สรุปสั้น

ราวสามสัปดาห์ก่อน ผู้โจมตีที่ยังไม่ทราบตัวตนเข้าควบคุมตัวควบคุมระบบทำความเย็นของซูเปอร์มาร์เก็ตในฝรั่งเศสกว่า 700 สาขา สั่งให้ตู้เข้าโหมดละลายน้ำแข็งกลางดึกจนอาหารเสียทั้งร้าน (ดูข่าว 2026/10/103 ) ล่าสุดในคืนวันที่ 2 พฤศจิกายน 2569 เหตุแบบเดียวกันเกิดซ้ำเป็นระลอกที่สอง และกระจายกว้างกว่าเดิมอย่างน้อย 10 ประเทศ ได้แก่ เบลเยียม ลักเซมเบิร์ก สวีเดน เอสโตเนีย ไอร์แลนด์ เนเธอร์แลนด์ ฟินแลนด์ โปรตุเกส อิตาลี และเยอรมนี ผู้โจมตีเปลี่ยนค่าตัวควบคุมระยะไกลจนตู้เย็นและตู้แช่อุ่นขึ้น บางแห่งสั่งเข้าโหมดละลายน้ำแข็ง บางแห่งตั้งอุณหภูมิไว้ถึง 50°C ร้านที่โดนมีทั้งเครือใหญ่อย่าง Delhaize, Carrefour, ICA, Coop และ SuperValu ไปจนถึงร้านขายเนื้อในท้องถิ่น และหลายร้านต้องทิ้งหรือเก็บอาหารแช่เย็นแช่แข็งออกจากชั้นวาง กรณีในสวีเดนเคยรายงานไว้แล้วใน 2026/11/007

ระลอกนี้ขนาดเล็กกว่าเหตุในฝรั่งเศส เพราะไม่มีเครือใดโดนเกินหลายสิบสาขา บริษัท Danfoss ผู้ผลิตตัวควบคุมจากเดนมาร์ก ยืนยันว่าผลิตภัณฑ์ของตนเกี่ยวข้องอีกครั้ง และระบุว่าระบบที่โดนในเนเธอร์แลนด์ไม่ได้อยู่ในเครือข่ายที่ปลอดภัยและยังใช้รหัสผ่านเริ่มต้น ขณะที่ผู้รับเหมาระบบทำความเย็นหลายรายชี้ตรงกันว่าตัวควบคุมรุ่นเก่าที่ไม่ได้อัปเดตเป็นเป้าหลัก ยังไม่มีใครอ้างความรับผิดชอบ และยังไม่มีหลักฐานว่าเป็นกลุ่มเดียวกับเหตุในฝรั่งเศส ผู้ดูแลร้านค้าและคลังสินค้าห้องเย็นควรถอดตัวควบคุมออกจากอินเทอร์เน็ต ตรวจตารางละลายน้ำแข็ง และเปิดให้ผู้รับเหมาเข้าได้เฉพาะผ่าน VPN

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 โดยรวบรวมคำแถลงของบริษัทและผู้รับเหมาในแต่ละประเทศ ในเบลเยียมซึ่งโดนหนักที่สุด Delhaize แจ้งว่า “เหตุขัดข้องด้าน IT” กระทบระบบทำความเย็นหลายสิบสาขาในเบลเยียมและบางสาขาในลักเซมเบิร์ก Carrefour ยืนยันว่าถูกโจมตีทางไซเบอร์ 15 จากกว่า 700 สาขา Intermarché โดน 10-15 สาขา Spar ในเครือ Colruyt โดน 5 สาขาที่เจ้าของอิสระบริหาร และ IKEA สาขาเมือง Mons โดน 1 แห่ง นาย Stephan Moelans ผู้บริหารบริษัท Sabcobel ซึ่งดูแลระบบทำความเย็นให้ Delhaize ระบุว่าผู้โจมตีสั่งให้ตู้เข้าโหมดละลายน้ำแข็ง ซึ่งปกติใช้ล้างน้ำแข็ง แต่กลับทำให้ตู้ร้อนขึ้น Sabcobel พบเครื่องที่โดนราว 20 เครื่องจากหลายร้อยเครื่องที่ดูแล ส่วนร้านขายเนื้อ De Laet & Van Haver ในเมือง Hove ใกล้แอนต์เวิร์ป ตู้ถูกปรับขึ้นถึง 18°C และเจ้าของประเมินว่าเนื้อเสียหายราว 15,000 ยูโร สำนักงานอัยการกลางของเบลเยียมเปิดการสอบสวนคดีอาญาแล้ว

