Segundo a Euronews e o Guardian, controladores de refrigeração de supermercados em nove países foram atacados em 2 e 3 de novembro após dias de sondagem; uma empresa de segurança aponta a Rússia, mas ninguém assumiu a autoria nem ela foi confirmada.

Sistemas de refrigeração de supermercados em nove países europeus, além de vários bancos de sangue na França, foram atacados em 2 e 3 de novembro, informa a Euronews. Os invasores exploraram segurança fraca e vulnerabilidades no gerenciador de refrigeração AK-SM da Danfoss para colocar geladeiras e freezers em modo de degelo, em alguns casos com temperaturas de até 50 °C, e muitos comerciantes tiveram de descartar produtos estragados. O Guardian descreve um atacadista londrino de frutas e legumes que viu as luzes de degelo acesas e puxou o cabo que liga seus equipamentos à internet; comerciantes na Bélgica, Estônia, Irlanda, Finlândia, Luxemburgo, Países Baixos e Suécia relataram falhas semelhantes.

A pergunta sobre quem é o responsável continua em aberto. A empresa de segurança Lupovis diz que seus honeypots, sistemas isca que imitam dispositivos reais, registraram mais de 276 tentativas de 91 agentes diferentes contra componentes de controladores Danfoss entre 20 e 30 de outubro, com pico em 26 de outubro, e que parte da atividade levou a uma hospedagem «à prova de balas» já usada por grupos russos. Seu presidente-executivo, Xavier Bellekens, acha que um ator estatal combina com uma operação coordenada, mas ressalta que a empresa não tem certeza de que fosse russo. George Nott, editor de tecnologia do The Grocer, adverte que não houve pedido de resgate nem reivindicação e que o autor pode ir de um grupo apoiado por um Estado a amadores; até as agências nacionais divergem no termo: Bélgica, Luxemburgo, Itália, Portugal e Estônia falam em ataque cibernético, Suécia e Irlanda em incidente cibernético, e a agência europeia ENISA evita chamá-lo de ataque.

O que os especialistas aceitam em comum é como as falhas eram básicas. Segundo os relatos, os invasores encontraram páginas de login na internet aberta e usaram vulnerabilidades já corrigidas e senhas fracas, e o Centro Nacional de Cibersegurança britânico diz que não precisaram de IA porque as senhas padrão estavam publicadas em manuais. A Danfoss disse ao Guardian que a maior parte do equipamento afetado era antiga e não recebia mais atualizações de segurança, e a Lupovis argumenta que colocar esses controladores atrás de uma VPN, em vez de expostos diretamente, teria eliminado boa parte do risco. O chefe do NCSC, Richard Horne, alerta que estamos nas «encostas» de uma onda de incidentes, enquanto o primeiro diretor da agência, Ciaran Martin, fala em uma má fase, mas sem precedentes não, citando NotPetya e WannaCry em 2017.