Manipulerede køleanlæg rammer 700 franske supermarkeder

I weekenden ændrede angribere indstillingerne for køleanlæggene i franske supermarkeder. Butikschefer måtte vurdere, hvilke køle- og frostvarer der stadig var sikre at sælge. Økonomiminister Roland Lescure sagde 13. oktober i Nationalforsamlingen, at omkring 700 af Frankrigs cirka 10.000 dagligvarebutikker var ramt. Angrebet skabte først frygt for problemer med forsyningerne, men førte ikke til en landsdækkende varemangel (Dailymotion, BFMTV). Kølingen i et stort supermarked styres af netværksforbundne kontrolsystemer. Ugens hændelser viste, hvad der kan ske, når uvedkommende ændrer deres indstillinger.

At en butik blev ramt, betyder ikke, at dens varer blev ødelagt. Lescures tal tæller butikker, der blev angrebet, ikke butikker, der måtte smide varer ud. I et Intermarché i Gradignan opgjorde en foged fordærvede varer til en indkøbspris på 21.000 euro (Le Monde). Vi beskrev skaderne den første nat (To Brief). Siden er det officielle antal ramte butikker steget, og udstyr fra endnu en producent er blevet angrebet.

Et kontrolpanel med adgang via nettet

Et stort supermarked styrer ikke hver køledisk som et køleskab i et hjem. Et centralt kontrolsystem fungerer som termostatpanelet i en kontorbygning. Teknikere bruger det til at overvåge temperaturer og alarmer i hele anlægget, ofte via en webside, som de kan åbne på afstand. En af systemets almindelige opgaver er afrimning: Kølespiralerne varmes kortvarigt op, så ophobet is smelter.

Detailkæderne siger, at angriberne ændrede indstillingerne for afrimning. De indstillede værdier skal ifølge meldinger have været helt oppe på 50 °C (BFMTV). Det er et tal, der blev tastet ind i kontrolsystemet, ikke en måling af temperaturen inde i en yoghurt. Efter manipulationen kunne butikkerne ikke længere stå inde for, at kølekæden havde været ubrudt. Derfor måtte varerne kontrolleres, og nogle blev kasseret.

Frankrigs nationale cybersikkerhedsberedskab CERT-FR bekræftede, at flere Danfoss AK-SM- og AK-SC-styringer var blevet kompromitteret. Beredskabet kaldte det dårlig praksis at gøre systemernes administrationssider direkte tilgængelige fra det offentlige internet (CERT-FR). Det svarer til at montere bygningens kontrolpanel ud mod fortovet.

Den danske producent Danfoss gav sin egen redegørelse. Ifølge virksomheden var de fleste berørte enheder ældre modeller, som var taget ud af produktion: Den ene serie i 2016, den anden i 2021. Danfoss oplyste også, at virksomhedens egne netværk ikke var berørt (Cooling Post). Efterforskerne har ikke offentliggjort, hvordan angriberne fik adgang.

Listen over berørte systemer blev udvidet natten mellem 12. og 13. oktober, da butikker med styringer fra en anden producent, Dixell, meldte om lignende ændringer (Le Monde). I et supermarked i Gironde opdagede medarbejderne de ændrede indstillinger, før de måtte kassere varer. Det er endnu uklart, om de samme angribere står bag Dixell-sagerne.

Tomme hylder i Belgien af en anden grund

Et separat angreb på den anden side af grænsen ramte varehylderne gennem logistikken, ikke køleanlæggene. Søndag 11. oktober fandt Ahold Delhaize, der ejer Albert Heijn og Delhaize, et sikkerhedsproblem i sit netværk og lukkede forebyggende systemer ned (Ahold Delhaize). Butikkerne holdt åbent, men netbestilling og levering gik i stå. Albert Heijns administrerende direktør sagde, at arbejdet standsede helt på nogle af kædens syv store distributionscentre i Nederlandene (NOS).

Belgiske Albert Heijn-butikker får varer fra et af centrene, som ligger i Tilburg (VRT). Kort efter viste belgiske medier billeder af tomme hylder i en butik i Roeselare. Tidspunktet kunne pege på en forbindelse til angrebet i Frankrig, men Ahold sagde, at virksomheden ikke havde set tegn på en sammenhæng. Det nederlandske nationale cybersikkerhedscenter sagde, at det »på nuværende tidspunkt ikke ser nogen grund til at antage« en forbindelse (Security.NL).

Den svaghed, som blev afdækket i Frankrig, findes også andre steder. Det danske ingeniørmedie Ingeniøren fandt 51 ældre Danfoss-køleanlæg, der kunne nås fra det offentlige internet. Ingen af dem var meldt kompromitteret (Ingeniøren). Det er et tal for åbne døre, ikke for indbrud. CERT-FR advarer om, at en ikke længere understøttet enhed stadig kan angribes igen, hvis den fortsat er tilgængelig fra internettet (CERT-FR). Detailkæder og deres køleteknikere behøver ikke vente på, at metoden bag angrebet i Frankrig bliver offentliggjort. Et kontrolsystem er langt sværere for uvedkommende at nå, når det fjernes fra det åbne internet eller udskiftes.