محققان هشدار دادند مهاجمان می‌توانند ماه‌ها قبل از ضربه خوردن سوپرمارکت‌های فرانسوی، غذا را یخ‌زدایی کنند

محققان امنیتی ماه ها - و در یک مورد، بیش از یک سال - قبل از اینکه حملات سایبری صدها سوپرمارکت فرانسوی را مختل کند، در مورد آسیب پذیری های قابل بهره برداری در کنترل کننده های یخچال هشدار دادند. اواخر یکشنبه شب، مجرمان ناشناس هزاران کنترلر را هک کردند، گرما را تا 122 درجه فارنهایت (50 درجه سانتیگراد) افزایش دادند، غذا را خراب کردند و در نزدیک به 700 سوپرمارکت کشور آتش سوزی کردند.

آژانس امنیت سایبری ملی فرانسه ANSSI روز دوشنبه نسبت به مصالحه گسترده در مورد کنترل‌کننده‌های تبرید Danfoss هشدار داد و یک روز بعد سیستم‌های آسیب‌دیده از Copeland و برند Dixell آن را اضافه کرد. دستگاه‌های آسیب‌دیده از طریق اینترنت قابل دسترسی بودند و بسیاری از آنها دیگر نرم‌افزار یا به‌روزرسانی‌های امنیتی را دریافت نمی‌کردند و برخی دیگر از سیستم عامل قدیمی استفاده می‌کردند. Danfoss بلافاصله به درخواست The Register برای اظهار نظر پاسخ نداد. کوپلند بیانیه زیر را برای ما ایمیل کرد: «ما آسیب‌پذیری شناسایی شده در نسل متوقف‌شده و پایان عمر کنترل‌کننده‌ها را تأیید می‌کنیم.

حفاظت از عملیات مشتریان ما همیشه یک اولویت بوده است. ما در حال حاضر با مشتریان متاثر برای کاهش ریسک کار می کنیم. ما به حمایت از مشتریان در تقویت امنیت سایبری از طریق محصولات پشتیبانی‌شده، نرم‌افزارهای فعلی و شیوه‌های پیشنهادی صنعت ادامه خواهیم داد.» شرکت امنیتی فناوری عملیاتی (OT) Claroty’s Team82 در ماه اوت زنگ خطر را روی این دستگاه‌های باگ به صدا درآورد و هشدار داد که هکرها می‌توانند «کنترل‌کننده» را منجمد کنند و «غذا را یخ‌زدایی کنند». در آن زمان، محققان جزئیات ده‌ها آسیب‌پذیری از جمله دور زدن احراز هویت و عملیات را منتشر کردند.

نقص‌های اجرای فرمان سیستم، بر کنترل‌کننده‌های Danfoss AK-SM 800A و Copeland XWEB تأثیر می‌گذارد. حتی پیش از این، آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) توصیه هایی در مورد نقص های امنیتی در کنترل کننده های هر دو برند منتشر کرد. در ماه فوریه، CISA اعلام کرد که نزدیک به دوجین CVE در Copeland XWEB و XWEB Pro می‌تواند مورد سوء استفاده قرار گیرد تا «به مهاجم اجازه دهد تا احراز هویت را دور بزند، شرایط انکار سرویس را ایجاد کند، باعث تخریب حافظه و اجرای کد دلخواه شود». در توصیه‌نامه‌ای در ماه مه 2025 که در آگوست 2025 به‌روزرسانی شد، CISA هشدار مشابهی را درباره دستگاه‌های باگ سری Danfoss AK-SM 8xxA منتشر کرد.

