Tấn công mạng khiến hệ thống làm lạnh siêu thị Pháp tăng vọt lên 50°C

Các cuộc tấn công mạng nhắm vào hệ thống làm lạnh của hàng trăm siêu thị tại Pháp đã đẩy nhiệt độ lên tới 50°C, khiến thực phẩm hư hỏng và buộc các nhà bán lẻ phải tiêu hủy hàng hóa.

Những chuỗi siêu thị lớn như Carrefour, Coopérative U, Intermarché, Monoprix và nhiều thương hiệu khác đã bị ảnh hưởng. Thiết bị bị nhắm tới bao gồm các tủ kho lạnh dùng để bảo quản thực phẩm trước khi đưa lên kệ. Kẻ tấn công đã nâng nhiệt độ lên mức không an toàn, làm hỏng thực phẩm và trong một số trường hợp còn gây ra hỏa hoạn.

Thiết bị lỗi thời là mắt xích yếu

Một số nhà bán lẻ bị ảnh hưởng sử dụng bộ điều khiển hệ thống làm lạnh do công ty Đan Mạch Danfoss sản xuất. Danfoss cho biết các siêu thị bị tấn công "đang chạy firmware lỗi thời" và nhấn mạnh công ty luôn khuyến nghị cập nhật hệ thống thường xuyên.

Cơ quan chức năng chưa xác định được điểm xâm nhập cũng như chưa xác nhận việc khai thác các lỗ hổng mà hãng bảo mật Claroty từng công bố và đã được vá vào tháng 8/2025. Tuy nhiên, giới chuyên gia cho rằng các lỗ hổng này rất dễ bị tự động hóa khai thác.

Lỗ hổng "không cần kỹ năng" để khai thác

Claroty từng phát hiện một cơ chế xác thực ẩn trong nền tảng AK-SM 800A, chấp nhận một mã được tạo từ ngày hiện tại của thiết bị, qua đó vượt qua mật khẩu quản trị viên đã cấu hình. Bất kỳ ai tái tạo được thuật toán đều có thể tạo mã hợp lệ theo ngày và giành quyền truy cập quản trị.

"Đây là việc không cần kỹ năng gì cả, tôi viết script bash trong lúc đang ngồi trong nhà vệ sinh," chuyên gia bảo mật Kevin Beaumont nhận xét.

Nghiên cứu này cho thấy các bộ điều khiển bị xâm nhập có thể khiến hệ thống làm lạnh bị gián đoạn về mặt vật lý, dù vai trò của các lỗ hổng trong vụ tấn công lần này vẫn chưa được xác nhận.

Vì sao tủ lạnh lại kết nối internet?

Nhiều người đặt câu hỏi tại sao tủ lạnh lại cần truy cập internet. Theo các nhà nghiên cứu của Claroty, lý do chính là để các đội kỹ thuật trung tâm có thể xử lý sự cố từ xa.

"Các hệ thống điều khiển công nghiệp như bộ điều khiển làm lạnh thường được cho là nằm trên các mạng cách ly an toàn. Tuy nhiên, nghiên cứu của chúng tôi phát hiện nhiều thiết bị trong số này lại được kết nối trực tiếp với internet công cộng," Amir Preminger, CTO của Claroty, cho biết.

Ông nhấn mạnh rằng sự tiện lợi này giúp giảm đáng kể chi phí bảo trì nhưng cũng hạ thấp rào cản xâm nhập đối với kẻ tấn công. Các tổ chức cần chủ động đảm bảo giao diện quản trị không được kết nối internet một cách thiếu an toàn, đồng thời giới hạn quyền truy cập vào các dịch vụ quản trị trong mạng tin cậy hoặc thông qua VPN và các biện pháp phân đoạn mạng phù hợp.

Mức độ thiệt hại

Cơ quan an ninh mạng Pháp CERT-FR đã phát đi cảnh báo về nhiều trường hợp bộ điều khiển Danfoss AK-SM và AK-SC bị xâm nhập. Cơ quan này khuyến nghị ngắt kết nối hoặc hạn chế truy cập mạng, đồng thời với các trường hợp nghi ngờ bị xâm nhập thì nên khôi phục cài đặt gốc, vá bảo mật, đổi thông tin xác thực, kiểm tra tài khoản và cấu hình lại toàn bộ.

Về thiệt hại cụ thể:

• Groupement Les Mousquetaires, chủ sở hữu Intermarché, cho biết khoảng 150 siêu thị bị ảnh hưởng
• Carrefour xác nhận khoảng 80 cửa hàng bị tác động
• Monoprix cho biết khoảng 5% trong số 490 cửa hàng gặp sự cố tương tự
• Coopérative U ghi nhận 80 trong số 2.000 cửa hàng bị ảnh hưởng

Dominique Schelcher, CEO của Coopérative U, gọi cuộc tấn công vào lĩnh vực thực phẩm là "không thể chấp nhận được".

"Nhắm vào thiết bị thiết yếu cho việc bảo quản thực phẩm tươi sống là một cuộc tấn công vào chuỗi cung ứng thực phẩm của Pháp. Đây là điều chưa từng có tiền lệ, cực kỳ nghiêm trọng và không thể chấp nhận," ông nói.

Đáng chú ý, trong một diễn biến riêng, Schelcher nói với đài phát thanh RTL của Pháp rằng Coopérative U không phải là khách hàng của Danfoss.

Hơn 4.500 thiết bị phơi nhiễm

Tìm kiếm trên Shodan đối với các giao diện bộ điều khiển Danfoss kết nối internet cho thấy hơn 4.500 điểm cuối bị phơi nhiễm tính đến thứ Hai, trong đó hơn một nửa nằm tại Pháp.

Cùng ngày, nhà bán lẻ thực phẩm lớn của Hà Lan Ahold Delhaize thông báo đang gặp "sự cố bảo mật". Chưa có liên hệ nào được xác lập giữa sự việc này và các cuộc tấn công vào hệ thống làm lạnh tại Pháp. Tuy nhiên, kết quả cuối cùng có nét tương đồng khi các thương hiệu của tập đoàn này cũng báo cáo tình trạng thiếu hàng.

Một số thương hiệu thuộc tập đoàn đã đưa website xuống và đăng thông báo về "sự cố an ninh mạng". Các cửa hàng vẫn mở cửa, nhưng website, ứng dụng, dịch vụ khách hàng và giao hàng trực tuyến bị gián đoạn.

Bài học cho doanh nghiệp Việt Nam

Sự việc này là lời cảnh tỉnh cho các doanh nghiệp Việt Nam, đặc biệt trong lĩnh vực bán lẻ, chuỗi cung ứng lạnh và sản xuất. Khi các thiết bị IoT công nghiệp ngày càng được kết nối internet để phục vụ giám sát và bảo trì từ xa, ranh giới giữa công nghệ thông tin (IT) và công nghệ vận hành (OT) trở nên mờ nhạt, mở ra bề mặt tấn công rộng lớn hơn.

Các khuyến nghị cốt lõi bao gồm: cập nhật firmware thường xuyên, không kết nối trực tiếp thiết bị điều khiển công nghiệp với internet, phân đoạn mạng hợp lý và áp dụng xác thực mạnh. Với các hệ thống điều khiển vốn được thiết kế để ưu tiên tính sẵn sàng hơn bảo mật, việc chủ động rà soát và kiểm tra định kỳ càng trở nên cấp thiết hơn bao giờ hết.