สรุปสั้น

เมื่อวันที่ 11 ต.ค.69 แฮ็กเกอร์เข้าควบคุมระบบทำความเย็นของซูเปอร์มาร์เก็ตหลายร้อยสาขาของฝรั่งเศสจากระยะไกล ผ่านตัวควบคุมกลางที่ผลิตโดยบริษัท Danfoss จากประเทศเดนมาร์ก ซึ่งใช้สำหรับควบคุมตู้เย็นและตู้แช่แข็งทั้งร้าน และเปิดให้บริษัทซ่อมบำรุงจัดการระบบจากระยะไกลได้ โดยแฮ็กเกอร์สั่งให้ตู้เข้าสู่โหมดละลายน้ำแข็งและตั้งอุณหภูมิเป้าหมายไว้ที่ 50°C บางตู้อุ่นขึ้นต่อเนื่องราว 6 ชั่วโมงก่อนที่พนักงานมาพบตอนเช้า เครือข่ายซูเปอร์มาร์เก็ตที่ยืนยันว่าได้รับผลกระทบ ได้แก่ Intermarché, Netto, Carrefour, Coopérative U, Monoprix และ E.Leclerc ทั้งนี้ผู้บริหาร Les Mousquetaires เจ้าของ Intermarché คาดความเสียหายทั่วประเทศอยู่ที่หลายสิบล้านยูโร และมีรายงานว่าอุปกรณ์บางส่วนเกิดเพลิงไหม้

ด้าน CERT-FR ออกประกาศเตือนเมื่อวันที่ 12 ต.ค.69 ว่าพบการบุกรุกตัวควบคุมจำนวนมากของบริษัท Danfoss ซีรีส์ AK-SM และ AK-SC และสั่งให้ผู้ดูแลตัดการเชื่อมต่อหรือกรองการเข้าถึงจากระยะไกลโดยทันที บริษัท Danfoss ระบุว่าเครื่องที่ถูกโจมตีส่วนใหญ่เป็นรุ่นเก่าที่หมดอายุการสนับสนุนแล้ว ได้แก่ AK-SM 800 และ AK-SC 355 แต่พบว่ามีรุ่นปัจจุบันอย่าง AK-SM 800A ที่ใช้เฟิร์มแวร์ล้าสมัยโดนโจมตีด้วย จนถึงวันที่ 13 ต.ค.69 ยังไม่มีหน่วยงานใดระบุตัวผู้ก่อเหตุโจมตี ช่องโหว่ หรือช่องทางที่ใช้เจาะระบบ รวมถึงยังไม่มี IoCs ประกาศออกมาอย่างเป็นทางการ ทั้งนี้อัยการกรุงปารีสเปิดการสอบสวนกรณีดังกล่าวแล้ว

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 13 ต.ค.69 ว่าการโจมตีไซเบอร์ส่งผลต่อซูเปอร์มาร์เก็ตหลายร้อยแห่งในยุโรป โดยผู้โจมตีปรับตู้เย็นและตู้แช่แข็งให้ละลายน้ำแข็งข้ามคืน ทำให้อาหารเสียหายและเกิดความสูญเสียทางการเงินจำนวนมาก นาย Lukasz Olejnik นักวิจัยด้านความปลอดภัยอธิบายว่า “มีคนยึดตัวควบคุมระบบทำความเย็นจากระยะไกลแล้วสั่งละลายน้ำแข็ง ตั้งอุณหภูมิเป้าหมาย 50°C ทันทีที่พนักงานที่เปิดตู้แช่แข็งตอนเช้า ก็โดนลมร้อนพัดใส่”

ตัวเลขสาขาที่ได้รับผลกระทบมาจากแต่ละเครือที่แถลงต่อ AFP, Reuters และสถานี RTL ซึ่งข้อมูลยังไม่ตรงกันทั้งหมด

เครือข่ายซูเปอร์มาร์เก็ตสาขาที่รายงานว่าถูกโจมตี
Intermarché และ Netto (Les Mousquetaires)อย่างน้อย 300 สาขาตาม AFP แต่ Reuters ระบุราว 150 สาขา
Coopérative U80 จาก 2,000 สาขา
Carrefour80 สาขา
Monoprixราว 30 สาขา (Groupe Casino บอก SecurityWeek ว่าราว 5% ของกว่า 600 สาขา)
E.Leclercหลายสาขา ผ่านผู้จัดหาอุปกรณ์ทำความเย็นที่ถูกโจมตี