ในประเทศอื่น ICA สาขาเมือง Sjöbo ทางใต้ของสวีเดนแจ้งว่าตู้ถูกตั้งไว้ที่ 50°C และกำลังทิ้งสินค้า ส่วน Coop สวีเดนโดน 6-7 สาขาจากราว 800 สาขา ในไอร์แลนด์ บริษัท Musgrave เจ้าของ SuperValu เก็บสินค้าแช่เย็นแช่แข็งออกจากชั้นวาง 13 จาก 223 สาขา และระบุว่าเหตุจำกัดอยู่ที่ตู้รุ่นเดียว ก่อนกลับมาเติมสินค้าได้ในบ่ายวันเดียวกัน ในเอสโตเนีย ตู้แช่ของ Selver ถูกตั้งไว้ที่ 50°C แต่อุณหภูมิจริงขึ้นเพียง 2-3°C และแก้ได้ในราว 10 นาที ในเนเธอร์แลนด์ Danfoss ระบุว่ามีธุรกิจโดนอย่างน้อย 17 แห่ง ส่วนใหญ่เป็นร้านขายเนื้อและร้านเล็ก ขณะที่โปรตุเกสมี Intermarché โดน 7 สาขาผ่านบริษัทภายนอกที่ดูแลระบบทำความเย็น และอิตาลีมี Coop ในซิซิลีโดนอย่างน้อย 4 สาขา ด้านเว็บไซต์ Dark Reading รายงานว่าบริษัท Copeland ผู้ผลิตตัวควบคุมจากสหรัฐฯ ออกแถลงการณ์ยอมรับเหตุในฝรั่งเศสที่เกี่ยวกับตัวควบคุมรุ่นที่เลิกผลิตแล้ว และร้านขายเนื้อรายหนึ่งในเบลเยียมบอกสถานี NOS ว่าอุปกรณ์ของ Copeland ก็ถูกโจมตีด้วย

ข้อจำกัดของข้อมูลที่ควรรู้มี 4 ข้อ

  • แต่ละบริษัทใช้คำต่างกัน — Delhaize เรียกว่าเหตุขัดข้องด้าน IT ส่วน ICA ไม่ยืนยันว่าเป็นการโจมตีทางไซเบอร์ ขณะที่ Kesko ในฟินแลนด์ระบุเพียงว่าอุณหภูมิผิดปกติและกำลังหาสาเหตุ
  • ค่าที่ถูกตั้งไม่เท่ากับอุณหภูมิจริง — การตั้งค่าไว้ที่ 50°C ไม่ได้แปลว่าตู้หรืออาหารร้อนถึงระดับนั้น อย่างกรณี Selver ที่ขึ้นเพียง 2-3°C
  • วิธีเดียวกันไม่ได้แปลว่าคนเดียวกัน — Danfoss, Sabcobel และ Kitman Coldtech ชี้ว่าวิธีในเนเธอร์แลนด์ เบลเยียม และเอสโตเนียคล้ายเหตุในฝรั่งเศส แต่ศูนย์ความปลอดภัยไซเบอร์เบลเยียมระบุว่ายังไม่รู้ว่าใครอยู่เบื้องหลัง และ “อาจไม่มีวันระบุได้”
  • รายชื่ออุปกรณ์ยังไม่ครบทุกประเทศ — รายชื่อตัวควบคุมของ Danfoss, Copeland และ Dixell มาจากการสอบสวนเหตุในฝรั่งเศส ไม่ใช่รายการที่ยืนยันแล้วสำหรับระลอกนี้ทุกจุด และ Musgrave ไม่ได้ระบุยี่ห้อของตู้ที่โดน

