CERTFR 2026 ALE 012

Objet : Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération

Une gestion de version détaillée se trouve à la fin de ce document.

Non spécifié par l'éditeur

Le CERT-FR a connaissance de nombreuses compromissions des controleurs à distance d'installation de réfrigération Danfoss série AK-SM, AK-SC ainsi que Copeland xweb et Dixell xweb.

De manière générale l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques.

Si les équipements ne sont pas compromis : Sortir de la zone de danger : Supprimer l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique. Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste. Vérifier l’intégralité de la configuration, notamment les plages de dégivrage. Rétablir le service : Rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé. Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne. Mettre en place les bonnes pratiques recommandées par le constructeur (mise à jour du firmware, etc.). Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc.

Si les équipements ne sont pas compromis :

Sortir de la zone de danger : Supprimer l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique. Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste. Vérifier l’intégralité de la configuration, notamment les plages de dégivrage.

Supprimer l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique. Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste.

Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste.

Vérifier l’intégralité de la configuration, notamment les plages de dégivrage.

Rétablir le service : Rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé. Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne. Mettre en place les bonnes pratiques recommandées par le constructeur (mise à jour du firmware, etc.). Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc.

Rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé. Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne.

Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne.

Mettre en place les bonnes pratiques recommandées par le constructeur (mise à jour du firmware, etc.). Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc.

Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc.

Si les équipements sont compromis : Sortir de la zone de danger : Supprimer l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique. Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste. Restaurer l'équipement (Reset Factory). Rétablir le service : Rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé. Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne. Reconfigurer l'équipement pour sa remise en service. Mettre en place les bonnes pratiques recommandées par le constructeur (mise à jour du firmware, etc.). Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc..

Si les équipements sont compromis :

Sortir de la zone de danger : Supprimer l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique. Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste. Restaurer l'équipement (Reset Factory).

Sortir de la zone de danger :

Supprimer l’exposition Internet des unités concernées et de toutes les unités exposées sur une adresse IP publique. Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste.

Vérifier les conditions contractuelles d’assurance avant de couper la remontée des données Internet vers le prestataire frigoriste.

Restaurer l'équipement (Reset Factory).

Rétablir le service : Rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé. Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne. Reconfigurer l'équipement pour sa remise en service. Mettre en place les bonnes pratiques recommandées par le constructeur (mise à jour du firmware, etc.). Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc..

Rétablir le service :

Rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé. Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne.

Dans l'urgence, un simple filtrage des IP sources des prestataires frigoristes sur un pare-feu est possible, mais cette solution ne doit pas être considérée comme pérenne.

Reconfigurer l'équipement pour sa remise en service.

Mettre en place les bonnes pratiques recommandées par le constructeur (mise à jour du firmware, etc.). Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc..

Exemple pour les équipements Danfoss : mettre à jour le firmware, configurer le niveau de sécurité en mode Strict, s'assurer que les mots de passe par défaut ont été changés, etc..

ATTENTION : Des campagnes d'attaques sont probablement toujours en cours visant ces équipements. Maintenir une exposition Internet à un équipement sans correctif de sécurité (End of Life - EOL) est l'exposer à une forte très probabilité de compromission. N'effectuer qu'un Reset Factory est dans ce cas insuffisant, les persistances d'une instance compromise seront supprimées mais l'équipement restera vulnérable et sera certainement de nouveau compromis.

Gestion détaillée du document