ความเสียหายแต่ละเครือข่ายต่างกันมาก ทั้งนี้นาย Dominique Schelcher ซีอีโอของ Coopérative U กล่าวกับสำนักข่าว RTL ว่าห่วงโซ่อุปทานด้านความเย็นของสาขาส่วนใหญ่ยังรักษาไว้ได้ มีเพียงส่วนน้อยที่ตอบสนองไม่ทันจนต้องทิ้งสินค้า ขณะที่ Intermarché ระบุว่าสาขาที่ถูกโจมตีต้องทิ้งสินค้าที่เกี่ยวข้องทั้งหมด นาย Thierry Cotillard ผู้บริหาร Les Mousquetaires คาดความเสียหายทั่วฝรั่งเศสหลายสิบล้านยูโร นาย Schelcher ยังโพสต์บน X ว่าการเล็งเป้าอุปกรณ์ที่จำเป็นต่อการเก็บรักษาอาหารสดของคนฝรั่งเศส “ร้ายแรงอย่างยิ่ง ไม่เคยเกิดขึ้นมาก่อน และเป็นเรื่องที่รับไม่ได้”

Coopérative U ไม่ได้ซื้อระบบจากบริษัท Danfoss โดยตรง แต่เป็นลูกค้าของผู้รับเหมาระบบทำความเย็นที่ติดตั้งระบบ Danfoss ให้ ด้านบริษัท Danfoss แถลงกับสำนักข่าว Reuters เพียงว่ารับทราบเหตุการณ์ที่เกิดขึ้นในฝรั่งเศส “ผลกระทบระบบจัดการความเย็นมีจำนวนจำกัด” โดยไม่ให้ตัวเลขรายละเอียดแต่อย่างใด

นอกจากฝรั่งเศส นาย Félix Aimé นักวิเคราะห์ข่าวกรองภัยคุกคามไซเบอร์ของบริษัท Sekoia บอก Reuters ว่าสเปน โปรตุเกส โปแลนด์ เยอรมนี และเบลเยียมได้รับผลกระทบด้วยเช่นกัน ด้าน SecurityWeek อ้าง Reuters ว่ามีรายงานจากเนเธอร์แลนด์ด้วย แต่ยังไม่มีรายละเอียดของกรณีนอกฝรั่งเศส ทั้งนี้ ANSSI หน่วยงานความมั่นคงไซเบอร์แห่งชาติของฝรั่งเศสติดต่อกับหน่วยงานในประเทศยุโรปอื่นแล้ว

วิธีการโจมตี

ผู้โจมตีไม่ได้แตะตู้เย็นแต่ละตู้ แต่ยึดตัวควบคุมกลาง (supervisory controller) ที่จัดการตู้ทั้งร้าน แล้วแก้การตั้งค่าโหมดละลายน้ำแข็งและอุณหภูมิเป้าหมายในช่วงกลางดึกที่ไม่มีพนักงาน การโจมตีลักษณะนี้ไม่ต้องใช้มัลแวร์ซับซ้อน เพียงเข้าถึงหน้าจัดการได้ก็สั่งงานด้วยฟังก์ชันปกติของระบบ

ตัวควบคุมสถานะตาม Danfoss
AK-SM 800หมดอายุ (EOL) ตั้งแต่พฤษภาคม 2564 ไม่มีอัปเดตความปลอดภัย
AK-SC 355เลิกผลิตตั้งแต่ปี 2559 ไม่มีอัปเดตความปลอดภัย
AK-SM 800Aรุ่นปัจจุบัน เครื่องที่โดนใช้เฟิร์มแวร์ล้าสมัย แพ็กเกจล่าสุดคือ 5.3.x

