Хакери промениха хладилните настройки в 700 френски магазина

В големите супермаркети охлаждането се управлява от свързани в мрежа контролери. През уикенда нападатели променили настройките им във Франция, а управителите трябвало да преценят кои охладени и замразени продукти още са безопасни за продажба. На 13 октомври министърът на икономиката Ролан Лескюр съобщи пред National Assembly, че са засегнати около 700 от близо 10 000 магазина за хранителни стоки в страната. По думите му атаката първоначално породила опасения за снабдяването, но не довела до недостиг в цяла Франция (Dailymotion, BFMTV). Случаят показва какво може да последва, когато външен човек промени настройките на тези системи.

Засегнат магазин не означава непременно, че храната в него е била развалена. Числото на Лескюр обхваща магазините, чиито системи са били атакувани, а не тези, които са изхвърлили стока. В един магазин на Intermarché в Градинян съдебен изпълнител описал развалени продукти за 21 000 евро по покупни цени (Le Monde). За първата нощ на щетите вече писахме (To Brief). Оттогава официалният брой на засегнатите магазини е нараснал, а нападателите са насочили вниманието си и към техника на втора марка.

Контролно табло с достъп през уебстраница

Големият магазин не управлява всеки хладилен шкаф като домашен хладилник. Централен контролер изпълнява роля, подобна на термостатното табло в офис сграда. Техниците следят през него температурите и сигналите за проблеми в цялата система, често дистанционно през уебстраница. Сред обичайните му задачи е размразяването: охлаждащите серпентини се затоплят за кратко, за да се стопи натрупаният лед.

Търговците съобщават, че нападателите променили настройките за размразяване, като зададените стойности стигнали 50 °C (BFMTV). Това е стойност, въведена в контролера, а не измерена температура в кофичка с кисело мляко. След промяната магазините вече не можели да гарантират, че студената верига не е прекъсната, затова продуктите трябвало да се проверят и понякога да се изхвърлят.

Националният екип за киберсигурност на Франция CERT-FR потвърди множество пробиви в контролери Danfoss AK-SM и AK-SC. Според екипа оставянето на страниците им за управление достъпни през публичния интернет е лоша практика (CERT-FR). Казано чрез аналогията с термостата, това е все едно контролното табло на сградата да е монтирано на тротоара.

Датският производител Danfoss представи своя версия за случилото се. Компанията заяви, че повечето засегнати устройства били стари модели, извадени от производство: едната продуктова линия през 2016 г., другата през 2021 г. Тя добави, че собствените ѝ мрежи не са били засегнати (Cooling Post). Разследващите не са публикували как нападателите са проникнали в системите.

В нощта на 12 срещу 13 октомври списъкът със засегнатите се разширил: магазини с контролери на втория производител, Dixell, съобщили за сходни промени (Le Monde). В супермаркет в департамент Жиронд служителите забелязали променените настройки, преди да се наложи да изхвърлят продукти. Засега не е ясно дали същите нападатели стоят и зад случаите с Dixell.

Празни рафтове в Белгия по друга причина

Отделен инцидент в съседна Белгия засегна рафтовете през логистиката, а не през хладилните системи. В неделя, 11 октомври, Ahold Delhaize, собственик на Albert Heijn и Delhaize, откри проблем със сигурността на мрежата си и превантивно изключи системи (Ahold Delhaize). Магазините останаха отворени, но онлайн поръчките и доставките спряха. Главният изпълнителен директор на Albert Heijn каза, че работата в някои от седемте големи разпределителни центъра на веригата в Нидерландия е спряла напълно (NOS).

Белгийските магазини на Albert Heijn разчитат на един от тези центрове — в Тилбург (VRT). Скоро след това белгийски медии показаха празни рафтове в магазин в Роселаре. Съвпадението по време насочва към възможна връзка с Франция, но Ahold Delhaize заяви, че не е открила признаци за такава. Нидерландският Национален център за киберсигурност съобщи, че „засега не вижда основания да се предполага“ връзка (Security.NL).

Слабостта, разкрита във Франция, съществува и другаде. Датското инженерно издание Ingeniøren откри 51 по-стари хладилни системи Danfoss в Дания, достъпни през публичния интернет, макар нито една да не е била съобщена като компрометирана (Ingeniøren). Това е брой на отворените врати, а не на пробивите. CERT-FR предупреждава, че нулирането на устройство без поддръжка не го защитава, ако то продължи да е достъпно през публичния интернет: може да бъде компрометирано отново (CERT-FR). Търговците и фирмите, които поддържат хладилните им системи, могат да действат, преди да е публикуван начинът на проникване във Франция. Контролер, изключен от публичния интернет или подменен, е много по-труднодостъпен за външен нападател.