Evropské prodejny potravin zasáhla vlna kybernetických útoků na systémy vzdálené správy chlazení. Neoprávněné změny nastavení vedly k narušení provozu a ztrátám zboží. Případy ukazují, jak se zabezpečení řídicí techniky přímo promítá do spolehlivosti zařízení a bezpečnosti skladovaných potravin. K preventivním opatřením vyzval také NÚKIB.

První varování před kompromitací těchto systémů vydal francouzský CERT-FR 12. října 2026. Další vlna incidentů následovala v noci z 1. na 2. listopadu. Problémy byly hlášeny mimo jiné v Belgii, Lucembursku a Švédsku; zasáhly i prodejny řetězců Ahold Delhaize, Colruyt, ICA a Coop. Evropská agentura ENISA následně potvrdila rozsáhlý charakter incidentů a spolupráci evropských institucí při jejich řešení. [2, 3, 4]

Napadené systémy umožňují servisním technikům sledovat teploty, vyhodnocovat alarmy a měnit provozní parametry na dálku. Centrální dohled přitom může obsluhovat desítky vitrín, mrazicích skříní či chladicích komor. Získá-li útočník oprávnění ke správě takového systému, může zasáhnout větší část technologie jediného provozu. Právě toto propojení vzdáleného přístupu s fyzickým procesem činí podobné incidenty závažnými. [5]

Konkrétní podobu zásahu popisuje analýza Ransom-ISAC zveřejněná 6. listopadu. V záznamech jednoho napadeného systému Copeland XWEB Pro z 2. listopadu identifikovala 743 zápisů parametrů napříč 31 zařízeními. Zaznamenala také příkazy k odmrazování, ztišení alarmů a uzamčení místních klávesnic. Samotný provozní záznam však nedokládá, jakých teplot zařízení skutečně dosáhla ani zda všechny příkazy uspěly. Při vyhodnocení následků je proto třeba oddělit změněné nastavení od skutečně naměřených hodnot. [5]

NÚKIB ve svém upozornění z 5. listopadu jmenuje zejména systémy Danfoss AK-SM a AK-SC a Copeland/Dixell XWEB. Mezi možné příčiny neoprávněného přístupu řadí rozhraní dostupná z internetu, slabá či výchozí hesla a známé bezpečnostní zranitelnosti. Uvedení konkrétní zranitelnosti přitom samo o sobě nepotvrzuje její využití ve všech incidentech. Úřad k datu vydání upozornění žádný související případ v České republice neevidoval. [1]

Dopady přesahují náklady na servis. Narušení teplotního režimu může znamenat znehodnocení zásob a přerušení provozu. Společné doporučení amerických úřadů CISA, FBI a dalších institucí z 5. listopadu upozorňuje také na možné zkrácení životnosti zařízení, vznik požárního nebezpečí a nepřímé ohrožení spotřebitelů při konzumaci nevhodně skladovaných výrobků. Jde o možné následky kompromitace, jejichž skutečný rozsah se musí ověřovat u každého případu. [6]

Rozsah vystavení techniky internetu dokládají měření společnosti Censys. U dvou sledovaných skupin systémů zaznamenala mezi 9. říjnem a 5. listopadem pokles počtu veřejně dostupných hostitelů z 6 695 na 3 124. Tato čísla vyjadřují dostupnost na internetu, nikoli počet napadených zařízení. [7]

Provozovatelé by měli bez odkladu provést několik základních kroků:

1. Zmapovat vzdálené přístupy. Zjistit, která zařízení jsou přístupná z internetu a kdo je spravuje, včetně externích servisních firem. [1, 8]

2. Zabezpečit správu. Odstranit přímé vystavení administračních rozhraní internetu a nezbytný servis vést přes správně zabezpečenou VPN nebo obdobné chráněné řešení. [8]

3. Prověřit účty a aktualizace. Změnit výchozí hesla, používat silné přihlašování a instalovat výrobcem podporovaný firmware. U nepodporovaných zařízení posoudit náhradu. [6, 8]

4. Oddělit technologickou síť. Omezit komunikaci s podnikovou sítí a povolit pouze potřebná spojení. [6]

5. Zkontrolovat provozní nastavení. Prověřit požadované teploty, intervaly odmrazování, alarmy a jejich doručování. Prošetřit neočekávané změny konfigurace. [8]

6. Připravit obnovu. Uchovávat ověřené zálohy konfigurace a zajistit kontrolu teplot nezávislou na napadeném řídicím systému. [5, 6]

Při podezření na napadení je potřeba postup koordinovat se servisní firmou a pracovníky odpovědnými za provoz. Omezení vzdáleného přístupu musí doprovázet kontrola bezpečného fungování chlazení. CERT-FR výslovně upozorňuje, že pouhý návrat do továrního nastavení neřeší přetrvávající zranitelnost: zařízení ponechané bez ochrany na internetu může být napadeno znovu. [3]

Původce útoků a jejich motivace zůstávají podle dostupných informací neobjasněné. Pro provozovatele však případy představují konkrétní důvod zahrnout vzdálenou správu chlazení do běžné péče o technickou bezpečnost. Odpovědnost za přístupy, aktualizace i reakci na alarm musí být jasně dohodnuta mezi provozovatelem, správcem sítě a servisem. [9]