ช่องทางเข้ายังไม่ชัดเจน ด้าน CERT-FR ไม่ได้ระบุช่องโหว่ เวอร์ชันเฟิร์มแวร์ หรือวิธีเจาะ แต่เตือนว่าการเปิดหน้าจัดการออกอินเทอร์เน็ตขัดกับแนวปฏิบัติที่ดี แหล่งข่าวใกล้ชิดนายกรัฐมนตรีฝรั่งเศสบอกสำนักข่าว AFP ว่า หน่วยงานด้านความมั่นคง ANSSI พบช่องโหว่ในซอฟต์แวร์ของบริษัทเดนมาร์กและแจ้งผู้ผลิตแล้ว แต่ไม่ระบุ CVE และไม่ได้ยืนยันว่าช่องโหว่นั้นถูกใช้ในการโจมตี

เหตุการณ์นี้เกิดราว 2 เดือนหลังบริษัท Claroty เปิดเผยช่องโหว่ 3 รายการใน AK-SM 800A ได้แก่ CVE-2025-41450 ข้ามการยืนยันตัวตนในเวอร์ชันก่อน 4.2, CVE-2025-41451 command injection ที่นำไปสู่การรันโค้ดจากระยะไกล และ CVE-2025-41452 ทำให้ระบบหยุดทำงาน สองรายการหลังต้องล็อกอินก่อนและแก้ในเวอร์ชัน 4.3.1 บริษัท Claroty ระบุว่านำช่องโหว่มาต่อยอดในสายการโจมตีได้ และพบหน้าจัดการ AK-SM 800A เปิดสู่อินเทอร์เน็ตหลายพันเครื่อง อย่างไรก็ดี งานของบริษัท Claroty เป็นการทดสอบในห้องแล็บกับรุ่นใหม่ ไม่ได้พูดถึงรุ่นเก่า 2 รุ่นที่โดนเป็นส่วนใหญ่ และทั้งทางการฝรั่งเศสและบริษัท Danfoss ยังไม่ได้เชื่อมโยงช่องโหว่ชุดนี้กับเหตุการณ์

เหตุนี้ไม่ใช่ครั้งแรก จดหมายข่าว Danfoss เดือนตุลาคม 2568 บันทึกว่าเคยมีการโจมตี AK-SM 800 ในซูเปอร์มาร์เก็ตรัสเซีย 16 แห่ง และร้านค้าอิสราเอล 40 แห่งในปี 2565 ซึ่งทั้ง 40 แห่งไม่มีไฟร์วอลล์หรือ VPN ที่เหมาะสม

อัปเดต 15 ต.ค.: เหยื่อเกิน 700 สาขา และพบตัวควบคุม XWEB ของ Copeland/Dixell ด้วย

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 15 ตุลาคม 2569 (ปรับปรุงยอดผู้เสียหายในวันเดียวกัน) ว่าจากรายงานของบริษัทค้าปลีกเอง การโจมตีกระทบร้านขายของชำและร้านค้าปลีก มากกว่า 700 สาขาภายในคืนเดียว ความเสียหายรวมอยู่ในระดับหลายสิบล้านไปจนถึงอาจหลายร้อยล้านยูโร เฉพาะ Intermarché เครือเดียวรายงานความเสียหายหลายสิบล้านยูโร และมีรายงานว่าเกิดเพลิงไหม้เล็ก ๆ บางจุด แหล่งข่าวฝรั่งเศสระบุว่าผู้โจมตี ยืดรอบละลายน้ำแข็ง (defrost cycle) ของระบบเป้าหมาย เพื่อให้ความร้อนที่เกิดขึ้นดูเหมือนการซ่อมบำรุงตามปกติ และไม่ทำให้ระบบเฝ้าระวังอุณหภูมิแจ้งเตือน นอกจากประเทศที่ Sekoia ระบุไว้ สำนักข่าว AP รายงานว่าเครือซูเปอร์มาร์เก็ตรายใหญ่ในเนเธอร์แลนด์ปิดระบบของตัวเองเพื่อป้องกันไว้ก่อน

