Un incident informatic semnalat în șase magazine din România scoate la iveală o vulnerabilitate mai puțin cunoscută a infrastructurii comerciale: echipamentele industriale conectate la internet și administrate de la distanță. În noaptea de 2 noiembrie 2026, instalațiile frigorifice din șase magazine ale aceluiași lanț comercial au înregistrat creșteri neobișnuite de temperatură. Primele informații indică o posibilă intervenție asupra controlerelor care gestionau aceste echipamente.
Nu este vorba despre un atac clasic asupra calculatoarelor utilizate de angajați sau asupra sistemelor de plată. Ținta ar fi fost infrastructura tehnică responsabilă de păstrarea alimentelor la temperaturi controlate.
Incidentul este relevant și dintr-un alt motiv: în aceeași perioadă, supermarketuri din mai multe țări europene au raportat probleme asemănătoare. În unele dintre aceste cazuri, companiile și specialiștii au indicat explicit intervenții informatice asupra sistemelor de refrigerare.
Pentru a înțelege cum poate un atacator să provoace o creștere a temperaturii într-un frigider industrial, trebuie analizat modul în care funcționează aceste instalații și, mai ales, felul în care sunt conectate la rețelele informatice.
1. Ce s-a întâmplat în România
Potrivit declarației directorului Directoratului Național de Securitate Cibernetică (DNSC), Dan Cîmpean, incidentul a fost semnalat pe 2 noiembrie, în jurul orei 01:30. Echipamentele frigorifice din șase magazine au înregistrat temperaturi foarte ridicate, iar problema a fost observată de angajați abia în jurul orei 08:00.
Incidentul a fost raportat ca posibil atac cibernetic asupra controlerelor care gestionau instalațiile frigorifice.
Un detaliu tehnic important a fost menționat chiar de directorul DNSC: controlerele erau conectate prin routere GSM cu IP fix, puteau fi accesate direct din internet și utilizau versiuni relativ vechi de software.
Aceste informații descriu o suprafață de atac care merită investigată.
Un echipament industrial conectat direct la internet poate deveni o țintă dacă interfața sa de administrare nu este suficient protejată, dacă software-ul conține vulnerabilități cunoscute sau dacă mecanismele de autentificare sunt slabe.
Deocamdată, autoritățile nu au publicat raportul tehnic final. Nu se știe dacă accesul a fost obținut prin exploatarea unei vulnerabilități software, prin folosirea unor credențiale compromise sau printr-o altă metodă. De asemenea, nu a fost confirmată public comanda exactă care a determinat creșterea temperaturii în magazinele din România.
2. Cum funcționează sistemele frigorifice din supermarketuri
Instalațiile frigorifice comerciale sunt mult mai complexe decât frigiderele obișnuite din locuințe. Într-un supermarket, mai multe vitrine, congelatoare și camere frigorifice pot fi conectate la un sistem comun de monitorizare și control.
Aceste instalații folosesc, în general, un circuit frigorific format din mai multe componente:
- Compresorul comprimă agentul frigorific și asigură circulația acestuia prin instalație.
- Condensatorul elimină căldura preluată din spațiile răcite către mediul exterior.
- Ventilul de expansiune reduce presiunea agentului frigorific înainte ca acesta să intre în evaporator.
- Evaporatorul absoarbe căldura din interiorul vitrinei sau camerei frigorifice, contribuind la răcirea spațiului.
Procesul este supravegheat de controlere electronice. Acestea primesc informații de la senzori și comandă componente precum compresoarele, ventilatoarele, valvele și rezistențele de dezghețare.
În funcție de configurație, un controler poate gestiona un singur echipament sau mai multe componente ale unei instalații.
Sistemele moderne permit și monitorizarea centralizată. Administratorii pot verifica temperaturile, pot primi alerte, pot modifica anumite setări și pot solicita intervenții tehnice fără să fie prezenți fizic în magazin.
Această conectivitate este utilă pentru exploatarea instalațiilor, dar creează și o nouă categorie de risc: accesul neautorizat la sistemele care controlează procese fizice.
3. Cum poate un hacker să modifice temperatura fără să atingă fizic frigiderul
Un posibil scenariu începe cu identificarea controlerelor conectate la internet.
