Specialiștii în securitate cibernetică susțin că metoda folosită seamănă cu cea întâlnită recent în mai multe state europene, inclusiv Belgia, Luxemburg, Suedia, Irlanda și Franța. În aceste cazuri, atacurile au provocat pierderi importante comercianților, după ce cantități mari de produse alimentare au fost compromise.
Comisia Europeană a calificat seria de incidente similare drept „extrem de îngrijorătoare”, în contextul în care astfel de atacuri au început să vizeze tot mai des infrastructuri esențiale pentru activitatea companiilor.
Directoratul Național pentru Securitate Cibernetică (DNSC) a emis o Alertă privind vulnerabilitățile unor instalații frigorifice. Totodată, instituția a dat detalii despre echipamentele vizate, vulnerabilitățile exploatate și a făcut o serie de recomandări de securitate.
CONTEXT
În urma alertei DNSC din 14 octombrie 2026, privind compromiterea unor sisteme de administrare a instalațiilor frigorifice în Franța, la data de 2 noiembrie 2026 a fost raportat un nou val de atacuri cibernetice asupra sistemelor frigorifice din Europa, fiind semnalate incidente în Belgia, Suedia, Țările de Jos, Luxemburg, Irlanda și Estonia. Presa internațională a relatat, de asemenea, incidente sau suspiciuni de compromitere în Finlanda, Danemarca, Italia și Portugalia. La aceeași dată au fost raportate și în România creșteri anormale ale temperaturilor echipamentelor frigorifice din șase magazine care aparțin unui singur lanț comercial.
DETALII TEHNICE
Echipamentele vizate:
- Danfoss AK-SC, inclusiv modelul AK-SC 355, retras din fabricație și fără suport de securitate;
- Danfoss AK-SM 800, declarat End of Life (EOL) în anul 2021, pentru care producătorul nu mai furnizează actualizări de securitate;
- Danfoss AK-SM 800A / AK-SM 8xxA, în special dispozitivele care rulează versiuni software vulnerabile, anterioare 4.2 sau 4.3.1, în funcție de vulnerabilitatea analizată;
- Copeland XWEB și Dixell XWEB, familii de sisteme de management al refrigerării.
Prezența unui echipament din familiile enumerate nu reprezintă, în sine, o confirmare a compromiterii. Identificarea versiunii firmware, a configurației și a expunerii în rețea este necesară pentru evaluarea riscului.
NOTĂ: Versiunea afișată pe pagina de autentificare a unei interfețe de management nu trebuie considerată automat versiunea firmware a controllerului.
DESCRIEREA VULNERABILITĂȚILOR
Atacurile raportate presupun obținerea accesului neautorizat la sistemele de control al instalațiilor frigorifice și modificarea parametrilor de funcționare ai acestora.
Unul dintre mecanismele observate constă în activarea neautorizată a ciclurilor de dezghețare. Activarea nejustificată sau prelungită a acestui proces poate întrerupe funcționarea normală a răcirii și poate determina creșteri semnificative ale temperaturii.
În funcție de configurația instalației, compromiterea sistemului de management poate permite inclusiv modificarea valorilor de referință ale temperaturii, intervenții asupra programelor de funcționare sau modificarea configurației alarmelor.
Conform informațiilor publicate de CERT-FR și producătorul echipamentelor, Danfoss, o parte dintre sistemele vizate utilizează versiuni software învechite sau echipamente care nu mai beneficiază de suport și actualizări de securitate (EOL).
În cazul sistemelor Danfoss AK-SM 8xxA au fost documentate următoarele vulnerabilități:
CVE-2025-41450 – vulnerabilitate de autentificare necorespunzătoare (Improper Authentication), cu un scor CVSS de 8.2, care poate permite ocolirea unor mecanisme de autentificare și accesul la informații sensibile. Sunt afectate versiunile software anterioare 4.2.
CVE-2025-41451 – vulnerabilitate de tip OS Command Injection, cu un scor CVSS v4.0 de 8.7, care poate permite executarea de comenzi la nivelul sistemului de operare, după autentificare. Sunt afectate versiunile software anterioare 4.3.1.
CVE-2025-41452 – vulnerabilitate asociată modificării necorespunzătoare a configurației interfeței web, cu un scor CVSS v4.0 de 6.8, care poate conduce la indisponibilitatea sistemului. Sunt afectate versiunile software anterioare 4.3.1.