ประเด็นใหม่ที่สำคัญคือ ภายในวันอังคารที่ 13 ตุลาคม CERT-FR ระบุว่ามีตัวควบคุมระบบทำความเย็นอีกแพลตฟอร์มหนึ่งเกี่ยวข้องกับการโจมตีด้วย คือ XWEB ของบริษัท Dixell และบริษัทแม่ Copeland แต่ไม่ได้ระบุช่องโหว่หรือเวอร์ชันเฟิร์มแวร์ที่เกี่ยวข้อง Dark Reading ชี้ว่าในวันเดียวกับที่ Claroty Team82 เปิดเผยช่องโหว่ของ Danfoss (9 สิงหาคม) ทีมเดียวกันยังเปิดเผยช่องโหว่ 23 รายการใน XWEB Pro ซึ่ง 21 รายการเป็นระดับความรุนแรงสูง หลักฐานแวดล้อมจึงชี้ว่าผู้โจมตีอาจต่อยอดจากงานวิจัยนี้ แต่ยังไม่มีหน่วยงานใดยืนยัน ส่วนบริษัท Danfoss แถลงต่อ Reuters ว่า “แนะนำลูกค้ามาตลอดให้อัปเดตระบบที่ยังรองรับด้วยเฟิร์มแวร์ล่าสุด และย้ายระบบรุ่นเก่าไปใช้โซลูชันรุ่นปัจจุบัน”

ช่องทางเข้าเริ่มชัดขึ้นในกรณีหนึ่ง บริษัท Les Mousquetaires เจ้าของ Intermarché และ Netto ระบุในอีเมลถึง CNBC ว่าการโจมตีสาขาของตนเกิดขึ้น ผ่านผู้ให้บริการที่ดูแลระบบทำความเย็น ในบางสาขา นาย Bill Moore ซีอีโอของบริษัท Xona Systems ระบุว่าองค์กรส่วนใหญ่แบ่งเครือข่ายของตัวเองได้ดี แต่ปล่อยให้ OEM และบุคคลที่สามเชื่อมต่อเข้าระบบ OT โดยไม่มีการกำกับดูแล ซึ่งเขาประเมินว่าเกิดขึ้นในราวครึ่งหนึ่งหรือมากกว่าของกรณีทั้งหมด ด้านนาย Andrew Ginter รองประธานฝ่ายความปลอดภัยอุตสาหกรรมของบริษัท Waterfall Security Solutions ระบุว่าการค้นด้วย Shodan ในสัปดาห์นี้พบระบบ Danfoss เปิดสู่อินเทอร์เน็ตหลายพันเครื่อง โดยราว 1,500 เครื่องอยู่ในฝรั่งเศส

Dark Reading ยังตั้งข้อสังเกตถึงเหตุตู้แช่ในร้านสวัสดิการของฐานทัพสหรัฐฯ (commissary) เสียพร้อมกันอย่างน้อย 14 แห่ง ทั้งฐานทัพอากาศ ฐานทัพเรือ และฐานทัพบก ตั้งแต่วันที่ 26 สิงหาคม หรือราว 2 สัปดาห์หลังการเปิดเผยช่องโหว่ของ Danfoss และหน่วยงาน Defense Commissary Agency เคยอ้างถึง Danfoss AK-SM 800A เป็น “basis for design” ในข้อกำหนดทางเทคนิคเมื่อปี 2565 แต่ กองทัพสหรัฐฯ ยังไม่ยืนยันสาเหตุ และข้อสันนิษฐานนี้เริ่มจากนักข่าวอิสระบน Substack จึงยังเป็นเพียงความเป็นไปได้ ไม่ใช่เหตุการณ์ที่เชื่อมโยงได้แล้ว

ข้อมูลเพิ่มเติมจาก SecurityWeek (15 ต.ค. 2569) — นาย Roland Lescure รัฐมนตรีคลังของฝรั่งเศสแถลงต่อสภาเมื่อวันอังคารว่า ซูเปอร์มาร์เก็ตราว 700 แห่งจากทั้งหมดราว 10,000 แห่ง ในฝรั่งเศสได้รับผลกระทบ จากที่รายงานช่วงแรกไว้ 300-350 แห่ง บริษัท Les Mousquetaires ระบุว่า Intermarché โดนราว 150 สาขา ตู้ทำงานที่ 50°C นาน 6 ชั่วโมงและต้องทิ้งอาหารทั้งหมด Carrefour โดน 80 สาขา และซูเปอร์มาร์เก็ต 2 แห่งในแคว้นอาลซัสรายงานความเสียหายรวม 270,000 ยูโร หนังสือพิมพ์ Le Monde รายงานว่าผู้โจมตียืดรอบละลายน้ำแข็งจาก 1 ชั่วโมงเป็นสูงสุด 8 ชั่วโมง ซึ่งทำให้สัญญาณเตือนช้าลง สำนักงานอัยการกรุงปารีสยืนยันว่าการโจมตีทำให้เกิดเพลิงไหม้ด้วย และแหล่งข่าวใกล้ชิดการสอบสวนบอก Reuters ว่าผู้สืบสวนงงที่ไม่มีทั้งการอ้างความรับผิดชอบและการเรียกค่าไถ่

