Fransa'da yüzlerce süpermarketin soğutucuları Danfoss sistemleri üzerinden hacklendi

Fransa'da 11 Ekim Pazar gecesinden 12 Ekim Pazartesi sabahına uzanan saatlerde yüzlerce süpermarketin soğutma sistemlerine siber saldırı düzenlendi; mağazalar taze ve dondurulmuş ürünlerini imha etmek zorunda kaldı. BleepingComputer, Lüksemburg merkezli L'essentiel ve İsviçre yayın kuruluşu RTS'nin aktardığına göre saldırı, Danimarkalı üretici Danfoss'un soğutma kontrolcülerini hedef aldı. Paris Savcılığı "büyük çaplı siber saldırı" olarak nitelendirdiği olayla ilgili soruşturma başlattı.

Neler oldu?

L'essentiel, dosyaya yakın bir kaynağa dayanarak Danfoss'un soğutma kontrol sistemlerinin hedef alındığını yazdı. BleepingComputer ve L'essentiel'in aktardığı Fransız kanalı BFMTV'ye göre saldırganlar, eski Danfoss yazılımı çalıştıran kontrolcüleri ele geçirerek buzdolapları, dondurucular ve soğuk odalardaki yerleşik buz çözme işlevini uzaktan tetikledi ve sıcaklıkların yükselmesine yol açtı. Saldırganların sisteme nasıl eriştiği açıklanmadı; olayı üstlenen bir grup da yok.

L'essentiel'in AFP'ye dayandırdığı bilgilere göre zincirler etkilenen mağaza sayısını şöyle doğruladı: en az 300 Intermarché ve Netto, yüzden az Coopérative U, 30 civarında Monoprix ve "birkaç" E.Leclerc mağazası. Sektöre yönelik bir yayın Carrefour Market'in de etkilendiğini bildirdi, ancak bu resmî olarak doğrulanmadı. L'essentiel'e göre herhangi bir veri çalınmadı.

Coopérative U'nun CEO'su Dominique Schelcher, X'te saldırıyı "son derece ciddi" ve benzeri görülmemiş olarak nitelendirdi ve ekiplerinin soğutma teknisyenleriyle çalıştığını söyledi. Intermarché, etkilenen mağazaların taze ve dondurulmuş ürünleri atmak zorunda kaldığını ve sigortaların bu tür olayları kapsamadığını belirtti. E.Leclerc ise soğutma ekipmanı tedarikçilerinden birinin siber saldırıya uğradığını doğruladı. BleepingComputer'a göre AB Tarım Komiseri Christophe Hansen de saldırıyı kınadı.

Teknik detaylar

L'essentiel'in aktardığına göre Danfoss, etkilenen cihazların çoğunun kullanım ömrünü doldurmuş ve artık yazılım ya da güvenlik güncellemesi almayan eski ürünler olduğunu açıkladı. Şirketin saydığı modeller arasında AK-SM800 ve AK-SC355 sistem yöneticileri ile güncel olmayan ürün yazılımı çalıştıran AK-SM800A cihazları var. RTS'ye göre Fransa'nın ulusal siber güvenlik ajansı ANSSI, "Danimarkalı bir şirketin sağladığı yazılımda bir açık" tespit etti, üreticiyle temasa geçti ve risk altındaki diğer Fransız şirketlerini uyarmak için Avrupalı muadilleriyle çalışıyor.

BleepingComputer, CISA'nın Mayıs 2025'te Danfoss AK-SM 8xxA serisindeki yüksek önemde kimlik doğrulama atlatma açığı CVE-2025-41450 için yayımladığı uyarıyı hatırlatıyor; ancak bu açığın saldırıda kullanıldığına dair bir doğrulama olmadığının altını çiziyor. RTS ise Danfoss'un 18 Eylül'de saldırganlara iç değerlere okuma ve yazma erişimi sağlayan bir açığı duyurduğunu aktarıyor.

Ne yapmalı?

Paris Savcılığı dosyayı, mağdurları tespit etmek ve saldırıyı bildirilen gıda kayıpları ile yangın başlangıçlarıyla ilişkilendirmek üzere Fransız siber suçlarla mücadele birimine verdi. Soğutma ve bina yönetim sistemi işleten kurumlar için olay ciddi bir uyarı niteliğinde:

• Soğutma kontrolcülerini ve sistem yöneticilerini doğrudan internete açık bırakmayın; VPN veya ayrılmış ağ bölümlerinin arkasına alın.
• Kullanım ömrünü doldurmuş Danfoss AK-SM800 ve AK-SC355 cihazlarını tespit edip değişimini planlayın; desteklenen modellerde en güncel ürün yazılımını kurun.
• Varsayılan parolaları değiştirin, uzaktan erişimi bakım firmalarıyla sınırlayın ve beklenmedik sıcaklık ayarı veya buz çözme değişikliklerini izleyin.