Október 11-ről 12-re, vasárnapról hétfőre virradó éjjel több francia élelmiszerlánc boltjaiban a hűtők és fagyasztók melegíteni kezdtek. A párizsi ügyészség közlése szerint a nagyszabású támadás „több nagy élelmiszer-kiskereskedő hálózatba kötött hűtőit” érintette, élelmiszer-veszteséggel és tüzekkel. A francia hatóságok riasztása a dán Danfoss hűtésvezérlőire vonatkozik; hogy a támadók pontosan hogyan jutottak be, az még nem ismert.
Mi történt, és mi igazolt belőle?
Az Intermarché-t birtokló Les Mousquetaires csoport a Reuters szerint azt közölte, hogy a hűtőket és fagyasztókat legfeljebb 50 fokra fűtötték, hat órán át. A szakmai Cooling Post szerint a rendszereket folyamatos leolvasztási ciklusba kényszerítették.
Az érintett láncok az AFP-nek, a Reutersnek és az RTL-nek maguk adták meg, hány boltjukat érte a támadás. A The Hacker News összesítése szerint:
| Lánc | Érintett boltok a lánc közlése szerint |
|---|---|
| Intermarché és Netto (Les Mousquetaires) | az AFP szerint legalább 300 a két márkánál, a Reuters szerint körülbelül 150 |
| Carrefour | 80 |
| Coopérative U | 80, a 2000 boltjából |
| Monoprix | körülbelül 30 |
| E.Leclerc | több bolt |
A számok nem adhatók össze pontos végösszeggé, mert a források eltérnek. A Cooling Post a beszámolók alapján nagyjából 500 boltot említ, de hozzáteszi, hogy a pontos szám nem ismert. Az érintettség nem mindenhol jelentett árukiesést: a Coopérative U vezetője, Dominique Schelcher az RTL-nek azt mondta, hogy az érintett boltjaik többségében a hűtési lánc kitartott. Az Intermarché szerint viszont az érintett boltokban minden érintett terméket ki kellett dobni.
A Les Mousquetaires vezetője, Thierry Cotillard a BFMTV-nek a Reuters szerint országosan több tízmillió eurós veszteséget vár. Ez egy érintett vállalatvezető becslése, független kárfelmérés még nincs.
A párizsi ügyészség hivatalból nyomozást indított, amelyet a kiberbűnözés elleni hivatal (OFAC) folytat.
Mit tudunk a Danfoss-vezérlőkről?
A francia kormányzati CERT-FR, amely az ANSSI része, október 12-én CERTFR-2026-ALE-012 számon riasztást adott ki. Eszerint „számos kompromittálásról” tud a Danfoss AK-SM és AK-SC sorozatánál. A riasztás szerint a kezelőfelület internetes elérhetősége ellentétes a jó gyakorlattal, és az eszközök leválasztását vagy a hozzáférés szűrését írja elő.
A Danfoss a Cooling Postnak azt nyilatkozta, hogy az érintett egységek többsége régi termék volt, vagy jelenlegi termék elavult firmware-rel:
- az AK-SM 800-at 2021-ben nyilvánította életciklusa végére értnek;
- az AK-SC 355-öt 2016-ban vezette ki;
- ezek egyike sem kap már szoftver- vagy biztonsági frissítést;
- az érintett, jelenleg is forgalmazott AK-SM 800A egységeken elavult firmware futott.
A behatolás módja nem igazolt. Október 13-ig sem a CERT-FR, sem a Danfoss nem nevezett meg sebezhetőséget, CVE-számot vagy behatolási útvonalat, és a CERT-FR kompromittálási jeleket (IoC) sem közölt. A francia miniszterelnök környezetéből egy forrás az AFP-nek és a Reutersnek azt mondta, hogy az ANSSI sebezhetőséget azonosított a Danfoss szoftverében, de nem mondta meg, melyiket, és azt sem, hogy a támadók ezt használták-e ki. Azt sem tudni, ki állt a támadás mögött.
A Danfoss 2025-ben három hibát javított az AK-SM 8xxA sorozatban. Saját biztonsági közleményei és az amerikai CISA ICSA-25-140-03 tájékoztatója szerint:
- a CVE-2025-41450 hitelesítés megkerülését teszi lehetővé a 4.2 előtti verziókban;
- a CVE-2025-41451 (parancsinjektálás) és a CVE-2025-41452 bejelentkezés után használható ki, ezeket a 4.3.1-es verzió javítja.
Ezeket a hibákat sem a francia hatóságok, sem a Danfoss nem hozta összefüggésbe a mostani támadással. A Claroty Team82 kutatói, akik a hibákat felfedezték, 2025 augusztusában 2765 internetről elérhető AK-SM 800A kezelőfelületet találtak. Hogy ezek közül mennyit frissítettek azóta, nem tudni.
Csak Franciaországot érintette?
Félix Aimé, a francia Sekoia kiberbiztonsági cég elemzője a Reutersnek azt mondta, hogy Spanyolország, Portugália, Lengyelország, Németország és Belgium is érintett. A Sekoia saját publikációját erről nem találtuk, a Reuters részleteket nem közölt, és kormányzati forrás ezt október 13-ig nem erősítette meg. A francia miniszterelnök környezete szerint az ANSSI egyeztet az európai partnerhatóságokkal, mert más országok is érintettek lehetnek.
A holland Ahold Delhaize ugyanezekben a napokban saját „biztonsági problémáról” számolt be, és rendszereket kapcsolt le. A Reuters szerint nem világos, hogy ennek van-e köze a francia támadáshoz. Magyar érintettségről nincs hír.