บริษัท Copeland ซึ่งตอนแรกปฏิเสธจะยืนยันข้อมูลของ CERT-FR ได้ยอมรับในภายหลังว่ามีช่องโหว่ และระบุว่า “กำลังทำงานร่วมกับลูกค้าที่ได้รับผลกระทบเพื่อลดความเสี่ยง” ช่องโหว่ XWEB Pro 23 รายการที่ Claroty เปิดเผย Copeland ได้ออกเฟิร์มแวร์แก้ไขแล้ว แต่ CERT-FR ยังไม่ได้ผูกการบุกรุกกับช่องโหว่ใดโดยเฉพาะ CERT-FR ย้ำว่าการกรอง IP ใช้ได้เป็นมาตรการฉุกเฉินชั่วคราวเท่านั้น การเข้าถึงระยะไกลต้องกลับมาผ่าน VPN หรือเครือข่ายที่ป้องกันแล้ว และสำหรับอุปกรณ์หมดอายุที่ถูกบุกรุก การรีเซ็ตเป็นค่าโรงงานอย่างเดียวไม่พอ เพราะอุปกรณ์ยังมีช่องโหว่และจะถูกเจาะซ้ำหากยังเปิดสู่อินเทอร์เน็ต ด้าน NCSC ของเนเธอร์แลนด์ระบุว่าไม่เชื่อว่าการโจมตีไซเบอร์ต่อ Ahold Delhaize เกี่ยวข้องกับเหตุนี้

บริษัท Censys นับแผงควบคุม Danfoss StoreView ที่เปิดสู่อินเทอร์เน็ตได้เกือบ 3,000 เครื่องเมื่อวันที่ 11 ตุลาคม ในจำนวนนี้กว่า 1,800 เครื่องอยู่ในฝรั่งเศส และภายในวันที่ 14 ตุลาคม จำนวนในฝรั่งเศสลดลงเหลือ 537 เครื่อง ขณะที่ประเทศอื่นแทบไม่เปลี่ยน Censys ตั้งข้อสังเกตว่าเครื่องที่แพตช์แล้วและยังไม่แพตช์หายไปในอัตราใกล้เคียงกัน แปลว่าผู้ดูแลเลือกตัดการเชื่อมต่อมากกว่าอัปเดต เหตุนี้ยังเปิดคำถามเรื่องความรับผิดชอบ สำนักข่าว Bloomberg รายงานว่า Les Mousquetaires ระบุว่าระบบทำความเย็นอยู่ในการดูแลของ Danfoss จึงเป็นหน้าที่ของผู้ผลิตที่จะแจ้งความต่อเจ้าหน้าที่

ผลกระทบ

เหตุนี้เป็นตัวอย่างชัดเจนของการโจมตีระบบ OT ที่สร้างความเสียหายทางกายภาพและเศรษฐกิจในวงกว้างด้วยต้นทุนต่ำ อาหารสดที่ต้องทิ้ง อุปกรณ์ที่เสียหายจากความร้อน และความเสี่ยงต่อความปลอดภัยของอาหารหากสินค้าที่เคยอุ่นถูกวางขายต่อ ทำให้ผู้บริหารเครือค้าปลีกมองว่าเป็นการโจมตีห่วงโซ่อาหารของประเทศ

