Хакеры, которые весь октябрь устраивали «готовку» в супермаркетах по всей Франции, переключились на нечто гораздо более серьёзное: морозильники для плазмы крови.
В ночь с 1 на 2 ноября злоумышленники проникли в оборудование компании Coolworld, обслуживающей французскую национальную службу крови EFS, и настроили морозильники, которые обычно поддерживают температуру около −30 °C, на нагрев до 110 °C.
Еженедельное издание Le Canard enchaîné, публикующее журналистские расследования, сообщило о нападении 3 ноября.
Главное
Хакеры изменили настройки морозильников для плазмы крови на востоке Франции: вместо примерно −30 °C они должны были нагреться до 110 °C. Дежурный техник заметил это до того, как плазма успела разморозиться.
Это третья волна за месяц — после атак примерно на 700 французских супермаркетов 11–12 октября и магазины как минимум в девяти европейских странах 2 ноября.
Ни одна группа не взяла на себя ответственность за атаки, не потребовала денег и не украла данные, что нехарактерно для обычной киберпреступности.
Убытки супермаркетов уже исчисляются миллионами евро. Успешная атака на запасы крови обошлась бы намного дороже, поскольку Франция уже импортирует большую часть необходимой ей плазмы.
Что произошло с морозильниками для плазмы
Дежурный техник заметил повышение температуры ночью с воскресенья на понедельник. Злоумышленники изменили целевую температуру — ту, до которой стремится контроллер, — примерно с −30 °C до 110 °C. Морозильники не успели нагреться до этой отметки: изменение вовремя обнаружили и отменили.
Здесь важно время. Свежезамороженная плазма должна храниться при температуре −25 °C или ниже, поэтому даже нескольких часов нагревания может хватить, чтобы партия стала непригодной для пациентов.
Сначала EFS сообщила, что в затронутых морозильниках хранились образцы донорской крови для проверок безопасности. Позже организация рассказала изданию Canard, что пострадала и замороженная плазма, предназначенная для переливания. Известные на данный момент объекты находятся в регионе Бургундия — Франш-Конте. Министерство здравоохранения Франции заявило, что инцидент не повлиял на работу служб; сообщений об уничтожении плазмы не поступало.
Не сообщается, сколько объектов пострадало, как долго злоумышленники имели доступ и каким образом они проникли в системы.
Месяц атак на всё, что связано с холодом
Атака на плазму не возникла на пустом месте. Это последняя в серии атак, которые следуют одному сценарию: проникнуть в подключённый к интернету контроллер холодильного оборудования, а затем переключить его с охлаждения на нагрев.
ДатаЦельМестоМасштабУщерб11–12 октябряхолодильники и морозильники супермаркетовФранцияоколо 700 магазиновИспорченные продукты, в некоторых холодильниках возник пожар1–2 ноябряМорозильники для плазмы крови через CoolworldФранцияНе раскрываетсяАтаку вовремя обнаружили, о потерях не сообщалось2 ноябряСупермаркеты, мясные лавки, один магазин IKEAБельгия, Нидерланды, Швеция, Ирландия, Люксембург, Эстония, Финляндия, Португалия, ИталияДесятки магазиновПродукты изъяли из продажи или выбросили
Три волны атак на холодильное оборудование за один месяц. Источники: правительство Франции, CERT-FR, Le Canard enchaîné, заявления торговых сетей.
После первой волны министр финансов Франции сообщил парламенту, что пострадали примерно 700 из 10 000 супермаркетов страны. Утром магазины сетей Intermarché, Netto, Coopérative U, Carrefour, Monoprix и E.Leclerc обнаружили, что температура в холодильниках поднялась примерно до 50 °C.
Вторая волна 2 ноября затронула, в частности, сети Delhaize и Carrefour в Бельгии, SuperValu в Ирландии, ICA и Coop в Швеции, а также магазин IKEA в Монсе. В ту же ночь атаковали и морозильники с плазмой.
