Národné centrum kybernetickej bezpečnosti NBÚ vydalo 3. novembra 2026 varovanie pred útokmi na riadiace systémy chladiarenskej a klimatizačnej techniky v krajinách EÚ. Na prvý pohľad je to téma pre potravinárstvo a maloobchod. V skutočnosti je to téma pre každého, kto spravuje budovu s technológiou pripojenou do siete.
Čo sa stalo
Podľa varovania útočníci získali neoprávnený prístup k riadiacim jednotkám a zmenili ich konfiguráciu. Dôsledkom bolo znehodnotenie uskladnených potravín a v niektorých prípadoch požiare. Prvá hromadná vlna prebehla 11. a 12. októbra 2026 vo Francúzsku a zasiahla chladiarenské systémy v stovkách supermarketov. Druhá vlna 2. novembra 2026 zasiahla desiatky reťazcov v Írsku, Švédsku, Taliansku, Portugalsku, Belgicku, Luxembursku, Holandsku, Fínsku a Estónsku.
Varovanie menuje dotknuté systémy — Copeland XWEB, Danfoss AK-SC a AK-SM, Dixell XWEB — s poznámkou, že zoznam nemusí byť úplný. Francúzske CERT-FR vydalo 12. októbra 2026 výstrahu CERTFR-2026-ALE-012, 13. októbra ju rozšírilo o ďalšie zariadenia a 16. októbra upravilo odporúčania. K 9. novembru 2026 ani jedno z týchto varovaní neuvádza CVE ani oficiálne potvrdený vektor prvotného prístupu. Varovanie NCKB neuvádza potvrdený prípad na Slovensku.
Prečo je to problém IT, nie údržby
Rizikové faktory, ktoré NCKB uvádza, sú nudné a dobre známe: zariadenia dostupné z internetu, predvolené alebo slabé heslá, nedostatočne chránené administračné rozhrania a neopravené zraniteľnosti. CERT-FR k tomu dodáva, že vystavenie administračného rozhrania do internetu je v rozpore s dobrou praxou a že zariadenie po konci podpory, ktoré je dostupné z internetu, treba považovať za veľmi pravdepodobne kompromitované — samotný reset do továrenských nastavení podľa neho nestačí, lebo zariadenie zostáva zraniteľné.
Spoločný menovateľ je ale inde. Tieto jednotky spravidla neobstarala IT. Kúpila ich správa budov, nainštaloval dodávateľ chladenia a ten si ponechal vzdialený prístup na servis. V evidencii aktív nie sú, v pláne aktualizácií nie sú, v segmentácii siete nie sú. Útok na ne ani nevyzerá ako kybernetický incident, kým niekto neotvorí mraziak.
Pre regulované subjekty je tu aj druhá rovina. Vyhláška NBÚ č. 212/2026 Z. z., účinná od 1. septembra 2026, pracuje v ustanoveniach o audite s operačnými technológiami popri sieťach a informačných systémoch. Zariadenie, o ktorom IT nevie, sa v audite zle obhajuje.
Čo skontrolovať
- Nájsť všetky riadiace jednotky chladenia a HVAC a zistiť, ktoré sú dostupné z internetu.
- Zmeniť predvolené prihlasovacie údaje a zapnúť viacfaktorové overenie tam, kde ho zariadenie podporuje.
- Prejsť používateľské kontá a vzdialené prístupy vrátane prístupov dodávateľov a servisných firiem.
- Aktualizovať firmvér; pri zariadeniach Danfoss odporúča CERT-FR nastaviť úroveň zabezpečenia na Strict.
- Skontrolovať konfiguráciu — teplotné limity, rozvrhy odmrazovania, prahy alarmov — a porovnať ju s dôveryhodnou zálohou.
- Overiť skutočné teploty nezávislým meraním, nie údajom z toho istého systému.
- Odstrániť priamu dostupnosť z internetu, prístup viesť cez VPN alebo chránenú sieť a OT sieť segmentovať.
- Vymeniť zariadenia po konci podpory; tie, ktoré vymeniť nejde, chrániť prísnejšie.
Podozrenie na incident sa hlási cez JISKB na jiskb.nbu.gov.sk.
Trvalejšie poučenie
Jednorazová obchôdzka po varovaní problém nerieši. Ak tieto zariadenia nie sú v evidencii aktív, o rok bude treba rovnakú kontrolu robiť znova a rovnako ručne. Praktickejšie je doplniť ich do toho istého registra, v ktorom sú servery a koncové stanice — s vlastníkom, dodávateľom, verziou firmvéru, dátumom konca podpory a poznámkou, kto má vzdialený prístup. Z ďalšieho varovania sa potom stane dotaz do databázy namiesto telefonátov po budovách.