จุดอ่อนที่ทำให้โจมตีได้พร้อมกันหลายร้อยสาขา คือ รูปแบบธุรกิจของระบบทำความเย็น ร้านค้าจำนวนมากไม่ได้ดูแลตัวควบคุมเอง แต่ผู้รับเหมาเป็นผู้ติดตั้งและเปิดช่องจัดการจากระยะไกล อุปกรณ์จึงมักเปิดออกอินเทอร์เน็ต ใช้งานต่อหลังหมดอายุการสนับสนุนหลายปี และอยู่นอกสายตาทีมความปลอดภัยไอทีขององค์กร สำหรับเจ้าของ AK-SM 800 และ AK-SC 355 ขั้นตอน “ติดตั้งแพตช์” ไม่มีความหมาย เพราะผู้ผลิตไม่ออกแพตช์แล้ว ทางเลือกจริงมีเพียงตัดออกจากเครือข่ายหรือเปลี่ยนเครื่อง

คำแนะนำ

  • สำรวจตัวควบคุมระบบทำความเย็น ระบบอาคาร และอุปกรณ์ OT ทุกตัวที่ผู้รับเหมาติดตั้ง รวมถึงที่ไม่อยู่ในบัญชีทรัพย์สินไอที และตรวจว่ามีหน้าจัดการเปิดสู่อินเทอร์เน็ตหรือไม่
  • ตัดตัวควบคุม Danfoss AK-SM และ AK-SC ออกจากอินเทอร์เน็ตตามคำสั่ง CERT-FR หากจำเป็นต้องจัดการจากระยะไกล ให้จำกัดเฉพาะ IP ที่เชื่อถือได้เป็นมาตรการชั่วคราว และบังคับผ่านจุดเข้าเดียวที่มีการจัดการ เช่น VPN
  • ตัวควบคุมที่อาจถูกบุกรุกแล้ว ให้ทำตามลำดับของ CERT-FR: จำกัดการเข้าถึงเฉพาะผู้ให้บริการ รีเซ็ตเป็นค่าโรงงาน ติดตั้งแพตช์ทั้งหมดที่มี เปลี่ยนรหัสผ่านและความลับของอุปกรณ์ ตรวจบัญชีที่มีอยู่ และตั้งค่าใหม่ทั้งหมด
  • AK-SM 800A อัปเดตเป็นแพ็กเกจ 5.3.x (ระบบที่อยู่เวอร์ชัน 3.x ต้องขึ้น 4.x ก่อน และย้อนเวอร์ชันจาก 5.3.x ไม่ได้) และเปิด Strict Session Control ซึ่งบังคับ HTTPS
  • วางแผนเปลี่ยน AK-SM 800 และ AK-SC 355 ที่หมดอายุการสนับสนุนแล้ว
  • ตั้งการแจ้งเตือนอุณหภูมิผิดปกติแยกจากตัวควบคุมกลาง และกำหนดขั้นตอนตรวจสอบนอกเวลาทำการ เพื่อไม่ต้องรอพนักงานมาพบตอนเช้า
  • กำหนดในสัญญากับผู้รับเหมาให้ใช้รหัสผ่านที่ไม่ใช่ค่าเริ่มต้น ห้ามเปิดหน้าจัดการออกอินเทอร์เน็ตโดยตรง และแจ้งการเข้าถึงระยะไกลทุกครั้ง
  • ขยายการตรวจไปยังตัวควบคุม Copeland/Dixell XWEB ด้วย ตามที่ CERT-FR ระบุว่าเกี่ยวข้องกับเหตุ และติดตามแพตช์ของช่องโหว่ XWEB Pro ที่ Claroty เปิดเผย
  • ตรวจการตั้งค่ารอบละลายน้ำแข็งที่ถูกยืดผิดปกติ เพราะผู้โจมตีใช้วิธีนี้ทำให้ความร้อนดูเหมือนการซ่อมบำรุงตามปกติ
  • ถ้าต้องเปิดให้จัดการจากระยะไกลจริง ให้วางไฟร์วอลล์ระดับธุรกิจหรืออุตสาหกรรมคั่นหน้าอุปกรณ์ ตั้งกฎ deny all อนุญาตเฉพาะ IP ที่กำหนด บังคับรหัสผ่านและการยืนยันตัวตนสองชั้น เปิดอัปเดตอัตโนมัติ และเปลี่ยนไฟร์วอลล์ก่อนหมดอายุการสนับสนุน ตามคำแนะนำของนาย Ginter

แหล่งอ้างอิง