Евросоюз не заставит чинить устаревшие контроллеры холодильников после атаки на французские супермаркеты

В начале месяца злоумышленники получили доступ к удалённым контроллерам холодильных установок в нескольких сетях французских супермаркетов. Скомпрометированные устройства заставляли системы непрерывно размораживаться при температуре 50°C, что привело к порче продуктов. Среди пострадавших ритейлеров — Intermarché, Carrefour, Monoprix, Leclerc и Coopérative U.

По оценкам, ущерб составил десятки миллионов евро. Агентство по кибербезопасности Франции ANSSI назвало уязвимые модели: контроллеры Danfoss серий AK-SM и AK-SC, а также устройства Copeland xweb и Dixell xweb. Группа реагирования CERT-FR выпустила предупреждение и рекомендовала операторам отключить или отфильтровать все контроллеры, доступные из интернета, чтобы предотвратить новые атаки.

ANSSI сообщило, что расследование продолжается, и координирует меры профилактики и устранения последствий в затронутых секторах, уделяя особое внимание крупным розничным сетям. Производитель Copeland признал наличие уязвимости в снятом с производства и поддержки поколении контроллеров. Компания заявила, что работает с пострадавшими клиентами для снижения рисков, но не уточнила их количество.

Danfoss не ответил на запрос комментария, однако ранее подтвердил, что затронутые устройства также относятся к категории end-of-life. Прокуратура Парижа получила около десяти жалоб и оценивает число пострадавших примерно в 700 объектов. Ни одна группировка не взяла на себя ответственность за атаку.

Вступивший в силу в прошлом месяце Закон о киберустойчивости ЕС требует от производителей подключённых устройств и ПО сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах. Это касается и продуктов, которые больше не продаются в Евросоюзе, но продолжают использоваться. Агентство ЕС по кибербезопасности ENISA пояснило, что обязанность отчитываться сохраняется и после прекращения поддержки устройства.

Однако обязательства по устранению уязвимостей — включая выпуск исправлений и бесплатных обновлений безопасности — действуют только в течение периода поддержки, который определяет сам производитель. Для продуктов, размещённых на рынке до 11 декабря 2027 года, или тех, чья поддержка завершена, производитель не обязан соблюдать требования по обработке уязвимостей. Именно к такой категории относятся контроллеры холодильников, атакованные во Франции.

ENISA отказалось делиться информацией о конкретных уведомлениях от производителей и не подтвердило, сообщал ли кто-либо об этих атаках. При этом сеть национальных групп реагирования ЕС CSIRTs Network активно обменивается данными и отслеживает ситуацию. ANSSI также поддерживает регулярный диалог с европейскими коллегами.

Таким образом, производители не обязаны выпускать патчи для устройств, поддержка которых прекращена, даже если те продолжают использоваться и подвергаются атакам. Это оставляет операторов критической инфраструктуры один на один с уязвимостями в старом оборудовании.