วิธีการโจมตี

ทางเข้า คือ ตัวควบคุมที่ต่ออินเทอร์เน็ตไว้ให้ช่างดูแลระยะไกล — ตัวควบคุมระบบทำความเย็น (refrigeration controller) คือ คอมพิวเตอร์ที่สั่งงานตู้เย็นและตู้แช่ทั้งร้าน ร้านจำนวนมากต่อมันเข้าอินเทอร์เน็ตเพื่อให้ผู้รับเหมาเฝ้าดูอุณหภูมิและแก้ปัญหาจากระยะไกล ICA ระบุว่าสาขาที่โดนทุกแห่งต่อกับระบบควบคุมภายนอกที่ Danfoss จัดหา และอยู่นอกเครือข่ายกลางของ ICA ในเบลเยียม ผู้โจมตีเข้าระบบของแต่ละร้านโดยตรง ไม่ได้เจาะระบบของผู้รับเหมา ตามที่ Moelans ระบุ

สิ่งที่เปิดประตูให้ คือ รหัสผ่านเริ่มต้นและเฟิร์มแวร์เก่า — Danfoss บอกสถานี NOS ว่าระบบที่โดนในเนเธอร์แลนด์ยังใช้รหัสผ่านเริ่มต้น และบอกสถานี VTM ว่าจุดอ่อนหลักอยู่ที่ซอฟต์แวร์รุ่นเก่า ลูกค้าที่ไม่ได้อัปเดตจึงโดน เมื่อเดือนตุลาคม Danfoss ระบุว่าเครื่องส่วนใหญ่ที่โดนในฝรั่งเศสเป็นรุ่นเก่าที่บริษัทเลิกอัปเดตแล้ว คือ AK-SM 800 และ AK-SC 355 ส่วนในเอสโตเนีย สาขาที่โดนเป็นสาขาสุดท้ายที่ Selver ยังไม่ได้ย้ายไประบบใหม่ นอกจากนี้บริษัท Claroty เคยเปิดเผยช่องโหว่ 3 ตัวในตัวควบคุม Danfoss AK-SM 800A และอีก 2 ตัวในตัวควบคุมของ Copeland เมื่อเดือนสิงหาคม 2569 แต่ยังไม่มีรายงานยืนยันว่าระลอกนี้ใช้ช่องโหว่ตัวใด

ผลลัพธ์ คือ เปลี่ยนค่าตั้ง ไม่ใช่ทำลายเครื่อง — ผู้โจมตีใช้ฟังก์ชันปกติของตัวควบคุม คือ สั่งเข้าโหมดละลายน้ำแข็งหรือปรับค่าอุณหภูมิเป้าหมาย ความเสียหายจึงเกิดจากอาหารที่ต้องทิ้ง ไม่ใช่อุปกรณ์พัง

สมมติฐานเรื่องการเลือกเป้า — นาย John Gallagher รองประธานบริษัท Viakoo ให้ความเห็นกับ Dark Reading ว่าคำอธิบายที่ตรงที่สุด คือ ผู้โจมตีน่าจะสแกนอินเทอร์เน็ตหาลายนิ้วมือของตัวควบคุม Danfoss, Dixell และ Copeland แล้วใช้สคริปต์อัตโนมัติลองรหัสผ่านเริ่มต้นหรือช่องโหว่เว็บที่รู้จักกันอยู่แล้ว จนสั่งละลายน้ำแข็งได้พร้อมกันหลายร้าน ข้อนี้เป็นการวิเคราะห์ของผู้เชี่ยวชาญ ยังไม่ใช่ข้อเท็จจริงที่ยืนยันจากการสอบสวน

ผลกระทบ

กลุ่มที่โดนตรง คือ ซูเปอร์มาร์เก็ตและร้านค้าปลีกอาหารในยุโรปที่ยังเปิดตัวควบคุมระบบทำความเย็นสู่อินเทอร์เน็ต โดยเฉพาะร้านที่ใช้ตัวควบคุมรุ่นเก่าหรือรหัสผ่านเริ่มต้น ความเสียหายรายร้านมีตั้งแต่ไม่กี่นาทีจนถึงต้องทิ้งสินค้าทั้งตู้ เช่น เนื้อมูลค่าราว 15,000 ยูโรของร้านในเมือง Hove และเมื่อรวมกับระลอกแรกในฝรั่งเศส BBC ประเมินความเสียหายไว้หลายสิบล้านยูโร ระลอกนี้ยังชี้ว่าคำเตือนหลังเหตุฝรั่งเศสยังไปไม่ถึงทุกคน ในเนเธอร์แลนด์ร้านส่วนใหญ่ปรับระบบแล้ว แต่ร้านที่โดน คือ ร้านส่วนน้อยที่ยังไม่ได้ทำ

