Hackertámadás érte 700 francia szupermarket hűtését

A nagy áruházak hűtését hálózatba kötött vezérlők irányítják. A hétvégi támadás megmutatta, mi történik, ha valaki illetéktelenül módosítja a beállításaikat: a francia üzletvezetőknek kellett eldönteniük, mely hűtött és fagyasztott élelmiszereket lehet még biztonságosan eladni. Roland Lescure gazdasági miniszter október 13-án a Nemzetgyűlésben azt mondta, hogy Franciaország mintegy 10 000 élelmiszerüzletéből 700-at érintett a támadás. Az eset eleinte ellátási zavaroktól való félelmet keltett, országos hiány azonban nem alakult ki (Dailymotion, BFMTV).

Attól, hogy egy üzletet támadás ért, még nem feltétlenül romlott meg az áru. Lescure száma az érintett üzleteket jelöli, nem azokat, amelyeknek élelmiszert kellett kidobniuk. A gradignani Intermarchéban egy végrehajtó 21 000 euró beszerzési értékű megromlott készletet vett jegyzékbe (Le Monde). A károk első éjszakájáról már írtunk (To Brief); azóta nőtt a hivatalosan közölt érintett üzletek száma, és egy második gyártó berendezései is célponttá váltak.

Webes felületen elérhető hűtésvezérlők

Egy nagy áruházban nem úgy működik minden hűtőpult, mint egy konyhai hűtőszekrény. A központi felügyeleti vezérlő inkább egy irodaház termosztátpaneljére hasonlít: a technikusok ezen követik a teljes hűtőrendszer hőmérsékletét és riasztásait, gyakran távolról, egy böngészőben megnyitható weboldalon. A vezérlő egyik rendszeres feladata a leolvasztás, amely rövid időre felmelegíti a hűtőtekercseket, hogy leolvadjon a rájuk rakódott jég.

A kereskedők szerint a támadók átírták a leolvasztási beállításokat; a megadott érték állítólag az 50°C-ot is elérte (BFMTV). Ez a vezérlőbe beírt érték, nem egy joghurtos pohárban mért hőmérséklet. Az átírt beállítások után az üzletek már nem tudták igazolni, hogy végig megfelelő maradt a hűtőlánc, ezért ellenőrizniük kellett az élelmiszereket, egy részüket pedig ki kellett dobniuk.

A francia országos kiberbiztonsági riasztóközpont, a CERT-FR megerősítette, hogy számos Danfoss AK-SM és AK-SC vezérlőhöz illetéktelenül hozzáfértek. A központ szerint rossz gyakorlat volt, hogy a kezelőfelületek közvetlenül elérhetők voltak a nyilvános internetről (CERT-FR). Olyan ez, mintha egy épület termosztátpaneljét az utcára szerelnék.

A dán gyártó, a Danfoss saját beszámolót adott ki. Azt közölte, hogy az érintett eszközök többsége régi, már kivezetett modell volt: az egyik termékvonalat 2016-ban, a másikat 2021-ben vonta ki a forgalomból. Hozzátette, hogy a saját hálózatait nem érte támadás (Cooling Post). A nyomozók még nem közölték, hogyan jutottak be a támadók.

Az érintett rendszerek köre október 12-ről 13-ra virradó éjjel bővült: a második gyártó, a Dixell vezérlőit használó üzletek is hasonló beavatkozásról számoltak be (Le Monde). Egy gironde-i szupermarket dolgozói még azelőtt észrevették a módosított beállításokat, hogy bármit ki kellett volna dobniuk. Egyelőre nem tudni, hogy a Dixell-rendszereket is ugyanazok támadták-e meg.

Üres polcok Belgiumban, más okból

A határ túloldalán egy különálló incidens miatt ürültek ki polcok: ott a logisztika, nem a hűtés okozta a fennakadást. Október 11-én, vasárnap az Albert Heijn és a Delhaize tulajdonosa, az Ahold Delhaize biztonsági problémát észlelt a hálózatában, ezért elővigyázatosságból lekapcsolta a rendszereit (Ahold Delhaize). Az üzletek nyitva maradtak, az online rendelés és a kiszállítás viszont leállt. Az Albert Heijn vezérigazgatója szerint a lánc hét nagy holland elosztóközpontja közül néhányban teljesen megállt a munka (NOS).

A belga Albert Heijn üzletek a tilburgi központtól függenek (VRT); a belga sajtó hamarosan üres polcokról számolt be egy roeselarei üzletben is. Az időzítés miatt felmerült, hogy az eset összefügghet a francia támadással, az Ahold azonban nem látott erre utaló jelet. A holland Nemzeti Kiberbiztonsági Központ szerint „jelenleg nincs okunk feltételezni” az összefüggést (Security.NL).

A Franciaországban feltárt sebezhetőség máshol is jelen van. A dán Ingeniøren mérnöki szaklap 51 régebbi Danfoss-hűtőrendszert talált, amely elérhető volt a nyilvános internetről; ezek egyikéről sem jelentették, hogy feltörték volna (Ingeniøren). Ez 51 nyitott hozzáférést, nem 51 betörést jelent. A CERT-FR arra figyelmeztet, hogy egy támogatásból kivont eszköz visszaállítása sem oldja meg a problémát, ha az továbbra is elérhető az internetről: újra feltörhetik (CERT-FR). A kereskedőknek és hűtéstechnikai partnereiknek nem kell megvárniuk, amíg nyilvánosságra hozzák, hogyan jutottak be a támadók Franciaországban. Egy nyílt internetről leválasztott vagy lecserélt vezérlőt sokkal nehezebben ér el egy kívülálló.