تیاگو هنریکز، مدیر ارشد بیمه در ائتلاف ارائه‌دهنده بیمه سایبری، به The Register گفت: «آنچه این حادثه را به‌ویژه قابل توجه می‌کند، جدول زمانی است. او خاطرنشان کرد که هک‌های سوپرمارکت فرانسوی دو ماه پس از انتشار تحقیقات Team82 اتفاق افتاد و Danfoss به‌روزرسانی سیستم عامل (R4.3.1) را برای کاهش نقص‌ها منتشر کرد. «قرار گرفتن در معرض بحرانی» همچنان ادامه دارد: «با وجود در دسترس بودن این وصله‌ها، اسکن ائتلاف نشان داد که قرار گرفتن در معرض بحرانی این تهدیدات تا پاییز نیز ادامه دارد.»

بین 7 سپتامبر و 6 اکتبر، حسگرهای ائتلاف 1506 آدرس IP منحصربه‌فرد را شناسایی کردند که همچنان پنل مدیریت قابل دسترس وب Danfoss StoreView را در معرض دید عموم قرار می‌دادند و 820 مورد از آنها - 54 درصد - با شبکه‌های فرانسوی مرتبط بودند. وی با اشاره به اینکه یک IP هر دو نوع کنترلر را اجرا می‌کند، افزود: اسکن‌های ما حداقل ۲۶۲۴ کنترل‌کننده تبرید از برندهای نام‌برده را با صفحه ورود به اینترنت باز کرد: ۱۵۰۶ Danfoss StoreView و ۱۱۱۹ XWEB. برای روشن شدن: این بدان معنا نیست که همه این کنترلرها آسیب پذیر بودند، بلکه آنها در معرض اینترنت باز بودند.

بر اساس آمار ارائه‌دهنده بیمه، حتی پس از حملات سایبری - تا روز پنجشنبه - 618 دستگاه دانفوس به اینترنت متصل هستند. از این تعداد، 206 به شبکه های فرانسوی متصل هستند، در حالی که 50 در ایالات متحده و دو در بریتانیا هستند. Henriques گفت: «دستگاه اصلاح نشده دارای یک پنل مدیریت قابل دسترسی به وب می‌تواند به عنوان یک نقطه ورود اصلی برای مهاجمان دیجیتال عمل کند. نکته اصلی واضح است: ریسک دیجیتال بسیار فراتر از ایستگاه های کاری و سرورهای ایمیل است. مجرمان OT و سایر دستگاه های صنعتی که به اینترنت متصل هستند را نیز هدف قرار می دهند.

Henriques گفت: "شناسایی این نقاط دسترسی در معرض قبل از هدف قرار دادن آنها می تواند به طور مستقیم به حفظ تداوم کسب و کار کمک کند." رهبران سایبری OT خواستار دستورالعمل CISA هستند در آمریکا، گروهی از ارائه دهندگان امنیت سایبری و فناوری OT درخواست خود را برای حمایت های قوی تر از مواد غذایی و کشاورزی در ایالات متحده دو برابر کردند. ائتلاف امنیت سایبری فناوری عملیاتی (OTCC) روز چهارشنبه در بیانیه‌ای اعلام کرد که حملات سایبری فرانسه «یادآوری واضح دیگر از اهمیت اجرای اقدامات اولیه امنیت سایبری برای تقویت امنیت سایبری فناوری عملیاتی است».

در اوایل ماه جاری، این گروه که اعضای آن شامل Claroty، Forescout، Honeywell و Schneider Electric هستند، از CISA خواست تا یک دستورالعمل عملیاتی الزام آور برای بهبود امنیت سایبری OT در دولت فدرال صادر کند. OTCC این درخواست را روز چهارشنبه تکرار کرد و پیشنهاد کرد که وزارت کشاورزی ایالات متحده می تواند سازمان های بخش غذا و کشاورزی را تشویق کند تا بهترین شیوه های امنیت سایبری را اجرا کنند.

در بیانیه آمده است: "در حالی که هیچ حادثه ای در ایالات متحده گزارش نشده است، عوامل مخرب بدون شک این حادثه را به عنوان یک عامل حمله احتمالی برای اجرای اینجا می بینند." "ما نمی توانیم صبر کنیم تا این اتفاق بیفتد."