Kyberútok zasáhl 700 francouzských supermarketů

O víkendu útočníci změnili nastavení chladicích zařízení ve francouzských supermarketech. Vedoucí prodejen pak museli posoudit, které chlazené a mražené potraviny lze dál bezpečně prodávat. Ministr hospodářství Roland Lescure 13. října v Národním shromáždění uvedl, že útok zasáhl asi 700 z přibližně 10 000 francouzských prodejen s potravinami. Zpočátku vyvolal obavy o zásobování, celostátní nedostatek ale nezpůsobil (Dailymotion, BFMTV). Chlazení ve velkých supermarketech řídí síťové regulátory. Události tohoto týdne ukázaly, co se stane, když jejich nastavení změní někdo zvenčí.

Údaj o zasažených prodejnách neříká, kolik z nich muselo potraviny vyhodit. U jedné prodejny Intermarché v Gradignanu vyčíslil soudní vykonavatel znehodnocené zásoby na 21 000 EUR v pořizovací ceně (Le Monde). O první noci škod jsme psali už dříve (To Brief). Od té doby se zvýšil počet zasažených prodejen a útočníci se zaměřili také na zařízení další značky.

Řídicí panel chlazení s webovým rozhraním

Ve velké prodejně nefunguje každá chladicí vitrína jako samostatná domácí lednice. Nad celou soustavou dohlíží řídicí jednotka, podobná ústřednímu termostatu v kancelářské budově. Technici přes ni sledují teploty a alarmy v celé instalaci, často na dálku přes webové rozhraní. Mezi její běžné funkce patří odmrazování: chladicí výměníky se na chvíli zahřejí, aby roztál nahromaděný led.

Obchodníci uvádějí, že útočníci přepsali nastavení odmrazování. Podle zpráv dosahovaly zadané hodnoty až 50 °C (BFMTV). Jde o číslo zadané do regulátoru, ne o teplotu naměřenou uvnitř kelímku s jogurtem. Po zásahu už prodejny nemohly zaručit, že chladicí řetězec zůstal zachován, a musely proto potraviny kontrolovat a někdy vyřadit.

Francouzský národní tým pro reakci na kybernetické incidenty CERT-FR potvrdil řadu napadených regulátorů Danfoss AK-SM a AK-SC. Zpřístupnit jejich administrační stránky přímo z veřejného internetu označil za špatnou praxi (CERT-FR). V přirovnání k termostatu je to, jako by řídicí panel celé budovy visel na chodníku.

Dánský výrobce Danfoss popsal situaci po svém. Uvedl, že většina zasažených jednotek patřila ke starším modelům, jejichž výrobu ukončil: jednu produktovou řadu v roce 2016 a druhou v roce 2021. Jeho vlastní sítě podle firmy zasaženy nebyly (Cooling Post). Vyšetřovatelé zatím nezveřejnili, jak se útočníci do systémů dostali.

V noci z 12. na 13. října se okruh zasažených zařízení rozšířil. Podobné změny nahlásily prodejny používající regulátory druhého výrobce, společnosti Dixell (Le Monde). V jednom supermarketu v Gironde si zaměstnanci změněného nastavení všimli dřív, než museli cokoli vyhodit. Zda za případy s regulátory Dixell stojí stejní útočníci, zatím není jasné.

Prázdné regály v Belgii, tentokrát kvůli logistice

Jiný incident za hranicemi zasáhl zásobování obchodů přes logistiku, nikoli přes chladicí zařízení. V neděli 11. října zjistila společnost Ahold Delhaize, která vlastní řetězce Albert Heijn a Delhaize, problém v zabezpečení své sítě a z preventivních důvodů odpojila systémy (Ahold Delhaize). Prodejny zůstaly otevřené, nefungovaly však online objednávky ani rozvoz. Generální ředitel Albert Heijn uvedl, že v některých ze sedmi velkých distribučních center řetězce v Nizozemsku se práce úplně zastavily (NOS).

Belgické prodejny Albert Heijn zásobuje jedno z těchto center v Tilburgu (VRT). Belgická média brzy informovala o prázdných regálech v prodejně v Roeselare. Časová souvislost svádí ke spojení s Francií, Ahold ale uvedl, že pro takovou vazbu nemá žádné známky. Nizozemské Národní centrum pro kybernetickou bezpečnost dodalo, že „v tuto chvíli nevidí důvod se domnívat“, že spolu incidenty souvisejí (Security.NL).

Slabé místo odhalené ve Francii se vyskytuje i jinde. Dánský technický server Ingeniøren našel 51 starších chladicích systémů Danfoss dostupných z veřejného internetu; o napadení žádného z nich se neinformovalo (Ingeniøren). Jde o počet zařízení dostupných z internetu, mezi nimiž nebyl potvrzený žádný průnik. CERT-FR varuje, že obnovení nastavení nepodporovaného zařízení, které zůstává veřejně dostupné, ho nechává otevřené dalšímu napadení (CERT-FR). Prodejci ani jejich dodavatelé chladicích systémů nemusí čekat, až vyšetřovatelé zveřejní, kudy se útočníci ve Francii dostali dovnitř. Regulátor odpojený od veřejného internetu nebo vyměněný je pro někoho zvenčí mnohem hůře dostupný.