquest «ciberatac a gran escala».

De moment, cap grup ha reivindicat l'atac.

La vulnerabilitat de fons

Tot i que no hi ha informació disponible sobre com els atacants van aconseguir comprometre els controladors de refrigeració de Danfoss, l'Agència de Seguretat d'Infraestructura i Ciberseguretat dels EUA (CISA) va advertir el maig del 2025 sobre una vulnerabilitat d'omissió d'autenticació d'alta gravetat (CVE-2025-41450 a NVD) a la plataforma de maquinari de la sèrie Danfoss AK-SM 8xxA utilitzada per gestionar sistemes de refrigeració i HVAC, comuns al sector minorista d'aliments.

L'agost del 2025, CISA va avisar també d'una segona sentència a la mateixa plataforma, una injecció d'ordres (CVE-2025-41451). L'equip Team82 de Claroty, que va descobrir les dues vulnerabilitats, va publicar com combinar-les per executar codi en remot a les interfícies de gestió AK-SM 800A que estiguessin accessibles des d'Internet.

El que és preocupant és quants equips hi ha exposats. Segons Baptiste Robert, CEO de Predicta Lab, dilluns hi havia 2.752 sistemes Danfoss accessibles des d'Internet, 1.590 a França. Shodan, el cercador de dispositius connectats, en registra més de 4.500.

Per què ens afecta a tots

Aquest cas no és només cosa de les grans superfícies. El mateix pot passar amb la climatització duna oficina, les cambres frigorífiques dun restaurant o una carnisseria, els equips duna nau industrial o la gestió energètica dun edifici. Molts daquests equips (el que es coneix com OT, tecnologia operacional) s'instal·len perquè el proveïdor els controli en remot i, un cop en marxa, ningú no els torna a revisar ni a actualitzar.

L'atac demostra que un ciberatac també pot tenir conseqüències físiques: mercaderia perduda, riscos sanitaris i talls de servei.

Recomanacions

• No deixeu les interfícies de gestió accessibles directament des d'Internet.
  L'accés remot s'ha de fer sempre per VPN o amb una solució d'accés segur amb autenticació robusta.
  
  
• Fes inventari dels equips connectats:
  climatització, refrigeració, control d'accessos, càmeres, SAI… Si no saps que alguna cosa està connectada, no la pots protegir.
  
  
• Actualitza el microprogramari i el programari segons el que indiqui el fabricant, sobretot quan hi ha vulnerabilitats conegudes com les de Danfoss.
  
  
• Canvia les credencials per defecte i revisa quins accessos tenen els proveïdors externs.
  
  
• Separa la xarxa OT de la xarxa corporativa i de la de convidats, perquè un equip compromès no doni pas a la resta de sistemes.
  
  
• Posa alarmes de temperatura independents que avisin encara que falli o es manipuli el controlador principal.
  
  
• Vigila l'activitat d'aquests equips per detectar accessos o canvis de configuració fora del normal.

Al SOC d'Infordisa t'ajudem a trobar els equips exposats de la teva empresa, revisar-ne la configuració i vigilar-los de forma contínua. Si tens dubtes sobre els teus sistemes, contacta amb nosaltres.

Fonts: BleepingComputer, CISA SB25-132, NVD CVE-2025-41450.