Danfoss hűtésvezérlő: riasztott az NBSZ NKI, mit tegyen a KKV?

Az NBSZ Nemzeti Kiberbiztonsági Intézete (NKI) 2026. november 9-én riasztást adott ki. A tárgy: Danfoss AK-SM és AK-SC típusú hűtésfelügyeleti rendszerek. Az NKI a francia nemzeti kiberbiztonsági incidenskezelő központ, a CERT-FR október 12-i riasztására hivatkozik.

A riasztás szövegét és az NKI november 6-i hírét olvastam. Üzemet és vezérlőt nem teszteltem, támadókódot nem futtattam.

Mit írt az NKI a francia esetekről?

Az NKI szerint a CERT-FR számos Danfoss AK-SM és AK-SC rendszer kompromittálódásáról számolt be. A támadók távolról módosították a leolvasztási beállításokat. Hűtött és fagyasztott áru romlott meg.

Az NKI az International Cyber Digest október 13-i jelentésére hivatkozik. Eszerint a Shodan 4980 internet felől elérhető, Danfossra utaló webes tartalmat megjelenítő rendszert talált. Az NKI szövege szerint a keresés nem igazolja, hogy minden azonosított rendszer sérülékeny vagy kompromittált.

A Danfoss az NKI szerint azt közölte: az érintett rendszerek elavult firmware-t használtak. A gyártó a támogatott eszközök frissítését, a nem támogatott rendszerek cseréjét javasolja.

Milyen CVE-ket nevez meg az NKI?

Az NKI a Claroty Team82 kutatására hivatkozik. Három CVE szerepel a riasztásban:

Az NKI szövege szerint a feltárt sérülékenységek lehetséges támadási útvonalak. Nem bizonyított, hogy a francia támadásokban ezeket használták ki.

A francia vérellátó esete

Az NKI november 6-i híre a francia Nemzeti Vérellátó Szolgálatról (Établissement français du sang, EFS) ír. Az EFS november 3-i nyilatkozata szerint november 2-án három létesítményben módosultak a hőmérsékleti beállítások. A közlés szerint a vérkészítmények nem vesztek kárba, a plazmát biztonságosan áthelyezték. Egészségügyi kockázat nem merült fel.

Az NKI szerint a Coolworld Rentals megerősítette: incidens érte az egyik távfelügyeleti szoftverét. A cég szerint harmadik fél komponensének sebezhetőségét használták ki. Az EFS a beszállítót nem nevezte meg.

Ez a hír nem állítja, hogy ugyanaz a Danfoss-CVE lánc volt a vérellátónál. A közös pont: a hűtésvezérlés távoli elérése.

Mit ellenőrizzen a KKV?

Az NKI javasolt intézkedései a riasztásban:

1. szüntesse meg a hűtésfelügyelet közvetlen internetes elérését,
2. korlátozza a hálózati hozzáférést a szükséges szolgáltatókra,
3. ellenőrizze a firmware-t, telepítse a gyártói javítást,
4. tervezze a nem támogatott eszközök cseréjét,
5. különítse el a vezérlőhálózatot az üzleti hálózattól,
6. alakítsa biztonságosan a távoli hozzáférést,
7. ellenőrizze a felhasználói fiókokat és a hitelesítő adatokat,
8. figyelje a hűtési beállításokat, a riasztásokat és a konfigurációmódosításokat.

Kompromittálódás gyanújánál az NKI a CERT-FR ajánlását közli: hálózati hozzáférés korlátozása, gyári állapot, frissítés, jelszócserék, fiókellenőrzés, teljes újrakonfigurálás.

A Loop IT–OT cikke ugyanezt az irányt írja le. A tervezett frissítés, a szűk távoli elérés és a szegmentálás ott is megjelenik.

✦ Tipp: kérdezze meg a hűtőszervizest vagy a raktárvezetőt. Van-e Danfoss AK-SM vagy AK-SC a telephelyen? Látszik-e a vezérlő a nyilvános interneten? Mikor volt az utolsó firmware-frissítés?

Hol jön képbe a NIS2?

Nem minden bolt, étterem vagy raktár esik a magyar kiberbiztonsági törvény hatálya alá. A 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (Kibertv.) a mellékletek szerinti tevékenységet és a méretküszöböt nézi. Az IT–OT cikkünk ezt részletezi.

Ha a szervezet a törvény hatálya alá tartozik, a vezető a kockázatkezelésért és az incidensbejelentésért felel. A NIS2 23. cikk (4) bekezdése szerint a határidők: 24 óra, 72 óra, majd az eseménybejelentés után egy hónap. A magyar 418/2024. (XII. 23.) Korm. rendelet 77. § (1) bekezdése ugyanezt írja elő. A Danfoss-riasztás önmagában nem dönti el a besorolást. A riasztás azt mutatja: a hűtésvezérlés is OT-kockázat.

Ördög ügyvédje

A 4980-as szám egy Shodan-keresésből származik, amelyet az NKI egy jelentésből idéz. Az NKI maga mondja: nem mind sérülékeny. A CVE-k és a francia áruromlás közötti ok-okozat az NKI szerint nincs bizonyítva.

A vérellátós eset más beszállítói láncot is érinthet. A Coolworld-közlés harmadik fél komponenséről beszél. A Danfoss-címke ezért nem ragasztható rá automatikusan.

Saját mérésem nincs. A teendőlista az NKI szövegéből jön.

Gyakori kérdések

Mi az NBSZ NKI?

A Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézete. A riasztást 2026. november 9-én adta ki.

Minden interneten látszó Danfoss sérülékeny?

Nem. Az NKI szerint a Shodan 4980 találata nem igazolja a sérülékenységet vagy a kompromittálódást.

Melyik firmware a biztonságos?

Az NKI szerint a CVE-2025-41450-et az R4.2 javította. A CVE-2025-41451 és a CVE-2025-41452 az R4.3.1 előtti verziókat érinti. A gyártói tábla a döntő.

Kapcsolódik a vérellátós eset a Danfoss-CVE-khez?

Az NKI november 6-i híre nem állítja ezt. A közös pont a hűtésvezérlés távoli elérése.

Mit tegyen először?

Vegye le a vezérlőt a nyilvános internetről. Ellenőrizze a firmware-t. Nézze meg, ki fér hozzá távolról. Ez az NKI listájának eleje.

Ez a cikk általános tájékoztatás, nem minősül jogi vagy informatikai biztonsági tanácsadásnak. Technikai támadási eljárást szándékosan nem közöl.

AI-közreműködés: AI-asszisztált váz és szerkesztés, lektori javítások átvezetése (Newsroom, 2026. november 9.). A hero kép AI-jal készült (Midjourney v8, 2026. november 9., Róbert). Loop Magazin, 2026.