Dacă un echipament industrial are o adresă IP publică și interfața de administrare este expusă, acesta poate deveni vizibil pentru scanările automate efectuate de atacatori. Nu înseamnă că orice echipament cu IP public poate fi compromis, dar expunerea directă mărește riscul, mai ales atunci când lipsesc măsurile adecvate de protecție.
Accesul neautorizat poate fi obținut în mai multe moduri:
Exploatarea unei vulnerabilități software. O versiune veche a programului de control poate conține o breșă de securitate care permite accesul sau modificarea unor funcții.
Compromiterea conturilor de administrare. Dacă parolele sunt slabe, reutilizate sau furate, atacatorul poate încerca să se autentifice folosind credențiale valide.
Abuzarea unei interfețe de administrare expuse. Un serviciu de mentenanță accesibil direct din internet poate permite modificarea parametrilor dacă nu este protejat corespunzător.
Compromiterea infrastructurii de acces la distanță. În anumite configurații, atacatorul poate încerca să obțină acces printr-un echipament intermediar sau printr-un sistem de administrare utilizat de furnizorul de mentenanță.
Acestea sunt metode posibile, nu concluzii despre atacul din România. DNSC nu a precizat public care dintre ele a fost folosită.
Odată obținut accesul la controler, atacatorul nu trebuie neapărat să oprească întreaga instalație. Uneori, modificarea unei singure funcții poate fi suficientă pentru a perturba procesul de răcire.
4. Modul „defrost”: mecanismul care poate transforma un sistem de răcire într-o sursă de probleme
Unul dintre cele mai importante detalii apărute în investigațiile europene privește funcția de dezghețare, cunoscută în industrie sub denumirea de defrost.
În timpul funcționării normale, evaporatorul absoarbe căldura din spațiul frigorific. În timp, pe suprafața acestuia se poate acumula gheață, care reduce eficiența transferului termic și afectează circulația aerului.
Pentru a elimina gheața, instalațiile folosesc cicluri automate de dezghețare.
În funcție de echipament, procesul poate utiliza rezistențe electrice, gaz cald sau alte metode tehnice. În timpul ciclului, răcirea este întreruptă sau modificată, iar evaporatorul este încălzit suficient pentru a elimina depunerile de gheață.
Într-un sistem configurat corect, ciclul este limitat în timp și controlat prin senzori și parametri de siguranță. După terminarea dezghețării, instalația revine la regimul normal de răcire.
Problema apare dacă acest proces este declanșat nejustificat, repetat sau menținut într-un mod care împiedică revenirea la răcirea normală.
Dacă evaporatoarele sunt comutate în modul de dezghețare, iar ciclul de răcire nu mai funcționează corespunzător, temperatura din vitrine și camere poate începe să crească.
Acesta este mecanismul indicat de compania belgiană Sabcobel în legătură cu incidentele din supermarketurile europene. Directorul companiei a declarat că evaporatoarele unor instalații au fost comutate în modul de dezghețare, provocând creșterea temperaturilor.
Este important de precizat că acest mecanism a fost descris pentru incidentele investigate în Belgia. Nu există încă o confirmare tehnică publică potrivit căreia exact aceeași comandă a fost transmisă controlerelor din cele șase magazine românești.
5. De ce au fost vulnerabile echipamentele conectate prin routere GSM
În cazul din România, DNSC a menționat utilizarea unor routere GSM cu IP fix.
Un astfel de router asigură conectivitatea la internet prin rețeaua mobilă. Adresa IP fixă permite identificarea constantă a conexiunii și poate facilita administrarea echipamentelor de la distanță.
Această configurație nu este periculoasă în mod automat. Există numeroase utilizări legitime pentru conectivitatea mobilă în infrastructura industrială, inclusiv în magazine, stații de pompare, instalații energetice și sisteme de monitorizare.
Riscul apare atunci când controlerul poate fi accesat direct din internet, fără o arhitectură de securitate adecvată.
În mod normal, echipamentele industriale ar trebui să fie plasate în rețele separate de internetul public, iar accesul de la distanță să fie permis doar prin canale securizate, cu autentificare puternică și drepturi limitate.
O configurație mai sigură poate include:
- VPN pentru accesul tehnicienilor;
- autentificare multifactor, acolo unde echipamentele permit;
- firewall și reguli stricte de acces;
- separarea rețelei industriale de rețeaua administrativă a magazinului;
- monitorizarea comenzilor transmise către controlere;
- actualizarea periodică a firmware-ului și software-ului;
- dezactivarea serviciilor și interfețelor care nu sunt necesare.
