Новая волна атак на холодильные системы затронула более 115 магазинов в Бельгии, Нидерландах, Швеции, Люксембурге, Ирландии и Эстонии. Злоумышленники удаленно отключали холодильники и морозильники или активировали функцию разморозки, из-за чего температура оборудования поднималась до 50–55 °C, а магазинам приходилось выбрасывать продукты.

На этот раз от атак больше всего пострадали супермаркеты в Бельгии: проблемы были зафиксированы примерно в 40 магазинах Ahold Delhaize, 15 Carrefour, примерно 15 Intermarché и пяти Spar. Также атаки затронули 13 магазинов SuperValu в Ирландии, семь Coop и как минимум четыре ICA в Швеции, один магазин Selver в Эстонии, а также не менее 17 мясных лавок и небольших магазинов в Нидерландах.

Атаки произошли в ночь с 1 на 2 ноября 2026 года, и утром менеджеры обнаружили лужи воды и морозильники с температурой, выставленной на +50 °C и выше. В результате в одном из магазинов сети ICA сообщили, что из-за инцидента полностью лишился свежих и замороженных продуктов, в Delhaize сотрудникам тоже пришлось выбрасывать весь испорченный товар, а часть магазинов попыталась спасти продукты с помощью рефрижераторов.

Представители торговых сетей подчеркивают, что большинство магазинов продолжили работу, хотя ассортимент свежих и замороженных продуктов временно сократился. В Carrefour отдельно подчеркнули, что пострадали лишь 15 из 700 магазинов сети, причем ни один гипермаркет атака не затронула.

Напомним, что похожая массовая атака произошла в октябре 2026 года во Франции. Тогда злоумышленники удаленно активировали функцию разморозки холодильников в сотнях супермаркетов, и температура оборудования тоже поднималась до 50 °C.

Тогда проблему быстро связали с использованием контроллеров для холодильного оборудования Danfoss. По сути, это небольшие промышленные компьютеры, которые централизованно управляют холодильниками и морозильниками: следят за их температурой, запускают циклы разморозки, обрабатывают аварийные сигналы и позволяют техникам обслуживать системы удаленно.

После атаки выяснилось, что часть пострадавшего оборудования была устаревшей или работала на старых прошивках: например, контроллеры Danfoss AK-SM 800 и AK-SC 355 уже не поддерживаются. При этом атаки затронули и более новые AK-SM 800A, на которых не были установлены актуальные обновления.

При этом в CERT-FR сообщали о многочисленных компрометациях не только Danfoss AK-SM и AK-SC, но и контроллеров Copeland и Dixell XWEB. Тогда специалисты рекомендовали полностью изолировать такие системы от интернета и разрешать удаленный доступ только через VPN или защищенную сеть.

Следует отметить, что еще до массового взлома холодильников во французских супермаркетах исследователи из компании Claroty писали, что в AK-SM 800A присутствуют баги, позволяющие обходить аутентификацию и удаленно выполнять команды, а Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупреждало о двух уязвимостях, обнаруженных в платформе Danfoss AK-SM 8xxA.

Отметим, что похожие инциденты происходили и в США: в августе 2026 года морозильники вышли из строя как минимум в шести магазинах на американских военных базах, и в одном случае оборудование ночью перешло в режим разморозки и нагрело продукты. Сейчас эти события расследуют как возможную кибератаку, и представители Пентагона взаимодействуют с французскими следователями. Однако прямая связь между инцидентами пока не установлена.

Во время новой волны атак снова пострадали устаревшие контроллеры холодильного оборудования. В частности, в Эстонии подтвердили компрометацию старой системы Danfoss, а в Бельгии сообщалось об атаках на оборудование Copeland.

Глава бельгийского поставщика холодильных систем Sabcobel утверждает, что злоумышленники использовали ту же уязвимость, что и во время октябрьских атак во Франции. Однако конкретный баг или CVE пока не называется, и власти не подтвердили, что во всех странах применялся один и тот же вектор атаки.

При этом в Sabcobel подчеркивают, что одного лишь обновления ПО недостаточно: для защиты части систем требуются физические изменения и перевод удаленного управления на защищенное интернет-соединение.

Пока неизвестно, связаны ли все описанные атаки воедино и применялся ли во всех случаях один и тот же метод компрометации. Пострадавшие компании не сообщали, кто может стоять за этими взломами, а ответственность за атаки пока не взяла на себя ни одна хак-группа.