Bộ điều khiển tủ lạnh bị lộ trên mạng tại Pháp gây hỗn loạn cho siêu thị

Vào đêm ngày 11 đến 12 tháng 10 năm 2026, các cuộc tấn công mạng đã buộc hệ thống làm lạnh tại hàng trăm siêu thị ở Pháp chuyển sang chế độ rã đông, khiến nhiệt độ tăng vọt lên tới 50°C. Sự cố này ảnh hưởng đến các chuỗi lớn như Carrefour và Intermarché, dẫn đến cháy thiết bị và phải hủy bỏ lượng lớn hàng hóa dễ hỏng. Các cuộc điều tra chỉ ra rằng điểm xâm nhập là những bộ điều khiển dễ bị tổn thương, kết nối internet do công ty công nghiệp Đan Mạch Danfoss sản xuất.

Chuyện gì đã xảy ra

Cuộc tấn công nhắm vào các bảng điều khiển web được kỹ thuật viên sử dụng để giám sát và quản lý hệ thống làm lạnh của cửa hàng. Những giao diện này, có tên là StoreView, có thể truy cập trực tiếp từ internet công cộng mà không có biện pháp bảo vệ đầy đủ. Tin tặc đã đẩy các hệ thống vào chu kỳ rã đông, quy trình này làm nóng các thành phần làm mát để tan băng tích tụ. Trong nhiều trường hợp, điều này dẫn đến tình trạng quá nhiệt nguy hiểm, một số thiết bị bắt lửa và những thiết bị khác làm hỏng hàng hóa bên trong. Văn phòng công tố Paris đã mở cuộc điều tra, mặc dù chưa xác định được nhóm cụ thể nào chịu trách nhiệm.

Các tập đoàn bán lẻ lớn đã xác nhận quy mô thiệt hại. Carrefour báo cáo ảnh hưởng tại 80 cửa hàng, trong khi Les Mousquetaires, chủ sở hữu của Intermarché và Netto, ghi nhận hơn 300 địa điểm bị ảnh hưởng. Monoprix cho biết khoảng 5% số cửa hàng của họ bị tấn công, và Coopérative U xác nhận các cuộc tấn công vào 80 trong số 2.000 địa điểm của mình. Danfoss xác định phần cứng bị xâm phạm là các mẫu cũ, cụ thể là bộ điều khiển AK-SM 800 và AK-SC 355, những sản phẩm mà công ty đã tuyên bố ngừng hỗ trợ (end-of-life) vào năm 2023.

Chi tiết chính

• Trước cuộc tấn công, Pháp có 1.331 bảng điều khiển Danfoss bị lộ trên mạng, nhiều hơn tổng số của phần còn lại trên thế giới.
• 85% các hệ thống tại Pháp chạy phần mềm có lỗ hổng bảo mật đã biết, bao gồm 527 bộ điều khiển cũ không còn được hỗ trợ.
• Hầu hết các thiết bị dễ bị tổn thương đã được kết nối với internet ít nhất sáu tháng trước sự cố.
• Chỉ 195 trong số 1.331 bảng điều khiển tại Pháp đã áp dụng tất cả các bản vá bảo mật đã biết.
• Sau cuộc tấn công, 76% các bảng điều khiển từng bị lộ tại Pháp đã ngoại tuyến trong vòng hai ngày.
• CERT-FR cũng cảnh báo về các lỗ hổng trong bộ giám sát XWEB của Copeland và Dixell, với 70 thiết bị như vậy được tìm thấy trực tuyến tại Pháp.

Bối cảnh

Các thiết bị Internet vạn vật công nghiệp (IIoT) thường cầu nối giữa máy móc vật lý và quản lý kỹ thuật số. Trong trường hợp này, bộ điều khiển Danfoss cho phép giám sát từ xa nhiệt độ và tình trạng hệ thống. Tuy nhiên, khi các thiết bị này được kết nối trực tiếp với internet công cộng thay vì mạng nội bộ an toàn hoặc mạng riêng ảo (VPN), chúng trở nên hiển thị với bất kỳ ai quét địa chỉ IP. Nhiều đơn vị trong số này chạy firmware cũ thiếu các biện pháp bảo vệ hiện đại, khiến chúng dễ bị tổn thương trước các khai thác đã biết như vượt qua đăng nhập.

Thuật ngữ "legacy" (cũ/lỗi thời) trong bối cảnh này đề cập đến phần cứng mà nhà sản xuất không còn tích cực hỗ trợ bằng các bản cập nhật bảo mật. Đối với AK-SM 800, Danfoss đã chấm dứt hỗ trợ vào năm 2023, nhưng hàng trăm thiết bị vẫn trực tuyến và có thể truy cập. Nếu không có việc vá lỗi thường xuyên hoặc cô lập mạng, các thiết bị này giữ nguyên cấu hình mặc định hoặc các lỗ hổng chưa được vá mà tin tặc có thể khai thác để giành quyền kiểm soát cơ sở hạ tầng quan trọng.

Tại sao điều này quan trọng

Đối với các đội ngũ quản lý phần mềm tự lưu trữ (self-hosted) hoặc thiết bị biên, sự cố này nhấn mạnh rủi ro nghiêm trọng khi phơi bày các giao diện quản trị ra internet công cộng. Không đủ để giả định rằng phần cứng chuyên biệt hoặc ít người biết sẽ không bị phát hiện. Các máy quét tự động liên tục dò quét toàn bộ không gian IPv4, xác định bất kỳ thiết bị nào phản hồi trên các cổng tiêu chuẩn. Nếu cơ sở hạ tầng của bạn bao gồm các bộ điều khiển IoT tương tự, hệ thống quản lý tòa nhà hoặc phần cứng biên khác, việc để chúng truy cập công khai đồng nghĩa với việc để cửa sau không khóa.

Tốc độ vá lỗi chậm chạp được quan sát thấy trong dữ liệu là một bài học quan trọng khác. Từ tháng 3 đến tháng 10 năm 2026, tỷ lệ bộ điều khiển được cập nhật đầy đủ tại Pháp chỉ tăng từ 14% lên 24%. Điều này cho thấy nhiều tổ chức thiếu các quy trình tự động để cập nhật firmware nhúng. Trong môi trường tự lưu trữ, việc bỏ qua các bản cập nhật này khiến hệ thống dễ bị tổn thương trước các khai thác đã được công khai từ lâu, biến các nhiệm vụ bảo trì có thể quản lý thành những thất bại thảm khốc tiềm tàng.

Bạn có thể làm gì

• Kiểm toán mạng của bạn để tìm bất kỳ thiết bị IoT hoặc thiết bị biên nào có địa chỉ IP công cộng và hạn chế quyền truy cập ngay lập tức.
• Di chuyển các giao diện quản trị phía sau VPN hoặc sử dụng quy tắc tường lửa nghiêm ngặt để chỉ cho phép truy cập từ các địa chỉ IP đáng tin cậy cụ thể.
• Xác định bất kỳ phần cứng cũ nào không còn nhận được bản cập nhật bảo mật và tạo kế hoạch để thay thế hoặc cô lập nó.
• Triển khai giám sát tự động cho phiên bản firmware và thiết lập cảnh báo khi có bản cập nhật khả dụng.
• Thay đổi tất cả mật khẩu mặc định và bật mức bảo mật nghiêm ngặt trên bất kỳ bộ điều khiển nào còn bị lộ.
• Xem xét các chính sách bảo hiểm và thỏa thuận nhà thầu để đảm bảo phương thức truy cập từ xa tuân thủ các thực tiễn bảo mật tốt nhất.