Fransa'daki süpermarket soğutucu saldırısı Copeland ve Dixell kontrolcülerine yayıldı

Fransa'da süpermarketlerin soğutma sistemlerini bozan siber saldırı, Danfoss cihazlarının ötesine geçti. Fransa'nın ulusal siber güvenlik ajansı ANSSI'ye bağlı CERT-FR, 13 Ekim'de güncellediği uyarıda hedef alınan cihazlar listesine Copeland XWEB ve Dixell XWEB kontrolcülerini de ekledi. Uyarıya ve SecurityWeek'in haberine göre etkilenen mağaza sayısı da yaklaşık 700'e yükseldi. Bu da olayı, bu yıl Avrupa perakende sektöründe operasyonel teknolojiye (OT) yönelik en yıkıcı saldırılardan biri hâline getiriyor.

Neler oldu?

CERT-FR, 12 Ekim'de soğutma tesislerinin uzaktan kontrolcülerinde, özellikle Danfoss AK-SM ve AK-SC serilerinde çok sayıda ele geçirme vakası olduğu konusunda uyarmıştı. CERTFR-2026-ALE-012 uyarısının 13 Ekim tarihli güncellemesi Copeland xweb ve Dixell xweb ekipmanlarını da kapsama aldı. SecurityWeek'in aktardığına göre Copeland önce bulguları doğrulamaktan kaçındı, ardından bir güvenlik açığı bulunduğunu kabul ederek etkilenen müşterilerle birlikte riski azaltmak için çalıştığını söyledi.

SecurityWeek'e göre Maliye Bakanı Roland Lescure milletvekillerine, Fransa'daki yaklaşık 10 bin süpermarketten 700 kadarının etkilendiğini söyledi. İlk tahminler 300 ile 350 arasındaydı. Etkilendiği doğrulanan zincirler arasında Carrefour, Coopérative U, E.Leclerc, Intermarché ve Monoprix bulunuyor. Intermarché yaklaşık 150 mağazasının etkilendiğini ve bu mağazalardaki tüm gıdanın imha edildiğini, Carrefour ise 80 mağazasının etkilendiğini açıkladı. Paris savcılığının siber suçlar birimi soruşturma başlattı.

Teknik detaylar

CERT-FR, saldırıları belirli bir açıkla ilişkilendirmedi ve saldırı yöntemini açıklamadı. SecurityWeek'in aktardığı Le Monde haberine göre saldırganlar buz çözme (defrost) döngülerini bir saatten sekiz saate kadar uzatarak alarmların gecikmesine yol açtı. Danfoss, etkilenen cihazların çoğunun artık yama almayan, kullanım ömrü dolmuş eski AK-SM 800 ve AK-SC 355 sistemleri olduğunu, ancak güncel olmayan yazılım çalıştıran bazı AK-SM 800A cihazlarının da etkilendiğini belirtti.

SecurityWeek'in aktardığı Censys verilerine göre 11 Ekim'de internete açık yaklaşık 3 bin Danfoss StoreView paneli vardı ve bunların 1.800'den fazlası Fransa'daydı. 14 Ekim'e gelindiğinde Fransa'daki sayı 537'ye düştü. Censys, işletmecilerin cihazları güncellemek yerine bağlantılarını kestiğini değerlendiriyor. Sekoia araştırmacısı Félix Aimé Reuters'a İspanya, Portekiz, Polonya, Almanya ve Belçika'daki mağazaların da etkilendiğini söyledi, ancak ayrıntı vermedi. Saldırıyı üstlenen bir grup olmadığı gibi fidye talebi de bildirilmedi.

Ne yapmalı?

CERT-FR, etkilenen ekipmanları işletenlere şunları öneriyor:

• Cihazları doğrudan internet erişiminden çıkarın; uzaktan erişimi yalnızca güvenli bir VPN veya korumalı ağ üzerinden yeniden açın.
• Başta buz çözme programları olmak üzere tüm yapılandırmayı gözden geçirin.
• Yazılım güncellemeleri dahil üretici önerilerini uygulayın; Danfoss cihazlarında güvenlik seviyesini Strict yapın ve varsayılan parolaları değiştirin.
• Ele geçirilmiş cihazları fabrika ayarlarına döndürüp yeniden yapılandırmadan kullanıma almayın.

Ajans, saldırı kampanyalarının büyük olasılıkla sürdüğü ve kullanım ömrü dolmuş cihazlarda tek başına fabrika ayarlarına dönmenin yeterli olmadığı konusunda uyarıyor; bu cihazlar internete açık kaldıkça yeniden ele geçirilebilir.