В ночь на 12 октября холодильники примерно в 700 французских супермаркетах начали греть. Температура местами доходила до 50 градусов, продукты пришлось выбросить. Только два магазина в Эльзасе потеряли 270 000 евро.

А сами магазины никто не взламывал. Атакующие зашли через модули удаленного управления холодильниками Danfoss и Copeland. По словам производителей, это в основном старые модели, для которых давно не выпускают обновлений. А исследователи безопасности еще раньше находили такие контроллеры прямо в открытом интернете.

Но мне кажется, интереснее всего здесь то, как такой модуль вообще оказывается в сети. Его ставят один раз, чтобы следить за температурой, не приезжая в магазин. Он работает, жалоб нет. И через несколько лет уже никто не помнит, что он есть, кто его подключил и куда он смотрит.

С агентами сейчас происходит то же самое, только быстрее. Агенту дают токен к почте, ключ к API, доступ к репозиторию или к Jira. Подключает обычно тот, кому нужно было решить задачу сегодня. Задача решена, агент продолжает работать, а доступ остается.

И у большинства команд, которые я вижу, нет простого списка: • какие агенты и интеграции сейчас могут что-то менять в рабочих системах • кто их подключил и работает ли этот человек еще в команде • когда этот доступ кто-то проверял в последний раз

Danfoss в ответ на атаку посоветовал обновить прошивку и спрятать оборудование за файрвол. Совет правильный, только чтобы обновить модуль, нужно сначала вспомнить, что он у вас есть.

Возможно, у вас тоже есть такой модуль. Просто он пока ничего не нагрел.