OT și IoT · incident în România
Pe 2 noiembrie 2026, în jurul orei 1:30, instalațiile frigorifice din șase magazine ale unui lanț din România au urcat la temperaturi foarte mari, iar problema a fost observată abia la 8:00. Cazul este tratat ca posibil atac cibernetic asupra controlerelor, legate prin routere GSM cu IP fix, accesibile direct din internet și cu software vechi. Dacă folosești Danfoss AK-SC sau AK-SM, Copeland XWEB sau Dixell XWEB, verifică azi trei lucruri: interfața nu răspunde din internet, accesul de la distanță trece doar prin VPN sau printr-o rețea protejată, iar planificările de dezghețare și alarmele sunt cele setate de tine.
Directorul DNSC, Dan Cîmpean, a descris incidentul pentru Libertatea, citat de G4Media: controlerele erau legate prin routere GSM cu IP fix, accesibile direct din internet, rulau versiuni de software destul de vechi, iar incidentul nu s-a propagat la alte infrastructuri IT. Lanțul nu a fost numit, pentru că cei care raportează incidente nu pot fi menționați fără acordul lor. Știrile ProTV relatează că, în aceeași zi, specialiștii DNSC au identificat alte 13 dispozitive din aceleași categorii.
România face parte dintr-un val european. Alerta DNSC, preluată de Ecopolitic, menționează incidente raportate pe 2 noiembrie în Belgia, Suedia, Țările de Jos, Luxemburg, Irlanda și Estonia, plus relatări de presă despre Finlanda, Danemarca, Italia și Portugalia. Valul de acum vine după atacul din octombrie din Franța, care, potrivit aceleiași alerte, a afectat cel puțin 350 de supermarketuri. Forescout vorbește despre peste 700.
Mecanismul e simplu și folosește funcții legitime. Atacatorul pornește cicluri de dezghețare neautorizate sau prelungite, iar răcirea se oprește. În funcție de instalație, poate modifica și valorile de temperatură, programele și alarmele. Un magazin Delhaize din Hoeilaart, Belgia, a estimat pierderi de alimente de 100.000 de euro, fără pierderile din închiderea temporară.
Alerta DNSC din 14 octombrie vorbește și despre depozite frigorifice și alte infrastructuri care depind de controlul temperaturii. Forescout a găsit, cu Shodan, 12.976 de servicii de refrigerare expuse în 99 de țări și teritorii și a urmărit, din ianuarie 2026, peste 20 de atacuri revendicate de hacktiviști, inclusiv la depozite de fructe, crame și unități de procesare alimentară.
Pe 11 octombrie, datele Censys citate de Infosecurity Magazine arătau că 80% dintre instanțele Danfoss StoreView expuse pe internet din România rulau o versiune mai veche decât 4.3.1, cea care corectează vulnerabilitățile din avizul Danfoss din august 2025. Expunerea nu înseamnă automat compromitere.
Alerta CERT-FR numește familiile Danfoss AK-SC, Danfoss AK-SM, Copeland xweb și Dixell xweb. DNSC detaliază:
Două avertismente din alertă: un echipament din listă nu înseamnă, în sine, compromitere, iar versiunea afișată la login nu este neapărat firmware-ul controlerului. Iar CVE-urile nu sunt singura explicație: un purtător de cuvânt Danfoss a spus pentru NOS că sistemele atacate în Țările de Jos nu erau într-o rețea securizată și foloseau parole implicite.
Echipamentele astea apar rar în inventarul IT. Le instalează firma de service frigorific, iar routerul GSM și SIM-ul rămân adesea în afara evidențelor tale. Cere firmei, pentru fiecare locație: modelul controlerului, versiunea de firmware, adresa IP publică, cine are conturi și cum se conectează. Cere și operatorului de telefonie lista SIM-urilor cu IP public fix. Aceeași regulă se aplică instalațiilor HVAC și de automatizare a clădirii.
Acesta este primul pas recomandat de CERT-FR și DNSC, inclusiv pentru echipamentele aflate pe IP public. Testează din afara rețelei, de pe un hotspot, fiecare IP public al tău: dacă apare pagina de login sau un port de administrare, ești expus. Accesul se reface doar prin VPN sau o rețea protejată. Filtrarea pe firewall a IP-urilor firmei de service e acceptată doar ca măsură temporară.
Un detaliu ușor de ratat: înainte să tai fluxul de date către firma de service, verifică contractul de asigurare. Apoi aplică recomandările producătorului. Pentru Danfoss, acestea sunt firmware la zi, nivelul de securitate „Strict” și schimbarea parolelor implicite.
Compară configurația actuală cu ultima versiune cunoscută: planificări de dezghețare, valori de temperatură, alarme, utilizatori. Dacă nu ai o referință, salvează acum una. Forescout recomandă să corelezi sesiunile de acces de la distanță cu aceste modificări și să înlocuiești conturile comune ale firmelor de service cu identități nominale, MFA și sesiuni jurnalizate.
Procedura CERT-FR și DNSC: îl scoți de pe internet, îl resetezi la setările din fabrică, refaci accesul doar prin VPN sau rețea protejată, îl reconfigurezi înainte de repunerea în funcțiune și aplici recomandările producătorului. Resetarea singură nu ajunge: elimină persistența atacatorului, dar un echipament rămas expus va fi probabil compromis din nou. CERT-FR avertizează că menținerea pe internet a unui echipament fără suport are o probabilitate foarte mare de compromitere.
Cea mai incomodă cifră din cazul românesc este intervalul de la 1:30 la 8:00. Dacă alarma vine de la controlerul atacat, poate fi modificată odată cu răcirea. Într-un test de laborator pe XWEB Pro, Claroty a oprit ventilatoarele și a arătat că temperatura afișată poate părea normală în timp ce conținutul se încălzește. Un senzor independent, cu alertă pe SMS către un om de gardă, scurtează exact acest interval.
DNSC amintește că, potrivit art. 5 lit. a) din Legea 58/2023, responsabilitatea pentru securitatea unui sistem aparține celui care îl deține, îl organizează, îl administrează sau îl utilizează. Dacă deții sau folosești sistemul, faptul că l-a instalat firma de service nu te scoate din discuție. Incidentele se pot raporta la DNSC prin pnrisc.dnsc.ro sau la 1911.
Pe NIS2, Anexa II a directivei acoperă în sectorul alimentar distribuția angro și producția și prelucrarea industrială, deci un lanț pur de retail nu este vizat automat prin acest sector. Un grup cu depozite de distribuție sau producție proprie trebuie însă să-și verifice încadrarea în anexele OUG 155/2024. Începe cu ghidul NIS2 pentru România și evaluarea gratuită. Dacă ești sub NIS2, ceasul de incident îți pune termenele 24/72 pe o singură cronologie.
Accesează controlerul care administrează instalația și pornesc sau prelungesc ciclurile de dezghețare, ceea ce oprește răcirea normală. În funcție de configurație, pot schimba și valorile de temperatură, programele și alarmele.
CERT-FR și DNSC numesc controlerele Danfoss AK-SC și AK-SM și sistemele Copeland XWEB și Dixell XWEB. Prezența unui astfel de echipament nu confirmă compromiterea, așa că verifici firmware-ul, configurația și expunerea pe internet.
La DNSC, prin platforma pnrisc.dnsc.ro sau la numărul 1911. Dacă firma ta intră sub NIS2, se aplică și termenele de raportare de 24 și 72 de ore.
Facem împreună inventarul, inclusiv ce administrează firmele de service, și îți lăsăm o listă de remediere pe priorități.
Scrie-ne →