Esettanulmány: kibertámadás francia szupermarketek hűtőrendszerei ellen

Érintettek: Intermarché (Les Mousquetaires csoport), Coopérative U (Système U); nem megerősítetten E.Leclerc

‍Időpont: 2026. október 11-ről 12-re (vasárnapról hétfőre) virradó éjszaka

‍Támadás típusa: távolról vezérelt ipari/épületgépészeti (OT) rendszerek manipulálása, kiber-fizikai szabotázs

Mi történt?

Egy vasárnapról hétfőre virradó éjszaka ismeretlen támadók több száz franciaországi szupermarket hálózatba kötött hűtőberendezéseit vették át. A BFM hírtévé szerint a hackereknek „sikerült távolról aktiválni a leolvasztást”, vagyis a hűtőket távolról kényszerleolvasztó üzemmódba kapcsolták, így azok hűtés helyett gyakorlatilag fűteni kezdtek.

Az AFP értesülése szerint 150–200 Intermarché üzlet érintett. A Coopérative U esetében a 444 legalább száz boltról ír, az RTBF/AFP „kevesebb mint százról”. A BFM szerint a Leclerc üzletei is érintettek, ezt a csoport nem erősítette meg. Egy szakmai oldal a Carrefour Market és a Monoprix érintettségét is felvetette, ezt sem erősítették meg.

Dominique Schelcher, a Coopérative U vezérigazgatója „elfogadhatatlannak”, „rendkívül súlyosnak és példátlannak” nevezte a támadást. A párizsi ügyészség kiberbűnözési részlege hivatalból nyomozást indított, a nyomozást a francia kiberbűnözés elleni hivatal (OFAC) végzi. Az elkövetőket egyik forrás sem nevezi meg, és váltságdíj-követelésről sem tudni.

Milyen kár keletkezett?

• Működési kár: reggel nyitáskor forró levegő áradt a hűtőkből. A Le Figaro szerint egy üzletvezető 36 °C-ot mért bennük. Az üzletek hűtőtechnikusokkal dolgoztak a helyreállításon.
• Árukár: az érintett hűtőkben lévő teljes friss és fagyasztott árukészletet ki kellett dobni. Az Intermarché a pénzügyi veszteség mellett az élelmiszer-pazarlást is kiemelte.
• Fizikai kár: a párizsi ügyészség szerint „tűz is keletkezett” több helyen. Részleteket nem közöltek.
• Pénzügyi kár: a Mousquetaires csoport szerint a kár több millió euró. Ez becslés, pontos összeget nem közöltek.
• Biztosítás: az Intermarché szerint ez az egyik legnehezebb kérdés, mert a biztosítások nem fedezik az ilyen jellegű, üzleten belüli incidenseket.
• Adatkár: egyik forrás sem említ adatszivárgást. A támadás a jelek szerint tisztán szabotázs jellegű volt.

Milyen biztonsági hiányosságok vezettek az esethez?

Fontos: a pontos támadási útvonalat (hogyan jutottak be a támadók) egyik forrás sem hozta nyilvánosságra. Az alábbiak részben a nyilvános tényekből levont következtetések, nem megerősített megállapítások.

• Nem megerősített beszállítói szál: a BFMTV (az RTBF idézésében) úgy értesült, hogy a támadás a dán Danfoss gyártó hűtésvezérlő rendszereit érte, amelyek sok francia üzletben megtalálhatók. Ezt sem a gyártó, sem a hatóságok nem erősítették meg.
• Központi, távoli vezérelhetőség, egyetlen hibaponttal: az, hogy több különálló üzletláncban, több száz boltban egyetlen éjszaka alatt ugyanaz a parancs futhatott le, arra utal, hogy a hűtésvezérlés egy központi, távolról elérhető felügyeleti vagy távmenedzsment-platformon keresztül volt irányítható. Egyetlen kompromittált hozzáféréssel így boltok százait lehetett elérni. (következtetés)
• Hiányzó helyi védelmi korlátok: a kényszerleolvasztást úgy lehetett elindítani és órákon át fenntartani, hogy semmilyen helyi korlát (maximális leolvasztási idő, hőmérsékleti határ, helyi jóváhagyás) nem állította le, és riasztás sem vezetett időben beavatkozáshoz. A tűzesetek arra utalnak, hogy a fizikai biztonsági reteszek sem működtek megfelelően. (következtetés)
• Az OT-rendszerek kívül estek a kibervédelmi fókuszon: az épületgépészetet és a hűtést jellemzően üzemeltetési, nem IT-biztonsági kérdésként kezelik. Erre utal az is, hogy a biztosítás sem fedezte az ilyen kockázatot. (következtetés)

Mi a tanulság, mit kellett volna tenni?

1. Az OT/épületgépészeti rendszereket kritikus rendszerként kell kezelni. A hűtés, a fűtés-szellőzés-klíma (HVAC) és az épületfelügyeleti rendszerek (BMS) kerüljenek be az eszközleltárba, a kockázatelemzésbe és a sérülékenységkezelésbe ugyanúgy, mint az IT-rendszerek.
2. A távoli hozzáférést el kell különíteni és szigorúan védeni kell. A vezérlők ne legyenek közvetlenül elérhetők az internetről. Szegmentált hálózatot, VPN-t vagy jump hostot, többfaktoros hitelesítést (MFA), egyedi fiókokat és naplózást kell alkalmazni, és ezt a beszállítói és karbantartói hozzáférésekre is ki kell terjeszteni (beszállítói hozzáférés-kezelés).
3. Veszélyes parancsokhoz többlépcsős jóváhagyás és helyi biztonsági korlát kell. Tömeges vagy szokatlan parancsokat (pl. egyszerre több száz bolt kényszerleolvasztása) a központi rendszer ne engedjen automatikusan. A helyi vezérlőben hardveres vagy firmware-szintű határ (max. leolvasztási idő, hőmérsékleti riasztás és automatikus visszaállás) álljon ellen a távoli manipulációnak.
4. Monitorozás és riasztás az OT-oldalon is. A hőmérsékleti anomáliák riasztásai éjszaka is jussanak el ügyeletes személyhez, a szokatlan vezérlési parancsok pedig kerüljenek be a biztonsági felügyeletbe (SOC).
5. Ellátási lánc és szerződések. A hűtéstechnikai beszállítóktól biztonsági követelményeket (frissítés, hozzáférés-kezelés, incidensjelentés) kell szerződésben elvárni. NIS2-kontextusban ez a beszállítói lánc biztonságának része.
6. Biztosítási lefedettség felülvizsgálata. A kiberbiztosításnak és a vagyonbiztosításnak együtt kell lefednie a kiber-fizikai károkat (árukár, tűz, üzemszünet). Ennek hiányát az Intermarché maga jelezte.

Egymondatos tanulság: ha egy rendszer távolról vezérelhető, távolról meg is támadható – a hűtőpult is.

A forrásokkal kapcsolatos megjegyzések

• Az érintett üzletek pontos száma a források között eltér (Coopérative U: „legalább száz” a 444-nél, „kevesebb mint száz” az RTBF/AFP-nél).
• A Danfoss megnevezése kizárólag a BFMTV értesülésén alapul.
• A „több millió eurós” kár becslés.
• A 3. pontban (következtetés) jelöléssel szereplő hiányosságok a nyilvános tényekből levont szakmai következtetések, nem a vizsgálat megállapításai.

Készítette: Gill & Murry Zrt. – CyberSecurity Crime Cards, 2026. október 12.

‍