Un alt aspect important este inventarierea echipamentelor. O companie trebuie să știe ce controlere are instalate, ce versiuni software folosesc, cine le administrează și prin ce conexiuni pot fi accesate.
Fără o astfel de evidență, echipamentele vechi pot rămâne conectate ani întregi la internet, chiar dacă nu mai beneficiază de actualizări sau de suport tehnic.
6. De ce nu este suficientă o simplă actualizare de software
Un detaliu relevant din investigația europeană este declarația companiei Sabcobel potrivit căreia remedierea vulnerabilității nu ar presupune doar instalarea unei versiuni noi de software, ci și modificări fizice ale configurației de acces.
Explicația este simplă: dacă un controler rămâne expus direct internetului, actualizarea software-ului nu elimină toate riscurile.
Chiar și un echipament actualizat poate deveni o țintă dacă interfața de administrare este accesibilă public, autentificarea este insuficientă sau configurația de rețea permite conexiuni neautorizate.
Din acest motiv, măsurile trebuie aplicate pe mai multe niveluri: actualizarea echipamentelor, eliminarea accesului direct din internet, segmentarea rețelelor și monitorizarea permanentă.
Reuters a relatat că retailerii europeni au început să identifice echipamentele vulnerabile, să le deconecteze de la internet și să accelereze măsurile de securizare. Furnizorul Danfoss a recomandat clienților să nu expună direct controlerele în internet și să aplice actualizările de securitate disponibile.
Deconectarea poate limita rapid riscul, dar nu repară vulnerabilitatea de fond. Dacă echipamentul este reconectat ulterior fără modificarea configurației, problema poate reapărea.
7. De ce temperatura poate ajunge la 50 de grade Celsius
În relatările despre incidentele europene au apărut valori de până la 50 de grade Celsius, iar în unele cazuri au fost menționate chiar valori mai mari.
O astfel de temperatură nu reprezintă temperatura normală de funcționare a unei instalații frigorifice, ci un posibil rezultat al pierderii controlului asupra procesului de răcire și al încălzirii echipamentului.
Dacă instalația nu mai extrage căldura, temperatura din interior începe să crească. În funcție de tipul echipamentului, temperatura mediului exterior, durata incidentului și funcționarea ciclului de dezghețare, valorile pot evolua diferit.
Nu toate vitrinele și congelatoarele vor ajunge la aceeași temperatură. Nici valoarea de 50 de grade nu trebuie interpretată ca o temperatură confirmată pentru fiecare echipament afectat din România.
În plus, trebuie făcută diferența între temperatura măsurată în interiorul vitrinei, temperatura evaporatorului și temperatura aerului din jurul echipamentului. Aceste valori nu sunt echivalente.
8. Ce se întâmplă cu alimentele după un asemenea incident
Dincolo de componenta informatică, efectul cel mai direct poate fi asupra siguranței alimentare.
Produsele refrigerate și congelate trebuie păstrate în condiții de temperatură controlată. Dacă instalația nu mai funcționează, lanțul frigorific este întrerupt, iar produsele pot ajunge într-o zonă de temperatură în care microorganismele se multiplică mai rapid.
Riscul depinde de tipul alimentului, temperatura la care a fost expus și durata expunerii.
Nu este suficient ca un frigider să fie repornit pentru ca produsele din interior să fie considerate automat sigure. Retailerii trebuie să verifice istoricul temperaturilor, să evalueze produsele și să aplice procedurile de siguranță alimentară.
Produsele pentru care nu poate fi demonstrată păstrarea în condiții corespunzătoare trebuie retrase de la comercializare.
În cazul românesc, Asociația Marilor Rețele Comerciale din România a transmis că magazinele funcționează normal și că produsele comercializate respectă parametrii de siguranță. Asociația a menționat existența unor proceduri de monitorizare a temperaturilor, trasabilitate și verificare a produselor.
Nu au fost comunicate public, până la acest moment, valoarea pagubelor sau cantitatea de produse care ar fi fost compromisă în cele șase magazine.
9. Atacurile din Europa: incidente separate sau o campanie coordonată?
Incidentul din România nu este izolat în contextul european.