Aceste vulnerabilități evidențiază posibilitatea compromiterii sistemelor insuficient actualizate. Cu toate acestea, nu există o confirmare publică potrivit căreia aceste CVE-uri specifice au fost exploatate în toate incidentele raportate în octombrie și noiembrie 2026.
Expunerea directă în Internet, utilizarea credențialelor compromise sau insuficient securizate și absența actualizărilor reprezintă factori care pot facilita accesul neautorizat.
RECOMANDĂRI GENERALE
Pentru echipamentele care nu au fost compromise:
- Restricționarea accesului din Internet a echipamentelor, precum și a oricărui echipament accesibil printr-o adresă IP publică. Înainte de întreruperea transmiterii datelor către furnizorii de servicii asociate echipamentelor frigorifice, se recomandă verificarea clauzelor din contractul de asigurare.
- Verificarea integrală a configurației echipamentelor, în special a programelor de dezghețare.
- Verificarea accesului la distanță prin VPN securizat sau printr-o rețea protejată. Ca măsură de urgență, poate fi aplicată filtrarea pe firewall a adreselor IP sursă ale furnizorilor de servicii asociate echipamentelor frigorifice; această măsură trebuie să aibă un caracter temporar (workaround), fiind necesară identificarea și implementarea unei remedieri definitive.
- Aplicarea bunelor practici recomandate de producător, de exemplu, pentru echipamentele Danfoss:
- Actualizarea firmware-ului la cea mai recentă versiune;
- Setarea nivelului de securitate „Strict”;
- Verificarea schimbării parolelor implicite.
Pentru echipamentele care au fost compromise:
- Restricționarea accesului din Internet a echipamentelor afectate, precum și a oricărui echipament accesibil printr-o adresă IP publică.
- Resetarea echipamentului la setările din fabrică.
- Restabilirea accesului la distanță exclusiv prin VPN securizat sau printr-o rețea protejată (aplicarea regulilor de filtrare a adreselor IP la nivelul echipamentelor de tip firewall, ca măsură temporară de urgență).
- Reconfigurarea echipamentului în vederea repunerii în funcțiune.
- Aplicarea bunelor practici recomandate de producător (actualizarea firmware-ului, aplicarea unui nivel de securitate strict, schimbarea parolelor implicite).
Atenție! Resetarea la setările din fabrică poate elimina mecanismele de persistență ale atacatorului, dar nu este suficientă, deoarece un echipament care rămâne expus în Internet poate fi compromis din nou.
CONCLUZII
Repetarea unor incidente similare la numai câteva săptămâni de la atacurile raportate în Franța, precum și semnalarea unor posibile incidente pe teritoriul României, subliniază necesitatea unor măsuri imediate de prevenire, verificare și reducere a expunerii.
DNSC atrage atenția asupra riscurilor majore asociate menținerii în Internet a interfețelor de administrare ale echipamentelor OT, în special în cazul sistemelor învechite, fără suport de securitate sau administrate de la distanță prin conexiuni nesigure.
Impactul acestor atacuri nu se limitează la compromiterea echipamentelor informatice, ci se poate extinde asupra siguranței produselor alimentare, continuității activității economice și funcționării infrastructurilor care depind de controlul permanent al temperaturii.
DNSC recomandă tuturor organizațiilor vizate să trateze aceste amenințări cu prioritate, să verifice inclusiv sistemele administrate de furnizori externi și să implementeze măsuri adecvate de protecție, înainte ca expunerea existentă să conducă la compromiterea infrastructurilor operaționale.
ALERTĂ INIȚIALĂ, 14.10.2026 | Incident de securitate ce vizează vulnerabilități ale unor instalații frigorifice
DESCRIERE
CERT-FR (Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques), din cadrul Agenției Naționale de Securitate a Sistemelor Informatice din Franța (ANSSI), a emis alerta CERTFR-2026-ALE-012, cu privire la compromiterea unui număr semnificativ de controlere utilizate pentru administrarea și monitorizarea, de la distanță, a unor instalații frigorifice.
Incidentul afectează, în special, sisteme industriale utilizate în supermarketuri, depozite frigorifice și alte infrastructuri care necesită controlul permanent al temperaturii și vizează echipamente ale căror interfețe de administrare sunt expuse direct în Internet, situație ce contravine bunelor practici de securitate. Atacatorii care obțin acces neautorizat la interfețele de administrare pot modifica de la distanță temperatura și programele de dezghețare ale instalațiilor frigorifice, ceea ce poate conduce la alterarea sau compromiterea siguranței produselor alimentare.