Как хакеры проникают внутрь
Французская группа реагирования на киберинциденты выпустила предупреждение, в котором назвала дистанционные контроллеры производства Danfoss, а также системы мониторинга, продаваемые Copeland и её брендом Dixell. Она предупредила, что кампания, вероятно, всё ещё продолжается.
Уязвимости элементарны. Многие контроллеры напрямую подключены к интернету и имеют страницу входа, которую может найти любой желающий; некоторые до сих пор используют пароли по умолчанию или слабые пароли. Обновления для двух моделей Danfoss, фигурирующих в инцидентах, перестали выпускать много лет назад: для одной — в 2016 году, для другой — в 2021-м. В Danfoss заявили, что большинство затронутых систем были устаревшими устройствами, которые клиенты не обновили.
Глава французского агентства по кибербезопасности ANSSI Венсан Струбель заявил на слушаниях в Сенате 21 октября, что атаки на супермаркеты использовали элементарные уязвимости: оборудование, доступное через интернет, и слабые пароли. По его словам, рекомендации агентства выполняют не всегда. Он также предупредил, что такое же оборудование используется в сфере здравоохранения — от исследовательских лабораторий до аптек, где хранятся вакцины. Одиннадцать дней спустя атаке подверглись морозильники с плазмой.
Не подтверждено, что оборудование Coolworld использует модели, названные в предупреждении.
Кто за этим стоит и чего они добиваются?
Точно никто не знает. Ни одна группа не взяла на себя ответственность за атаки, а прокуратуры Парижа и Брюсселя не назвали подозреваемых. Центр кибербезопасности Бельгии заявил, что виновных, возможно, так и не удастся установить. Но сами атаки дают подсказки и позволяют исключить некоторые версии.
Это не похоже на атаку с использованием программ-вымогателей
Группировки, использующие программы-вымогатели, хотят денег. Они блокируют системы или крадут данные, а затем выдвигают требования. Здесь не было ни записки с требованием выкупа, ни публикации на сайте утечек, ни сообщений о краже данных во время любой из трёх волн. Атаки уничтожают товары и прекращаются, не оставляя очевидного способа нажиться.
Версия 1: малоопытные хакеры, жаждущие внимания
Для такого метода почти не нужны навыки. Устройства можно обнаружить с помощью общедоступных интернет-сканеров, а сведения об уязвимостях старых контроллеров Danfoss опубликовали в 2025 году. Кен Манро из компании по кибербезопасности Pen Test Partners предположил, что виновниками могут быть просто дети, которые развлекаются. Струбель сообщил сенаторам, что его агентство всё чаще сталкивается с молодыми французскими злоумышленниками, движимыми стремлением к известности, а не деньгами, хотя он не связывал эту тенденцию с данными атаками.
Читайте также: подразделение Fujitsu 1Finity заявило, что ИИ может работать и на телефонных вышках. Версия 2: преднамеренный саботаж поставок
Такой сценарий уже труднее объяснить розыгрышами. Все три волны произошли ночью с воскресенья на понедельник, когда магазины и лаборатории пустуют и за температурой никто не следит. Каждая волна за одну ночь затронула множество объектов, а вторая распространилась как минимум на девять стран. Цели переместились от продуктов питания к цепочке поставок медицинской продукции.
Это согласуется с действиями того, кто хочет нанести как можно больший ущерб и показать, что может добраться до запасов, от которых зависят люди. Комиссар ЕС по сельскому хозяйству Кристоф Хансен назвал атаки преднамеренной попыткой нарушить поставки продовольствия в Европу и подорвать доверие потребителей. Франция находится в состоянии повышенной готовности из-за российских «гибридных» атак на критическую инфраструктуру, но ни одно правительство не обвинило Россию, Иран или кого-либо ещё в этих инцидентах.
Версия 3: пробный запуск
Согласно третьей версии, это разведывательная операция. Атакующий мог бы взломать тысячи контроллеров, наблюдать, как быстро компании реагируют, а затем переключиться на более важные цели, чтобы выявить слабые места перед более масштабной операцией. Это предположение Fathom, а не установленный факт, и никаких открытых доказательств этому нет. Однако переход от супермаркетов к плазме крови всего за три недели — именно та эскалация, которая тревожит специалистов по безопасности.
