Παραβίαση στα ψυγεία πλήττει 700 γαλλικά σούπερ μάρκετ

Άγνωστοι άλλαξαν το Σαββατοκύριακο τις ρυθμίσεις ψύξης σε γαλλικά σούπερ μάρκετ, αφήνοντας τους υπευθύνους να κρίνουν ποια προϊόντα ψυγείου και κατάψυξης παρέμεναν ασφαλή προς πώληση. Στις 13 Οκτωβρίου, ο υπουργός Οικονομίας Ρολάν Λεσκύρ δήλωσε στην Εθνοσυνέλευση ότι επηρεάστηκαν περίπου 700 από τα περίπου 10.000 καταστήματα τροφίμων της Γαλλίας. Πρόσθεσε ότι η επίθεση αρχικά προκάλεσε ανησυχία για τον εφοδιασμό, αλλά δεν οδήγησε σε ελλείψεις σε εθνικό επίπεδο (Dailymotion, BFMTV). Σε ένα μεγάλο κατάστημα, η ψύξη ελέγχεται από συστήματα συνδεδεμένα σε δίκτυο· τα γεγονότα αυτής της εβδομάδας έδειξαν τι συμβαίνει όταν κάποιος τρίτος αποκτά τη δυνατότητα να αλλάξει τις ρυθμίσεις τους.

Το ότι επηρεάστηκε ένα κατάστημα δεν σημαίνει ότι καταστράφηκαν τα τρόφιμά του. Ο αριθμός που έδωσε ο Λεσκύρ αφορά τα καταστήματα που δέχθηκαν επίθεση, όχι εκείνα που πέταξαν προϊόντα. Σε ένα Intermarché στη Γκραντινιάν, δικαστικός επιμελητής κατέγραψε αλλοιωμένα αποθέματα αξίας 21.000 ευρώ, υπολογισμένα στην τιμή αγοράς (Le Monde). Το To Brief είχε καταγράψει τις ζημιές της πρώτης νύχτας (To Brief). Έκτοτε, ο επίσημος αριθμός των καταστημάτων αυξήθηκε και στο στόχαστρο βρέθηκε εξοπλισμός δεύτερης εταιρείας.

Πίνακας ελέγχου με πρόσβαση μέσω διαδικτύου

Ένα μεγάλο κατάστημα δεν λειτουργεί κάθε ψυγείο όπως ένα οικιακό. Ένας κεντρικός ελεγκτής επιτηρεί την εγκατάσταση, σαν τον πίνακα θερμοστάτη ενός κτιρίου γραφείων: οι τεχνικοί παρακολουθούν από εκεί τις θερμοκρασίες και τους συναγερμούς και συχνά έχουν πρόσβαση μέσω ιστοσελίδας, ακόμη κι όταν βρίσκονται αλλού. Μία από τις συνηθισμένες λειτουργίες του είναι η απόψυξη, κατά την οποία τα στοιχεία ψύξης θερμαίνονται για λίγο ώστε να λιώσει ο πάγος που έχει συσσωρευτεί.

Οι αλυσίδες λιανικής αναφέρουν ότι οι επιτιθέμενοι άλλαξαν τις ρυθμίσεις απόψυξης, με τις τιμές που καταχωρίστηκαν να φέρονται να έφτασαν τους 50°C (BFMTV). Πρόκειται για τιμή που πληκτρολογήθηκε στον ελεγκτή, όχι για θερμοκρασία που μετρήθηκε μέσα σε ένα κεσεδάκι γιαουρτιού. Μετά την αλλοίωση των ρυθμίσεων, τα καταστήματα δεν μπορούσαν πλέον να εγγυηθούν ότι είχε διατηρηθεί η ψυκτική αλυσίδα, γι’ αυτό έπρεπε να ελέγξουν τα τρόφιμα και, σε ορισμένες περιπτώσεις, να τα αποσύρουν.

Η γαλλική εθνική ομάδα αντιμετώπισης κυβερνοπεριστατικών επιβεβαίωσε ότι παραβιάστηκαν πολλές μονάδες ελέγχου Danfoss AK-SM και AK-SC. Χαρακτήρισε κακή πρακτική την άμεση έκθεση των σελίδων διαχείρισής τους στο δημόσιο διαδίκτυο (CERT-FR). Με όρους θερμοστάτη, αυτό ισοδυναμεί με το να είναι τοποθετημένος ο πίνακας ελέγχου του κτιρίου στο πεζοδρόμιο.

