Fransız süpermarketlerindeki soğutucu saldırısı, aylarca internete açık ve yama edilmemiş Danfoss kontrol cihazlarını izledi

Ne oldu

11-12 Ekim 2026 gecesi saldırganlar, Fransa genelindeki süpermarket soğutma sistemlerini, buz birikimini temizlemek için soğutma bileşenlerini ısıtan bir döngü olan çözme moduna aldı. Paris savcısına göre bazı cihazlar 50°C'ye ulaştı ve bazı ekipmanlar alev aldı. Mağazalar bu nedenle taze ve donmuş ürünleri imha etti. Futura-Sciences'ın haberine göre toplam 400'den fazla mağaza etkilendi ve kayıplar birkaç milyon avroya ulaşabilir.

Carrefour 80 mağazasının etkilendiğini bildirdi; Les Mousquetaires grubuna bağlı Intermarché ve Netto ise 300'den fazla etkilenen lokasyon bildirdi. Monoprix payını mağazalarının yaklaşık %5'i olarak açıkladı; Leclerc ve Coopérative U da olayları doğruladı. Coopérative U'nun CEO'su Dominique Schelcher, RTL'ye grubun 2.000 mağazasından 80'inin saldırıya uğradığını söyledi ve mağazaların Danfoss'tan doğrudan alışveriş yapmadığını — kontrol cihazlarının soğutma yüklenicileri aracılığıyla geldiğini ekledi.

Söz konusu soğutma kontrol cihazlarının Danimarkalı üreticisi Danfoss, etkilenen ekipmanın çoğunun eski nesil olduğunu belirterek AK-SM 800 ve AK-SM 355 modellerini adlandırdı. Fransa'nın siber güvenlik kuruluşu CERT-FR, AK-SM ve AK-SC kontrol cihazlarının çok sayıda ele geçirildiğinden haberdar olduğunu belirterek işletmecileri bunları ağdan ayırmaya ya da kimlerin erişebileceğini kısıtlamaya çağırdı; 13 Ekim'de uyarıyı Copeland'ın ve İtalyan markası Dixell'in XWEB süpervizörlerini de kapsayacak şekilde genişletti. Kurum, saldırı kampanyalarının muhtemelen hâlâ sürdüğünü düşünüyor. Paris savcılığı bir soruşturma başlattı ve saldırının kim tarafından ya da nasıl yapıldığı konusunda kamuya açık bir açıklama yapılmadı.

Erişim aylardır görünür durumdaydı

IPv4 internetini haftalık olarak tarayan internet tarama şirketi IPinfo, 6-7 Ekim tarihli taramasında — saldırıdan beş gün önce — bir Danfoss StoreView paneli sunan 2.528 adres buldu. Bu, mağazaların ve teknisyenlerin kontrol cihazlarını izleyip yönetmek için kullandığı web arayüzü — ve adresi bilen herkes onu açabiliyordu. Fransa bunların 1.331'ini, yani %53'ünü oluşturuyordu; bu, toplam 1.197 adresle diğer 72 ülke ve bölgenin tamamından daha fazlaydı. Polonya 179 ile ikinci sıradaydı, ardından ABD (101), Portekiz (92) ve Belçika (85) geliyordu.

IPinfo'nun verileri Fransa'nın neden bu kadar çok barındırdığını açıklayamıyor, ancak kötü bakım olasılığını dışlıyor: Fransız panelleri her yerdekilerle aynı yazılım sürümleri karışımını çalıştırıyordu ve neredeyse tamamı veri merkezleri yerine sıradan telekom ağları üzerinden bağlanıyordu — bu da kontrol cihazlarının her mağazanın kendi internet hattında bulunduğu, erişimin bir teknisyen ya da genel merkez için açıldığı yönüyle tutarlı. CERT-FR'nin rehberi mağazaların neden bağlantıyı sürdürdüğüne dair bir ipucu veriyor: kurum, işletmecilere kontrol cihazlarının soğutma yüklenicilerine gönderdiği veriyi kesmeden önce sigorta koşullarını kontrol etmelerini öneriyor.

Eski yazılım, yavaş yamalama

IPinfo'ya göre Fransız panellerinin %85'i (1.331'in 1.136'sı) bilinen güvenlik açıkları taşıyan yazılım çalıştırıyordu; bu oran yurt dışında görülen %84'e neredeyse eşitti. Bu rakam, Danfoss'un 2023'te kullanım ömrü sona erdiğini bildirdiği — güvenlik firması Synacktiv'in aynı yıl onlar için bir oturum açma bypass'ı yayınladığı — 527 kontrol cihazını, üç 2023 yaması eksik olan (biri kritik derecelendirmeli) 280 üniteyi ve 2025 yamalarını kaçıran (bunlar arasında bir oturum açma bypass'ı daha olan) 329 üniteyi kapsıyor. Yalnızca 195 tanesi bilinen tüm yamalara sahipti.

Bu erişim yeni değildi. Mart 2026 sonundan itibaren yapılan haftalık taramalar sürekli olarak yaklaşık 2.500 panel buldu; bunların yaklaşık yarısı Fransa'daydı ve 6 Ekim'de görülen Fransız panellerinden 1.019'u 30 Mart'ta tam olarak aynı adreslerdeydi. Bu altı ay boyunca bilinen tüm düzeltmelere sahip daha yeni kontrol cihazlarının oranı yalnızca %14'ten %24'e çıktı.

Mağazalar toplu halde bağlantıyı kesti

Saldırının ardından IPinfo'nun 14 Ekim tarihli taraması, 1.331 Fransız panelden yalnızca 316'sının hâlâ çevrimiçi olduğunu buldu — normal haftalık kaybolma oranı %3-7 iken %76'lık bir düşüş. Kullanım ömrü bitmiş kontrol cihazları 527'den 64'e, tamamen yamalanmış üniteler ise 195'ten 54'e düştü; bu da mağazaların güncelleme yapmak yerine fişi çektiğine işaret ediyor. Bir başka internet tarama şirketi olan Censys, Fransa'da 11-14 Ekim arasında benzer bir %71 düşüş kaydetti. 2025 açıklarını bulan güvenlik firması Claroty, Tom's Guide'a bazı açık kontrol cihazlarının yine de çevrimiçi kaldığını söyledi.

Hatalı paneller Polonya, ABD ve Portekiz'in öncülük ettiği 69 diğer ülkede de açıktı ve Avustralya'nın ABC'sine konuşan bir analist, başka Avrupa ülkelerinin de etkilenmiş olabileceğini öne sürdü.

Neden önemli

Bu olay, güvensiz bağlı cihazların fiziksel sonuçlarını gösteriyor: bir ağ ihlali doğrudan ısıya, ateşe ve tonlarca imha edilen gıdaya dönüştü. Ayrıca uzun süredir bilinen sorunların nasıl içinden çıkılmaz hale geldiğini gösteriyor — güvenlik açıklı panelleri en az altı ay boyunca herkesin görebileceği şekilde açıktı, çoğu belgelenmiş kusurları olan eski ya da desteklenmeyen yazılım çalıştırıyordu ve kararlı bir adım ancak zarar oluştuktan sonra geldi. Son olarak, yanıtın yamalama yerine toplu bağlantı kesme biçimi, endüstriyel kontrol sistemlerini işleten birçok kişinin kolay bir yükseltme yolunun olmadığını ve sigorta gereksinimleriyle yüklenici ilişkilerinin riskli internet bağlantılarını canlı tutabileceğini gözler önüne seriyor. Benzer erişimler düzinelerce başka ülkede hâlâ çevrimiçi durumda.