Miért szól ez egy magyar KKV-nak is?
A francia boltok nagy része nem közvetlenül a Danfosstól vásárolt. Schelcher szerint a Coopérative U boltjai hűtéstechnikai vállalkozók ügyfelei, akik a Danfoss-rendszert telepítik és üzemeltetik. Ez a felállás Magyarországon is gyakori: a hűtést, a klímát, a fűtést, a napelemes invertert vagy a gyártósori vezérlőt a szervizcég telepíti, és sokszor távolról is eléri.
Szerintünk itt van a lényeg. A támadás nem az irodai informatikát érte, hanem egy olyan eszközt, amelyről a cégvezetés gyakran azt sem tudja, hogy az interneten látszik. A kár mégis közvetlenül fizikai és pénzügyi lett.
A Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (Kibertv.) az elektronikus információs rendszer fogalmába kifejezetten beleérti a kiber-fizikai rendszereket is [4. § 24. b) pont]. A törvény hatálya alá tartozó szervezet vezetője a 6. § (5) bekezdés d) pontja szerint köteles gondoskodni arról, hogy ha közreműködőt vesz igénybe a rendszer üzemeltetéséhez vagy karbantartásához, a szükséges kiberbiztonsági követelmények szerződéses kötelemként teljesüljenek. Ez a kötelezettség csak a törvény hatálya alá tartozó szervezetekre vonatkozik, vagyis jellemzően a 2. és 3. mellékletben felsorolt ágazatokban működő, legalább középvállalkozás méretű cégekre [1. § (1) d) pont]. Hogy egy adott élelmiszer-kereskedő vagy gyártó a hatály alá esik-e, azt a cégnek saját magának kell megvizsgálnia; ebben a cikkben ezt nem döntjük el.
Mit tehet most?
Az alábbi lépések a CERT-FR riasztásából és a Danfoss közléséből következnek, de bármely távolról kezelt vezérlőre alkalmazhatók.
- Kérdezze meg a hűtés-, klíma-, épületgépészeti és gyártástechnikai szervizpartnereit, van-e Önnél távolról elérhető vezérlő, milyen típusú, és milyen firmware fut rajta.
- Ha a kezelőfelület közvetlenül elérhető az internetről, a CERT-FR szerint le kell választani, vagy a hozzáférést szigorúan szűrni kell. Átmeneti első lépésként a riasztás a megbízható IP-címekre korlátozást említi.
- A már nem támogatott típusokra (a Danfoss esetében az AK-SM 800 és az AK-SC 355) nem jön több javítás. Kérjen cseretervet és határidőt.
- A támogatott eszközökön kérje a legfrissebb firmware telepítését. Az AK-SM 800A esetében a fenti CVE-k javítása a 4.2-es, illetve a 4.3.1-es verzióban érkezett.
- Kompromittálás gyanújánál a CERT-FR riasztása hat lépést sorol fel ebben a sorrendben: a hálózati hozzáférés szűkítése csak a szolgáltatókra, gyári visszaállítás, az elérhető javítások telepítése, a jelszavak és más titkok cseréje, a meglévő fiókok ellenőrzése, végül a teljes újrakonfigurálás.
- Rögzítse a szervizszerződésben, ki és hogyan érheti el távolról az eszközt, milyen jelszókezelés és frissítési rend kötelező, és mennyi időn belül kell jelezni egy incidenst. A Kibertv. hatálya alá tartozó cégnél ez a 6. § (5) d) pont szerint kötelező is.
Gyakori kérdések
Csak a Danfoss-vezérlők érintettek?
A hatósági riasztás csak a Danfoss AK-SM és AK-SC sorozatról szól. A kockázat ennél általánosabb: bármely gyártó interneten elérhető, elavult vezérlője hasonló kockázatot jelent.
Tudjuk már, milyen hibán át jutottak be?
Nem. Október 13-ig sem a CERT-FR, sem a Danfoss nem nevezett meg sebezhetőséget vagy behatolási útvonalat.
Mekkora volt a kár?
A pontos kár nem ismert. A legmagasabb nyilvános becslés a Les Mousquetaires vezetőjétől származik: országosan több tízmillió euró. Ez egy érintett cég becslése.
Érintett-e Magyarország?
Erről nincs hír. A Sekoia elemzője öt további uniós országot említett, Magyarországot nem, és ezt hivatalos forrás még nem erősítette meg.
Nálunk nincs saját informatikusunk. Kitől kérdezzek?
Attól a szervizcégtől, amely a hűtést, klímát vagy gépet telepítette és karbantartja. Ő tudja, van-e távoli hozzáférés, és hogyan van beállítva.
Kérjen írásos választ a szervizcégtől még ezen a héten
Ha a cégénél bármely hűtés-, klíma-, fűtés- vagy gyártásvezérlőt külső szerviz kezel távolról, a héten kérjen tőle írásos választ három kérdésre: elérhető-e az eszköz kezelőfelülete közvetlenül az internetről, kap-e még a típus biztonsági frissítést, és mikor frissítették utoljára.
Ha a válasz nem megnyugtató, zárassa le a hozzáférést
Ha az első kérdésre igen a válasz, vagy a másik kettőre nem tud megnyugtatót mondani, kérje a felület azonnali leválasztását vagy IP-szűrését, és egy dátummal ellátott csere- vagy frissítési tervet.
- 2024. évi LXIX. törvény (Kibertv.), Nemzeti Jogszabálytár: 1. § (1) d), 4. § 24. b), 6. § (5) d)