Вывод Fathom: кто бы за этим ни стоял, атаки направлены на то, чтобы нарушить работу систем, а не получить прибыль. И список целей становится всё опаснее.
Каких убытков ждать, если это продолжится?
Супермаркеты: убытки уже исчисляются миллионами евро
Официальной общенациональной оценки пока нет, но данные по отдельным магазинам быстро складываются в крупные суммы. Один магазин Intermarché в Агно сообщил об убытках примерно в 50 000 евро, а магазин Super U в Васелонне — примерно в 220 000 евро. Материнская группа Intermarché, Les Mousquetaires, ожидает убытков на несколько миллионов евро примерно в 300 затронутых магазинах. В Бельгии один мясник оценил стоимость испорченного мяса после ноябрьской волны в 15 000 евро.
Помимо испорченных запасов, придётся оплатить уборку, пополнение запасов, устранение повреждений от пожара и спринклерных систем, а также замену контроллеров, для которых больше нельзя установить исправления.
Запасы крови: заменить их гораздо сложнее
Потеря плазмы — совсем другое дело. Её получают от добровольцев, поэтому восполнить запасы покупкой с полки невозможно. Согласно запросу, поданному в парламент, в 2024 году Франция собрала лишь около 35% плазмы, необходимой для производства препаратов из плазмы, а остальное импортирует, главным образом из США. Спрос на такие препараты ежегодно растёт примерно на 8%.
Даже примерные расчёты показывают крупные суммы. EFS продаёт плазму для производства лекарств по регулируемой цене 140 евро за литр, а правительство намерено к 2028 году собирать 1,4 миллиона литров в год. Успешная атака на региональный запас уничтожила бы пожертвования за несколько недель и вынудила бы увеличить импорт — в то время, когда Франция пытается его сократить.
Плазму для переливания используют при кровотечениях во время операций, травм и родов. Если запасы иссякнут, цена будет измеряться отложенными операциями и риском для пациентов, а не только евро.
Следующими могут стать вакцины и лаборатории
Предупреждение Струбеля касалось исследовательских лабораторий и аптек, где хранятся вакцины. Многие из них используют такие же подключённые к сети системы охлаждения, как супермаркеты. Пока каждую волну удавалось обнаружить или локализовать за несколько часов, но лишь потому, что сотрудники вовремя замечали проблему. Очевидно, что злоумышленники выбирают ночное время, когда никто не следит за происходящим.
Что будет дальше
В Париже и Брюсселе ведутся расследования. CERT-FR рекомендовала операторам отключить контроллеры от открытого интернета, сменить пароли по умолчанию, использовать безопасный удалённый доступ и проверить расписания размораживания. Также она предупредила, что одного сброса к заводским настройкам недостаточно для устройств, срок эксплуатации которых истёк.
Для больниц и банков крови дело Coolworld преподало простой урок. Морозильники теперь входят в число потенциальных целей для атак, а техник, который следит за показаниями в три часа ночи, может оказаться последним рубежом обороны.
Часто задаваемые вопросы
Что произошло с морозильниками для плазмы крови во Франции?
В ночь с 1 на 2 ноября хакеры изменили настройки морозильников, используемых EFS и обслуживаемых компанией Coolworld: вместо примерно −30 °C установили 110 °C. Техник заметил рост температуры; о потерях не сообщалось.
Кто стоит за кибератаками на холодильное оборудование?
Никто не взял на себя ответственность, подозреваемые не названы. Эксперты расходятся во мнениях: это могли быть малоопытные хакеры, желающие привлечь внимание, или те, кто намеренно саботировал поставки.
Связаны ли атаки на супермаркеты и плазму?
В них использовался один и тот же метод, и они произошли в рамках одной волны атак, но следователи не подтвердили, что за ними стоят одни и те же люди.
Читайте далее: фиктивное собеседование помогло хакерам проникнуть в Binance и совершить взлом на 6,34 млрд долларов