În urma alertei DNSC din 14 octombrie 2026, privind compromiterea unor sisteme de administrare a instalațiilor frigorifice în Franța, la data de 2 noiembrie 2026 a fost raportat un nou val de atacuri cibernetice asupra sistemelor frigorifice din Europa, fiind semnalate incidente în Belgia, Suedia, Țările de Jos, Luxemburg, Irlanda și Estonia. Presa internațională a relatat, de asemenea, incidente sau suspiciuni de compromitere în Finlanda, Danemarca, Italia și Portugalia. La aceeași dată au fost raportate și în România creșteri anormale ale temperaturilor echipamentelor frigorifice din șase magazine care aparțin unui singur lanț comercial.
DETALII TEHNICE
Echipamentele vizate:
- Danfoss AK-SC, inclusiv modelul AK-SC 355, retras din fabricație și fără suport de securitate;
- Danfoss AK-SM 800, declarat End of Life (EOL) în anul 2021, pentru care producătorul nu mai furnizează actualizări de securitate;
- Danfoss AK-SM 800A / AK-SM 8xxA, în special dispozitivele care rulează versiuni software vulnerabile, anterioare 4.2 sau 4.3.1, în funcție de vulnerabilitatea analizată;
- Copeland XWEB și Dixell XWEB, familii de sisteme de management al refrigerării.
Prezența unui echipament din familiile enumerate nu reprezintă, în sine, o confirmare a compromiterii. Identificarea versiunii firmware, a configurației și a expunerii în rețea este necesară pentru evaluarea riscului.
NOTĂ: Versiunea afișată pe pagina de autentificare a unei interfețe de management nu trebuie considerată automat versiunea firmware a controllerului.
DESCRIEREA VULNERABILITĂȚILOR
Atacurile raportate presupun obținerea accesului neautorizat la sistemele de control al instalațiilor frigorifice și modificarea parametrilor de funcționare ai acestora.
Unul dintre mecanismele observate constă în activarea neautorizată a ciclurilor de dezghețare. Activarea nejustificată sau prelungită a acestui proces poate întrerupe funcționarea normală a răcirii și poate determina creșteri semnificative ale temperaturii.
În funcție de configurația instalației, compromiterea sistemului de management poate permite inclusiv modificarea valorilor de referință ale temperaturii, intervenții asupra programelor de funcționare sau modificarea configurației alarmelor.
Conform informațiilor publicate de CERT-FR și producătorul echipamentelor, Danfoss, o parte dintre sistemele vizate utilizează versiuni software învechite sau echipamente care nu mai beneficiază de suport și actualizări de securitate (EOL).
În cazul sistemelor Danfoss AK-SM 8xxA au fost documentate următoarele vulnerabilități:
CVE-2025-41450 – vulnerabilitate de autentificare necorespunzătoare (Improper Authentication), cu un scor CVSS de 8.2, care poate permite ocolirea unor mecanisme de autentificare și accesul la informații sensibile. Sunt afectate versiunile software anterioare 4.2.
CVE-2025-41451 – vulnerabilitate de tip OS Command Injection, cu un scor CVSS v4.0 de 8.7, care poate permite executarea de comenzi la nivelul sistemului de operare, după autentificare. Sunt afectate versiunile software anterioare 4.3.1.
CVE-2025-41452 – vulnerabilitate asociată modificării necorespunzătoare a configurației interfeței web, cu un scor CVSS v4.0 de 6.8, care poate conduce la indisponibilitatea sistemului. Sunt afectate versiunile software anterioare 4.3.1.
Aceste vulnerabilități evidențiază posibilitatea compromiterii sistemelor insuficient actualizate. Cu toate acestea, nu există o confirmare publică potrivit căreia aceste CVE-uri specifice au fost exploatate în toate incidentele raportate în octombrie și noiembrie 2026.
Expunerea directă în Internet, utilizarea credențialelor compromise sau insuficient securizate și absența actualizărilor reprezintă factori care pot facilita accesul neautorizat.
RECOMANDĂRI GENERALE
Pentru echipamentele care nu au fost compromise:
- Restricționarea accesului din Internet a echipamentelor, precum și a oricărui echipament accesibil printr-o adresă IP publică. Înainte de întreruperea transmiterii datelor către furnizorii de servicii asociate echipamentelor frigorifice, se recomandă verificarea clauzelor din contractul de asigurare.
- Verificarea integrală a configurației echipamentelor, în special a programelor de dezghețare.
- Verificarea accesului la distanță prin VPN securizat sau printr-o rețea protejată. Ca măsură de urgență, poate fi aplicată filtrarea pe firewall a adreselor IP sursă ale furnizorilor de servicii asociate echipamentelor frigorifice; această măsură trebuie să aibă un caracter temporar (workaround), fiind necesară identificarea și implementarea unei remedieri definitive.
- Aplicarea bunelor practici recomandate de producător, de exemplu, pentru echipamentele Danfoss:
- Actualizarea firmware-ului la cea mai recentă versiune;
- Setarea nivelului de securitate „Strict”;
Verificarea schimbării parolelor implicite.
Pentru echipamentele care au fost compromise:
- Restricționarea accesului din Internet a echipamentelor afectate, precum și a oricărui echipament accesibil printr-o adresă IP publică.
Resetarea echipamentului la setările din fabrică.
- Restabilirea accesului la distanță exclusiv prin VPN securizat sau printr-o rețea protejată (aplicarea regulilor de filtrare a adreselor IP la nivelul echipamentelor de tip firewall, ca măsură temporară de urgență).
- Reconfigurarea echipamentului în vederea repunerii în funcțiune.
Aplicarea bunelor practici recomandate de producător (actualizarea firmware-ului, aplicarea unui nivel de securitate strict, schimbarea parolelor implicite).
Atenție! Resetarea la setările din fabrică poate elimina mecanismele de persistență ale atacatorului, dar nu este suficientă, deoarece un echipament care rămâne expus în Internet poate fi compromis din nou.
CONCLUZII
Repetarea unor incidente similare la numai câteva săptămâni de la atacurile raportate în Franța, precum și semnalarea unor posibile incidente pe teritoriul României, subliniază necesitatea unor măsuri imediate de prevenire, verificare și reducere a expunerii.
DNSC atrage atenția asupra riscurilor majore asociate menținerii în Internet a interfețelor de administrare ale echipamentelor OT, în special în cazul sistemelor învechite, fără suport de securitate sau administrate de la distanță prin conexiuni nesigure.
Impactul acestor atacuri nu se limitează la compromiterea echipamentelor informatice, ci se poate extinde asupra siguranței produselor alimentare, continuității activității economice și funcționării infrastructurilor care depind de controlul permanent al temperaturii.
DNSC recomandă tuturor organizațiilor vizate să trateze aceste amenințări cu prioritate, să verifice inclusiv sistemele administrate de furnizori externi și să implementeze măsuri adecvate de protecție, înainte ca expunerea existentă să conducă la compromiterea infrastructurilor operaționale.
