Kylmälaitteiden hakkerointi osui 700 kauppaan Ranskassa

Hyökkääjät muuttivat ranskalaisten supermarketien kylmälaitteiden asetuksia viikonloppuna. Myymäläpäälliköt joutuivat arvioimaan, mitkä kylmä- ja pakastetuotteet olivat yhä turvallisia myydä. Talousministeri Roland Lescure kertoi kansalliskokouksessa 13. lokakuuta, että hyökkäys oli osunut noin 700:aan Ranskan noin 10 000 ruokakaupasta. Se herätti ensin huolta elintarvikkeiden saatavuudesta, mutta koko maata koskevaa pulaa ei syntynyt (Dailymotion, BFMTV). Suuren supermarketin kylmätekniikkaa ohjaavat verkkoon kytketyt säätimet. Viikonlopun hyökkäys osoitti, mitä tapahtuu, kun joku ulkopuolinen pääsee muuttamaan niiden asetuksia.

Hyökkäyksen kohteeksi joutuminen ei tarkoita, että myymälän elintarvikkeet olisivat pilaantuneet. Lescuren luku kertoo iskujen kohteeksi joutuneista myymälöistä, ei ruokansa hävittäneistä. Gradignanin Intermarchéssa ulosottomies kirjasi pilaantunutta varastoa 21 000 euron ostohinnan arvosta (Le Monde). Kerroimme vahingoista ensimmäisenä yönä (To Brief). Sen jälkeen virallinen lukumäärä on kasvanut, ja hyökkäyksen kohteeksi on joutunut myös toisen valmistajan laitteita.

Verkkosivulla hallittava termostaatti

Suuressa myymälässä kylmäkalusteita ei ohjata yksitellen kotijääkaapin tapaan. Valvontajärjestelmä toimii kuin toimistorakennuksen keskitetty termostaatti: teknikko voi seurata sen avulla lämpötiloja ja hälytyksiä koko kylmäjärjestelmässä. Järjestelmää hallitaan usein verkkosivulta, jota voi käyttää myös etänä. Sen tavallisiin tehtäviin kuuluu sulatus, jossa jäähdytyskierukoita lämmitetään hetkeksi niihin kertyneen jään sulattamiseksi.

Kauppaketjujen mukaan hyökkääjät muuttivat sulatusasetuksia. Niihin kirjattiin tiettävästi jopa 50 °C (BFMTV). Luku tarkoittaa ohjaimeen syötettyä asetusarvoa, ei jogurttipurkin sisälämpötilaa. Kun asetuksia oli peukaloitu, myymälät eivät enää voineet varmistaa kylmäketjun säilymistä. Tuotteet piti tarkastaa, ja osa jouduttiin hävittämään.

Ranskan kansallinen kyberturvallisuusryhmä CERT-FR vahvisti, että useita Danfoss AK-SM- ja AK-SC-ohjaimia oli murrettu. Ryhmän mukaan niiden hallintasivujen avaaminen suoraan julkiseen internetiin oli huono tietoturvakäytäntö (CERT-FR). Tilannetta voisi verrata siihen, että rakennuksen termostaattipaneeli asennettaisiin jalkakäytävälle kaikkien ulottuville.

Tanskalaisvalmistaja Danfoss kertoi, että useimmat kohteeksi joutuneet laitteet olivat vanhoja malleja, joiden valmistuksen se oli lopettanut: yhden tuotesarjan vuonna 2016 ja toisen vuonna 2021. Yhtiön omiin verkkoihin ei sen mukaan ollut tunkeuduttu (Cooling Post). Tutkijat eivät ole kertoneet, miten hyökkääjät pääsivät laitteisiin käsiksi.

Hyökkäyksen kohteiden lista laajeni yöllä 12.–13. lokakuuta, kun Dixellin laitteita käyttävät myymälät ilmoittivat samankaltaisista asetusten muutoksista (Le Monde). Gironden departementissa yhden supermarketin työntekijät huomasivat muutetut asetukset ennen kuin mitään piti heittää pois. Vielä ei tiedetä, ovatko Dixell-tapaukset samojen hyökkääjien tekosia.

Belgiassa hyllyt tyhjenivät toisesta syystä

Rajan takana toinen tietoturvapoikkeama vaikutti kauppojen hyllyihin logistiikan, ei kylmälaitteiden kautta. Albert Heijnin ja Delhaizen omistava Ahold Delhaize havaitsi sunnuntaina 11. lokakuuta verkossaan tietoturvaongelman ja sulki järjestelmiä varotoimena (Ahold Delhaize). Myymälät pysyivät auki, mutta verkkotilaukset ja kotiinkuljetukset keskeytyivät. Albert Heijnin toimitusjohtajan mukaan työ pysähtyi kokonaan joissakin ketjun seitsemästä suuresta Alankomaiden jakelukeskuksesta (NOS).

Belgian Albert Heijn -myymälät saavat tavaraa yhdestä keskuksesta, joka sijaitsee Tilburgissa (VRT). Pian belgialaisissa uutisissa kerrottiin tyhjistä hyllyistä Roeselaren myymälässä. Ajankohta herätti epäilyn yhteydestä Ranskan tapaukseen, mutta Ahold ei ollut löytänyt siitä merkkejä. Myös Alankomaiden kansallinen kyberturvallisuuskeskus kertoi, ettei se »tällä hetkellä näe syytä olettaa», että tapaukset liittyisivät toisiinsa (Security.NL).

Ranskassa paljastunut tietoturva-aukko ei ole ainutlaatuinen. Tanskalainen tekniikan alan julkaisu Ingeniøren löysi Tanskasta 51 vanhaa Danfossin kylmäjärjestelmää, joihin sai yhteyden julkisesta internetistä. Yhdenkään ei kerrottu joutuneen hyökkäyksen kohteeksi (Ingeniøren). Luku kertoo avoimista yhteyksistä, ei murroista. CERT-FR varoittaa, että tuen ulkopuolella olevan laitteen nollaaminen ei estä uutta murtoa, jos laite jää julkisesti tavoitettavaksi (CERT-FR). Kauppojen ja kylmäurakoitsijoiden ei tarvitse odottaa, että Ranskassa käytetty tunkeutumistapa julkaistaan. Ohjainta on ulkopuolisen vaikeampi tavoittaa, jos se irrotetaan julkisesta internetistä tai vaihdetaan uuteen.