În aceeași perioadă, supermarketuri din Belgia, Luxemburg, Suedia, Irlanda, Țările de Jos, Estonia și Finlanda au raportat probleme la instalațiile frigorifice. În Belgia au fost afectate magazine ale mai multor rețele, printre care Delhaize, Carrefour și Spar.
În unele cazuri, operatorii au confirmat incidente informatice, iar compania Sabcobel a descris comutarea evaporatoarelor în modul de dezghețare.
Reuters a relatat că peste 100 de magazine din mai multe țări au raportat probleme la sistemele de refrigerare în valul de incidente din 2 noiembrie. Acestea au urmat unor atacuri similare din Franța, produse în luna octombrie, care au afectat sute de supermarketuri și au provocat pierderi importante de alimente.
Repetarea aceluiași tip de incident ridică întrebări privind existența unor vulnerabilități comune, utilizarea unor echipamente similare sau exploatarea aceleiași categorii de software.
Totuși, faptul că incidentele au un efect asemănător nu demonstrează automat că au fost executate de aceeași grupare sau că fac parte dintr-o singură operațiune coordonată.
Autoritățile trebuie să compare indicatorii tehnici ai incidentelor, metodele de acces, comenzile transmise, infrastructura utilizată și eventualele urme digitale pentru a stabili dacă există o legătură între atacuri.
Până la publicarea unor concluzii oficiale, ipoteza unei campanii coordonate trebuie tratată cu prudență.
10. Ce ar trebui să facă retailerii pentru a preveni repetarea atacurilor
Cazul arată că securitatea cibernetică trebuie să includă și echipamentele care nu sunt considerate, în mod obișnuit, sisteme IT.
Pentru un retailer, un frigider industrial conectat la internet poate fi la fel de important din perspectiva securității operaționale ca un server sau o stație de lucru. Compromiterea sa poate produce pierderi economice, poate întrerupe activitatea și poate crea riscuri pentru consumatori.
Printre măsurile esențiale se numără:
- Eliminarea accesului direct din internet. Controlerele frigorifice nu ar trebui să fie administrate prin interfețe expuse public.
- Segmentarea rețelelor. Sistemele de refrigerare trebuie separate de rețelele utilizate pentru casele de marcat, gestiune și activitățile administrative.
- Acces securizat pentru mentenanță. Tehnicienii trebuie să utilizeze conexiuni VPN, autentificare puternică și conturi individuale.
- Actualizarea software-ului. Firmware-ul și aplicațiile de control trebuie menținute la versiuni pentru care există suport de securitate.
- Monitorizarea comenzilor. Modificările neobișnuite ale temperaturilor, programelor de dezghețare și parametrilor de funcționare trebuie să genereze alerte.
- Mecanisme de protecție independente. Alarmele și limitele de siguranță trebuie să poată semnala sau limita anumite situații chiar dacă sistemul central de administrare este compromis.
- Planuri de intervenție. Magazinele trebuie să aibă proceduri clare pentru izolarea echipamentelor, verificarea alimentelor și restabilirea funcționării în condiții sigure.
Un atac asupra infrastructurii fizice, nu doar asupra datelor
Incidentul din România arată cât de mult s-a schimbat suprafața de atac a companiilor moderne.
În trecut, un atac informatic era asociat în principal cu furtul de date, blocarea calculatoarelor sau solicitarea unei răscumpărări. Astăzi, accesul neautorizat la un sistem conectat la internet poate modifica parametrii unor echipamente care controlează procese fizice.
Într-un supermarket, consecința poate fi pierderea controlului asupra temperaturii din vitrine și congelatoare. În alte industrii, o vulnerabilitate asemănătoare ar putea afecta instalații de climatizare, pompe, sisteme de ventilație sau procese de producție.
În cazul celor șase magazine din România, informațiile publice indică o posibilă compromitere a controlerelor frigorifice expuse direct internetului și care utilizau software învechit. Mecanismul exact al intervenției nu a fost încă stabilit public.
Tocmai această distincție este importantă: incidentul demonstrează riscurile conectării echipamentelor industriale fără protecție suficientă, dar concluziile despre metoda folosită, autorii atacului și legătura cu incidentele europene trebuie să aștepte rezultatele investigațiilor.