ความเสี่ยงไม่ได้จำกัดอยู่ที่ซูเปอร์มาร์เก็ต นาย Sean Tufts จากบริษัท Claroty ชี้ว่าคลังเก็บยา ศูนย์กระจายอาหาร และโรงงานอุตสาหกรรมต่างพึ่งระบบ OT ที่เชื่อมต่อเครือข่ายเพื่อคุมอุณหภูมิเช่นเดียวกัน ถ้าคลังยาโดน ยาที่ไวต่ออุณหภูมิอาจเสียทั้งล็อต ด้านนาย Christophe Hansen กรรมาธิการด้านเกษตรของสหภาพยุโรป เตือนถึงความเสี่ยงที่ห่วงโซ่อาหารจะถูกรบกวนเพิ่ม เหตุนี้ยังเกิดพร้อมกับที่สหรัฐฯ สอบสวนตู้แช่แข็งในฐานทัพที่เสียพร้อมกัน (2026/10/357 ) ซึ่งยังไม่มีการยืนยันว่าเกี่ยวข้องกัน

คำแนะนำ

  • ร้านค้าและคลังห้องเย็น — ทำทันที: ตรวจว่าตัวควบคุม Danfoss AK-SM/AK-SC, Copeland xweb และ Dixell xweb เข้าถึงจากอินเทอร์เน็ตได้หรือไม่ รวมถึงเครื่องที่มี IP สาธารณะ ถ้าได้ให้ตัดออก ตามแนวทางของ CERT-FR ที่เตือนว่าแคมเปญโจมตีน่าจะยังดำเนินอยู่ (ตรวจสัญญาประกันภัยก่อนตัดสัญญาณที่ส่งให้ผู้รับเหมา)
  • ทำทันที: เปลี่ยนรหัสผ่านเริ่มต้นและรหัสบริการที่ใช้ร่วมกันหลายสาขา และสำหรับ Danfoss ให้ตั้งระดับความปลอดภัยเป็น Strict
  • ตรวจว่าโดนแล้วหรือยัง: ไล่ดูค่าตั้งทั้งหมดของตัวควบคุม โดยเฉพาะตารางละลายน้ำแข็ง (defrost schedule) และค่าอุณหภูมิเป้าหมาย เพราะค่าที่ถูกแก้อาจทำงานต่อแม้ตัดการเข้าถึงแล้ว
  • ถ้าโดนแล้ว: รีสตาร์ตหรือรีเซ็ตตัวควบคุม Danfoss เป็นค่าโรงงาน แล้วตั้งค่าใหม่ก่อนใช้งาน ส่วนรุ่นที่หมดอายุการสนับสนุนแล้ว การรีเซ็ตอย่างเดียวไม่พอ ต้องไม่ต่ออินเทอร์เน็ตอีกหรือเปลี่ยนเครื่อง
  • ผู้รับเหมาระบบทำความเย็น: ให้เข้าระบบได้เฉพาะผ่าน VPN หรือเครือข่ายที่ป้องกันแล้วพร้อมการยืนยันตัวตนที่แข็งแรง การกรอง IP ที่ไฟร์วอลล์ใช้ได้เป็นทางแก้ฉุกเฉินเท่านั้น
  • ระยะยาว: ทำบัญชีอุปกรณ์ OT ทุกตัวที่ต่ออินเทอร์เน็ต ตัดสินว่าเครื่องใดจำเป็นต้องต่อ และแยกเครือข่ายของระบบทำความเย็นออกจากระบบอื่น ตามคำแนะนำของศูนย์ความปลอดภัยไซเบอร์สวีเดน

แหล่งอ้างอิง