Sabotaż chłodni z osoczem we Francji: atak na dostawcę EFS i fala ataków na sterowniki chłodnicze

WSTĘP: Z −30°C na 110°C w jedną noc

W nocy z 1 na 2 listopada 2026 roku nieznani sprawcy zmienili nastawy temperatury w komorach mroźniczych francuskiej służby krwi EFS (Établissement français du sang) - z około −30°C na 110°C. Atak nie był wymierzony bezpośrednio w EFS, lecz w firmę Coolworld, która dostarcza i serwisuje urządzenia chłodnicze dla trzech lokalizacji służby krwi.

Dzięki alarmom i reakcji technika dyżurnego osocze przeniesiono lub zabezpieczono, a francuskie Ministerstwo Zdrowia zapewnia, że incydent nie miał skutków operacyjnych.

To pierwszy znany przypadek, w którym trwająca od października fala sabotaży sterowników chłodniczych - dotąd kojarzona z supermarketami - dotknęła łańcucha chłodniczego produktów krwiopochodnych. Poniżej zestawiamy, co wiadomo o samym incydencie, jak działają zaatakowane systemy i jakie podatności były wcześniej publicznie opisane.

ROZDZIAŁ I: Przebieg incydentu

Sprawę ujawnił 3 listopada tygodnik "Le Canard enchaîné". Według jego ustaleń nieuprawnione osoby przejęły kontrolę nad częścią sterowników chłodni EFS, m.in. w regionie Burgundia-Franche-Comté. EFS potwierdziło później, że problem objął trzy lokalizacje, w których przechowywane jest osocze.

Z komunikatów EFS wynika, że w poniedziałek 2 listopada podniesiono do skrajnych wartości zarówno nastawy temperatury, jak i parametry odszraniania. W komorach znajdowały się trzy kategorie materiału:

• próbki od dawców przechowywane na potrzeby nadzoru nad bezpieczeństwem krwi (hemowigilancji),
• osocze przeznaczone do transfuzji,
• osocze przeznaczone do frakcjonowania, czyli produkcji leków osoczopochodnych.

Początkowo mówiono wyłącznie o próbkach. Dopiero później EFS przyznało, że zagrożone było również osocze dla pacjentów, co istotnie zmienia ciężar incydentu.

Anomalię wychwycił w nocy technik pełniący dyżur, który zauważył nietypowy wzrost temperatury. Prezes EFS Frédéric Pacoud przyznał w rozmowie z BFMTV, że instytucja mogła stracić próbki i osocze, ale wczesne ostrzeżenie pozwoliło uniknąć naruszenia bezpieczeństwa produktów krwiopochodnych. Nic nie wskazuje na to, by naruszone zostały systemy IT samego EFS.

ROZDZIAŁ II: 110°C to nastawa, nie zmierzona temperatura

Nagłówkowe 110°C to wartość zadana (setpoint) wpisana w sterownik, a nie temperatura, jaką osiągnęło wnętrze komory czy worki z osoczem. W systemach chłodniczych trzeba rozróżniać trzy wielkości: nastawę regulatora, temperaturę powietrza mierzoną przez czujnik w komorze oraz temperaturę w rdzeniu przechowywanego produktu. Ta ostatnia rośnie najwolniej ze względu na bezwładność cieplną zamrożonej masy.

Urządzenie chłodnicze nie ma zwykle źródła ciepła zdolnego do osiągnięcia 110°C. Jedynym aktywnym elementem grzejnym są grzałki odszraniania parownika. Dlatego atakujący - podobnie jak w supermarketach - modyfikują nie tylko nastawę, ale także cykl odszraniania: wyłączają sprężarki i wymuszają ciągłe grzanie. Komunikat EFS o zmianie zarówno temperatury, jak i parametrów odszraniania jest z tym mechanizmem spójny.

Odszranianie jest normalną, cykliczną funkcją: co kilka godzin usuwa się szron z parownika, wyłączając chłodzenie na kilkanaście-kilkadziesiąt minut. Sterownik zazwyczaj kończy cykl po osiągnięciu temperatury granicznej lub po upływie maksymalnego czasu. Kto ma uprawnienia administracyjne, może te limity podnieść tak, by cykl praktycznie się nie kończył.

ROZDZIAŁ III: Fala sabotaży sterowników chłodniczych

Atak na Coolworld nastąpił tej samej nocy, w której sabotaże sterowników chłodniczych odnotowano w co najmniej sześciu krajach Europy, i trzy tygodnie po masowym ataku na francuskie supermarkety. Wspólny mianownik to zdalna zmiana parametrów chłodzenia i odszraniania. Nie ma jednak publicznych dowodów, że za wszystkimi incydentami stoi ten sam sprawca ani że wykorzystano te same urządzenia.