Până în prezent, atacurile au afectat cel puțin 350 de supermarketuri din Franța, precum unități aparținând rețelelor Carrefour, Monoprix, Intermarché și Coopérative U. Au fost raportate modificări neautorizate ale parametrilor de temperatură ai echipamentelor frigorifice, în unele cazuri fiind înregistrate valori de până la +50°C, deteriorarea produselor depozitate și incidente soldate cu incendii.
DETALII TEHNICE
Echipamente vizate:
- Copeland xweb
- Danfoss seria AK-SC
- Danfoss seria AK-SM
- Dixell xweb
Notă: alerta CERT-FR nu specifică versiunile afectate și nu include identificatori CVE sau indicatori de compromitere (IoC). În absența unor indicatori tehnici specifici, identificarea eventualelor compromiteri trebuie să se bazeze pe monitorizarea modificărilor neautorizate ale configurațiilor, a activităților administrative suspecte și a comportamentului anormal al instalațiilor.
RECOMANDĂRI GENERALE
Pentru echipamentele care nu au fost compromise:
- Restricționarea accesului din Internet a echipamentelor, precum și a oricărui echipament accesibil printr-o adresă IP publică. Înainte de întreruperea transmiterii datelor către furnizorii de servicii asociate echipamentelor frigorifice, se recomandă verificarea clauzelor din contractul de asigurare.
- Verificarea integrală a configurației echipamentelor, în special a programelor de dezghețare.
- Verificarea accesului la distanță prin VPN securizat sau printr-o rețea protejată. Ca măsură de urgență, poate fi aplicată filtrarea pe firewall a adreselor IP sursă ale furnizorilor de servicii asociate echipamentelor frigorifice; această măsură trebuie să aibă un caracter temporar (workaround), fiind necesară identificarea și implementarea unei remedieri definitive.
- Aplicarea bunelor practici recomandate de producător, de exemplu, pentru echipamentele Danfoss:
- actualizarea firmware-ului la cea mai recentă versiune;
- setarea nivelului de securitate „Strict”;
- verificarea schimbării parolelor implicite.
Pentru echipamentele care au fost compromise:
- Restricționarea accesului din Internet a echipamentelor afectate, precum și a oricărui echipament accesibil printr-o adresă IP publică.
- Resetarea echipamentului la setările din fabrică.
- Restabilirea accesului la distanță exclusiv prin VPN securizat sau printr-o rețea protejată (aplicarea regulilor de filtrare a adreselor IP la nivelul echipamentelor de tip firewall, ca măsură temporară de urgență).
- Reconfigurarea echipamentului în vederea repunerii în funcțiune.
- Aplicarea bunelor practici recomandate de producător (actualizarea firmware-ului, aplicarea unui nivel de securitate strict, schimbarea parolelor implicite).
Atenție! Resetarea la setările din fabrică poate elimina mecanismele de persistență ale atacatorului, dar nu este suficientă, deoarece un echipament care rămâne expus în Internet poate fi compromis din nou.
CONCLUZII
Campaniile active de compromitere a controlerelor instalațiilor frigorifice expuse în Internet reprezintă un risc semnificativ pentru infrastructurile operaționale, putând afecta funcționarea instalațiilor și integritatea lanțului frigorific. Incidentele confirmate în Franța demonstrează că un atac cibernetic asupra echipamentelor OT poate genera consecințe fizice directe, pierderi materiale și întreruperi ale activității comerciale.
Se recomandă identificarea cu prioritate a echipamentelor Danfoss AK-SM/AK-SC, Copeland xweb și Dixell xweb accesibile din Internet, eliminarea expunerii acestora, verificarea configurației și, în cazul unor semne de compromitere, resetarea și reconfigurarea lor, cu restabilirea accesului doar prin canale securizate.
Un echipament ajuns la sfârșitul ciclului de viață (EOL), fără corecții de securitate și expus în Internet, prezintă un risc foarte mare de compromitere. O simplă resetare la setările din fabrică (Factory Reset) nu este suficientă, aceasta eliminând mecanismele de persistență, însă echipamentul rămâne vulnerabil.
Totodată, se impune a fi precizat faptul că în temeiul dispozițiilor Legii nr. 58/2023, art. 5, lit. a) – responsabilitatea asigurării securității cibernetice și/sau apărării cibernetice a unui sistem, a unei rețele și/sau a unui serviciu informatic revine persoanei fizice sau juridice care le deține în proprietate, le organizează, administrează și/sau utilizează.
Pentru mai multe informații și resurse, vă rugăm să vizitați website-ul DNSC.
Sursa: DNSC
