Hackeři rozmrazili lednice ve francouzských supermarketech

V noci z neděle 11. na pondělí 12. října pronikli útočníci do počítačů, které řídí chlazení ve francouzských supermarketech. Ráno pak zaměstnanci našli čerstvé i mražené potraviny, které už nemohli prodávat (Euronews). Jen řetězce Intermarché a Netto napočítaly nejméně 300 zasažených prodejen (AFP via TV5Monde). Nikdo zatím veřejně nevysvětlil, kudy se útočníci do systémů dostali.

Jak lze chladicímu zařízení přikázat, aby se zahřálo

Ve velkém supermarketu jsou desítky chladicích vitrín a mrazáků. Jejich provoz koordinuje jeden řídicí počítač. Dánský výrobce zasažených jednotek Danfoss označuje své systémy AK-SM za „system managers“: technici v nich mohou měnit nastavení, časové plány i alarmy, a to také na dálku přes webový prohlížeč (Danfoss). Jde o centrální ovládací panel pro celý obchod, k němuž se servisní technik může připojit na dálku.

Panel mimo jiné řídí odmrazování. Kovové trubky, kterými v chladicích vitrínách proudí chladivo, postupně pokrývá led. Systém je proto na krátkou dobu zahřeje, aby námraza roztála. Podobně funguje odmrazování domácího mrazáku, v obchodě ale probíhá automaticky.

Provozovatelé uvedli, že útočníci tento cyklus vynutili na chladicích zařízeních; podle médií dosahovalo nastavení až 50 °C (BFMTV). Jde o hodnotu zadanou do řídicí jednotky, která určuje, na jakou teplotu má ohřev dostat výparník. Neříká, jaké teploty dosáhlo například balení kuřete na regálu.

Pro bezpečnost potravin je podstatné také to, jak dlouho chlazení nefungovalo. Skupina Les Mousquetaires, která vlastní Intermarché, řekla agentuře Reuters, že zařízení v první skupině asi 150 prodejen zůstala teplá zhruba šest hodin (Reuters via Boursorama). Po tak dlouhém výpadku už obchod nemůže zaručit bezpečnost zboží ve vitrínách, a musí ho proto vyřadit. Předseda skupiny Thierry Cotillard odhadl jednodenní škody na desítky milionů eur (BFMTV). Jde o předběžný odhad, nikoli o vyúčtovanou částku.

Stovky prodejen, přesný počet není znám

Počet zasažených prodejen během pondělí dál rostl. Pozdější zpráva agentury AFP uváděla, že výpadek postihl více než 100 obchodů družstva Coopérative U (AFP). Carrefour agentuře Reuters potvrdil zásah v 80 prodejnách, u Monoprix šlo asi o 5 % z přibližně 490 obchodů (Reuters).

E.Leclerc potvrdil výpadky v několika prodejnách po útoku na dodavatele chladicí technologie. Metro uvedlo, že se terčem útoku stal jeho externí dodavatel. Ani jedna společnost počet zasažených obchodů nesdělila (Le Monde). Některé řetězce počty nezveřejnily a jiné je během dne měnily, spolehlivý součet za celou Francii proto zatím není k dispozici.

Cesta do systémů zůstává nejasná

Francouzský tým pro řešení kybernetických incidentů CERT-FR oznámil, že odhalil četná napadení řídicích jednotek Danfoss AK-SM a AK-SC. Upozornil, že ponechávat jejich správcovská rozhraní volně přístupná z veřejného internetu je v rozporu s dobrou bezpečnostní praxí (CERT-FR).

Danfoss uvedl, že většina zasažených jednotek patřila ke starším modelům, které už nedostávají bezpečnostní aktualizace. U některých novějších zařízení nebyl aktuální zabudovaný software, takzvaný firmware (Cooling Post). Dánské agentuře Ritzau firma sdělila, že její vlastní informační systémy napadeny nebyly (Ritzau via DKNyt).

Tým Team82 ze společnosti Claroty toto zařízení zkoumal už dříve. Ukázal, že zranitelnosti jednoho modelu řídicí jednotky mohou útočníkovi umožnit zasahovat do chlazení. Při skenování internetu našel 2 765 takových rozhraní dostupných online (Claroty Team82). Žádný veřejný zdroj ale nepotvrzuje, že útočníci ve Francii využili právě tyto zranitelnosti.

Pařížské státní zastupitelství zahájilo vyšetřování, které má určit počet obětí a zjistit, zda zkažené potraviny a hlášené požáry souvisejí s útokem (France 24/AFP). Podle zdroje blízkého premiérovi našel francouzský Národní úřad pro bezpečnost informačních systémů (ANSSI) zranitelnost v softwaru dánského dodavatele a prověřuje, zda jsou ve Francii podobně vystavené další firmy (Franceinfo).

Škody na zboží v prodejnách jsou zřejmé. Jak se útočníci do systémů dostali, zatím doloženo není; odpověď mají přinést vyšetřování pařížské prokuratury a pátrání ANSSI. Dokud své závěry nezveřejní, mají provozovatelé obchodů s těmito řídicími jednotkami důvod ověřit, zda je jejich ovládací panel dostupný z internetu.