Danfoss poinformował, że urządzenia zaatakowane we Francji to w dużej części modele wycofane ze wsparcia (AK-SM 800 i AK-SC 355) lub nieaktualizowane egzemplarze AK-SM 800A. Pierwsze doniesienia wskazywały na oprogramowanie w wersjach starszych niż 4.x. Sam producent opisywał zresztą wcześniejsze włamania do sterowników AK-SM 800: w 2022 roku w 16 sklepach w Rosji i 40 w Izraelu, gdzie urządzenia nie były chronione zaporą ani VPN.

ROZDZIAŁ IV: Anatomia podatności Danfoss AK-SM 800A

Nie wiadomo, czy urządzenia Coolworld to sterowniki Danfoss. Najlepiej udokumentowanym przykładem tej klasy ryzyka jest jednak AK-SM 800A, opisany w sierpniu przez Claroty Team82. To centralny menedżer systemu chłodniczego: agreguje dane z regulatorów obiektowych i udostępnia przeglądarkowy interfejs StoreView, z którego można m.in. zmieniać progi temperatur, harmonogramy pracy, alarmy, powiadomienia i uprawnienia użytkowników.

Z analizy firmware'u wynika, że żądania HTTP przechodzą przez kilka warstw:

1. zewnętrzny Nginx nasłuchujący na portach zarządzania i działający jako reverse proxy,
2. aplikację FastCGI sm_fcgi_app, która wstępnie przetwarza żądanie,
3. wewnętrzny Nginx nasłuchujący lokalnie,
4. zadanie Task_Web w procesie sm_app, które realizuje właściwą logikę aplikacji (endpoint xml.cgi z parametrem action).

"Kod dnia" (CVE-2025-41450). W obsłudze akcji getauth badacze znaleźli alternatywną ścieżkę uwierzytelniania, prawdopodobnie serwisową. Po ustawieniu określonych atrybutów żądania hasło nie jest porównywane z danymi użytkownika, lecz z wartością wyliczaną przez funkcję check_code_of_day wyłącznie na podstawie bieżącej daty urządzenia. Kto zrekonstruuje algorytm, wygeneruje ważny kod na dowolny dzień i uzyska pełną sesję administracyjną bez znajomości hasła. Szczegóły aktywujących parametrów zostały przez Claroty utajnione.

Wstrzyknięcie poleceń (CVE-2025-41451). Pole hasła uwierzytelniania SMTP w konfiguracji powiadomień e-mail trafia bez sanityzacji do polecenia powłoki systemu. Pozwala to dołączyć własne polecenia i wykonać kod na urządzeniu. W połączeniu z poprzednią luką daje to łańcuch od braku poświadczeń do RCE.

Wstrzyknięcie konfiguracji Nginx (CVE-2025-41452). Akcja load_nginx_headers pozwala uwierzytelnionemu użytkownikowi podmienić plik headers.conf włączany do konfiguracji zewnętrznego Nginx i przeładować serwer. Umożliwia to dodanie własnych reguł routingu, a odwołanie do spreparowanej trasy wywołuje nieobsłużony wyjątek w sm_app i awarię interfejsu.

Danfoss od maja 2021 roku traktuje AK-SM 800 jako produkt wycofany i zaleca migrację na AK-SM 800A z aktualnym firmware'em; na stronie producenta dostępna jest już gałąź 5.3.x.

ROZDZIAŁ V: Co wiadomo, a czego nie

Na dzień 4 listopada nie opublikowano żadnych ustaleń technicznych dotyczących włamania do Coolworld. Nikt nie przyznał się do ataku, a sprawcy pozostają nieznani. Na podstawie dostępnych informacji można rozważać kilka wektorów wejścia:

• wystawiony do internetu interfejs zarządzania sterownikiem lub bramką zdalnego monitoringu,
• znana, niezałatana podatność w komponencie zewnętrznego dostawcy (na co pośrednio wskazuje komunikat Coolworld),
• przejęte lub domyślne poświadczenia serwisowe,
• kompromitacja platformy chmurowej lub konta, z którego serwis zdalnie zarządza flotą urządzeń.

Każdy z tych scenariuszy pozostaje hipotezą. Przypisywanie incydentu konkretnej luce Danfoss wykracza poza dostępne dowody, podobnie jak łączenie go z atakami na supermarkety tylko na podstawie zbieżności w czasie i metodzie.