Η δανέζικη κατασκευάστρια Danfoss έδωσε τη δική της εκδοχή. Ανέφερε ότι οι περισσότερες μονάδες που επηρεάστηκαν ήταν παλιά μοντέλα, τα οποία είχε αποσύρει από την παραγωγή, το ένα το 2016 και το άλλο το 2021, και ότι τα δικά της δίκτυα δεν παραβιάστηκαν (Cooling Post). Οι ερευνητές δεν έχουν δημοσιοποιήσει ακόμη πώς απέκτησαν πρόσβαση οι επιτιθέμενοι.

Η λίστα διευρύνθηκε τη νύχτα της 12ης προς τη 13η Οκτωβρίου, όταν καταστήματα με ελεγκτές δεύτερης εταιρείας, της Dixell, ανέφεραν παρόμοια αλλοίωση ρυθμίσεων (Le Monde). Σε ένα σούπερ μάρκετ στη Ζιρόντ, οι εργαζόμενοι εντόπισαν τις αλλαγές πριν χρειαστεί να πεταχτούν τρόφιμα. Δεν είναι ακόμη σαφές αν πίσω από τα περιστατικά με τα συστήματα Dixell βρίσκονται οι ίδιοι επιτιθέμενοι.

Άδεια ράφια στο Βέλγιο, για διαφορετικό λόγο

Ένα ξεχωριστό περιστατικό, στην άλλη πλευρά των συνόρων, επηρέασε τα ράφια μέσω της εφοδιαστικής αλυσίδας και όχι των ψυγείων. Την Κυριακή 11 Οκτωβρίου, η Ahold Delhaize, ιδιοκτήτρια των Albert Heijn και Delhaize, εντόπισε πρόβλημα ασφαλείας στο δίκτυό της και έθεσε προληπτικά συστήματα εκτός λειτουργίας (Ahold Delhaize). Τα καταστήματα παρέμειναν ανοιχτά, αλλά σταμάτησαν οι ηλεκτρονικές παραγγελίες και οι παραδόσεις. Ο διευθύνων σύμβουλος της Albert Heijn δήλωσε ότι σε ορισμένα από τα επτά μεγάλα κέντρα διανομής της αλυσίδας στην Ολλανδία οι εργασίες διακόπηκαν εντελώς (NOS).

Τα καταστήματα Albert Heijn στο Βέλγιο εξαρτώνται από ένα από αυτά τα κέντρα, στο Τίλμπουργκ (VRT). Σύντομα, βελγικά μέσα ενημέρωσης κατέγραψαν άδεια ράφια σε κατάστημα στη Ρουσελάρε. Η χρονική σύμπτωση με την επίθεση στη Γαλλία αφήνει περιθώριο για συσχετισμούς, αλλά η Ahold δήλωσε ότι δεν εντόπισε ένδειξη σύνδεσης, ενώ το ολλανδικό Εθνικό Κέντρο Κυβερνοασφάλειας ανέφερε ότι «προς το παρόν δεν βλέπει λόγο να θεωρήσει» πως υπάρχει τέτοια σύνδεση (Security.NL).

Το κενό ασφαλείας που αποκαλύφθηκε στη Γαλλία υπάρχει και αλλού. Το δανέζικο τεχνικό μέσο Ingeniøren εντόπισε 51 παλαιότερα συστήματα ψύξης Danfoss προσβάσιμα από το δημόσιο διαδίκτυο στη Δανία, χωρίς να έχει αναφερθεί παραβίαση κάποιου από αυτά (Ingeniøren). Ο αριθμός αφορά εκτεθειμένα συστήματα, όχι διαρρήξεις. Η γαλλική ομάδα κυβερνοασφάλειας προειδοποιεί ότι η επαναφορά μιας συσκευής που δεν υποστηρίζεται πλέον, ενώ παραμένει προσβάσιμη από το δημόσιο διαδίκτυο, την αφήνει εκτεθειμένη σε νέα παραβίαση (CERT-FR). Οι λιανέμποροι και οι τεχνικοί που συντηρούν τα συστήματα ψύξης δεν χρειάζεται να περιμένουν να δημοσιοποιηθεί ο τρόπος με τον οποίο έγινε η επίθεση στη Γαλλία. Ένας ελεγκτής που έχει αποσυνδεθεί από το δημόσιο διαδίκτυο ή έχει αντικατασταθεί είναι πολύ δυσκολότερο να προσεγγιστεί από τρίτους.