Nie ujawniono także liczby zaatakowanych jednostek, czasu trwania anomalii ani rzeczywistych temperatur produktów. Brak informacji o kradzieży danych dawców; incydent jest opisywany jako sabotaż cyberfizyczny, a nie wyciek danych.

ROZDZIAŁ VI: Zalecenia CERT-FR i wnioski dla ochrony zdrowia

CERT-FR w alercie CERTFR-2026-ALE-012 rozróżnia dwie sytuacje. Jeśli urządzenie nie zostało przejęte, należy:

1. usunąć ekspozycję w internecie sterowników i wszystkich urządzeń dostępnych pod publicznym adresem IP (wcześniej sprawdzając warunki umowy ubezpieczeniowej, jeśli odłączenie przerwie przesył danych do serwisu chłodniczego),
2. zweryfikować całą konfigurację, zwłaszcza harmonogramy odszraniania,
3. przywrócić zdalny dostęp wyłącznie przez bezpieczny VPN lub sieć chronioną; filtrowanie adresów IP serwisantów na zaporze jest dopuszczalne tylko jako rozwiązanie tymczasowe,
4. wdrożyć zalecenia producenta - w przypadku Danfoss aktualizacja firmware'u, tryb bezpieczeństwa „Strict” i zmiana haseł domyślnych.

Jeśli urządzenie zostało przejęte, po odcięciu od internetu trzeba je zrestartować lub przywrócić ustawienia fabryczne, a następnie skonfigurować od nowa.

Dla banków krwi, aptek szpitalnych, laboratoriów i magazynów szczepionek incydent EFS sugeruje kilka dodatkowych środków:

• Niezależny monitoring temperatury. Rejestratory i alarmy niezależne od sterownika, najlepiej z czujnikiem w produkcie wzorcowym, bo przejęty sterownik może fałszować odczyty. W EFS zadziałał właśnie czynnik ludzki i alarm.
• Ryzyko dostawców. Umowy z serwisami chłodniczymi powinny określać sposób zdalnego dostępu, MFA, rejestrowanie sesji i obowiązek zgłaszania incydentów. Placówka może ponieść skutki fizyczne, nie będąc sama zaatakowana.
• Inwentaryzacja OT. Urządzenia chłodnicze, BMS i HVAC rzadko trafiają do rejestrów zasobów IT. Warto sprawdzić własną przestrzeń adresową pod kątem wystawionych paneli, np. przez Shodan, Censys czy Onyphe.
• Twarde limity. Tam, gdzie to możliwe, ograniczenia nastaw i czasu odszraniania ustawione lokalnie lub sprzętowo, tak by zdalny administrator nie mógł ustawić wartości absurdalnych.
• Procedury awaryjne. Zapasowe zamrażarki i plan przeniesienia zapasów, przetestowane w praktyce.

Główne źródła

1. CERT-FR, CERTFR-2026-ALE-012 - Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, 12-16 października 2026 - https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/

2. Claroty Team82, "Freeze the Controller, Defrost the Food", 9 sierpnia 2026 - https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers

3. Infosecurity Magazine, "France Blood Service Hack Sends Blood Storage Temperatures to 110°C", 4 listopada 2026 - https://www.infosecurity-magazine.com/news/france-blood-service-cyberattack/

4. Cyberattaque.org, "Cyberattaque contre l’EFS", 3 listopada 2026 - https://www.cyberattaque.org/cyberattaque-contre-lefs-des-hackers-sattaquent-aux-reserves-de-plasma-sanguin/

5. Cyberattaque.org, "Danfoss au cœur de la cyberattaque", 12 października 2026 - https://www.cyberattaque.org/danfoss-au-coeur-de-la-cyberattaque-qui-fait-chauffer-les-frigos-dintermarche-super-u-et-leclerc/

6. Cyberattaque.org, "Cyberattaque massive en Europe", 2 listopada 2026 - https://www.cyberattaque.org/cyberattaque-massive-en-europe-les-pirates-sabotent-les-frigos-des-supermarches/

7. Cyber Security News, "Hackers Hijacked French Blood Plasma Freezers", 4 listopada 2026 - https://cybersecuritynews.com/french-blood-plasma-freezers-hacked/

8. IBTimes UK, "Hackers Target French Blood Storage Systems", listopad 2026 - https://www.ibtimes.co.uk/hackers-target-french-blood-storage-systems-reportedly-setting-temperatures-110c-1830218

9. Kevin Poireault, rozmowa z zespołem Claroty (Substack) - https://kevinpoireault.substack.com/p/exclusive-i-spoke-to-the-team-who