Hackers laten Franse supermarktkoelingen ontdooien

In de nacht van zondag 11 op maandag 12 oktober drongen aanvallers binnen in de computers die de koeling van Franse supermarkten aansturen. Bij aankomst troffen medewerkers verse en diepvriesproducten aan die niet meer verkocht konden worden (Euronews). Intermarché en zusterketen Netto telden samen al minstens 300 getroffen winkels (AFP via TV5Monde). Hoe de aanvallers zijn binnengekomen, is vooralsnog niet publiekelijk bekendgemaakt.

Hoe een koelkast opdracht krijgt om op te warmen

Een grote supermarkt heeft tientallen koelmeubels en vriezers, die allemaal worden aangestuurd door één centrale computer. Danfoss, de Deense fabrikant van de getroffen regelaars, beschrijft zijn AK-SM-"system managers" als het systeem waarmee technici instellingen, schema's en alarmen aanpassen, ook op afstand via een webbrowser (Danfoss). Je kunt het zien als het centrale thermostaatpaneel van de winkel, dat een onderhoudsmonteur ook van buitenaf kan bedienen.

Een van de routines die het paneel aanstuurt, is het ontdooien. De koelleidingen, de koude metalen buizen in elk koelmeubel, raken geleidelijk met ijs bedekt. Het systeem warmt ze kort op om dat ijs te laten smelten, zoals bij het ontdooien van een vriezer thuis, maar dan automatisch en voor korte tijd.

Volgens supermarktketens dwongen de aanvallers die ontdooicyclus op hun apparatuur af. De ingestelde temperatuur liep daarbij naar verluidt op tot 50 °C (BFMTV). Dat getal is een opdracht die in de regelaar wordt ingevoerd: de verwarming moet de koelleiding tot die temperatuur brengen. Dat zegt niet hoe warm bijvoorbeeld een pak kip op het schap daadwerkelijk is geworden.

Voor voedsel is vooral van belang hoe lang de koeling uitvalt. Les Mousquetaires, het moederbedrijf van Intermarché, vertelde Reuters dat de apparatuur in een eerste groep van ongeveer 150 winkels zo'n zes uur warm bleef (Reuters via Boursorama). Als de koeling zo lang uitstaat, kan een winkel niet meer garanderen dat de producten in het meubel veilig zijn. De voorraad gaat dan de afvalbak in. Thierry Cotillard, voorzitter van de groep, schatte de schade op tientallen miljoenen euro's op één dag (BFMTV). Dat is een eerste raming, geen gecontroleerde eindafrekening.

Honderden winkels, maar geen definitief totaal

Het aantal getroffen winkels liep maandag verder op. In een later bericht meldde AFP dat bij Coopérative U meer dan 100 winkels waren geraakt (AFP). Carrefour meldde aan Reuters dat 80 winkels waren getroffen; bij Monoprix ging het om ongeveer 5 procent van de circa 490 winkels (Reuters).

E.Leclerc bevestigde dat meerdere winkels hinder ondervonden door een aanval op een leverancier van koelsystemen. Ook Metro meldde dat een externe dienstverlener was aangevallen. Geen van beide bedrijven noemde een aantal (Le Monde). Sommige ketens geven geen cijfers, terwijl andere hun aantallen gedurende de dag bijstellen. Een betrouwbaar landelijk totaal is er dus nog niet.

De ingang is nog onbekend

Het Franse cybercrisisrespons­team CERT-FR meldde dat meerdere Danfoss AK-SM- en AK-SC-regelaars waren gecompromitteerd. Het waarschuwde dat het tegen de beveiligingsrichtlijnen ingaat om de beheerschermen vanaf het openbare internet toegankelijk te laten (CERT-FR).

Danfoss zei dat de meeste getroffen apparaten oudere modellen waren waarvoor geen beveiligingsupdates meer verschijnen. Bij de nieuwere getroffen apparaten was de ingebouwde besturingssoftware, de firmware, verouderd (Cooling Post). Tegenover het Deense persbureau Ritzau verklaarde het bedrijf dat zijn eigen IT-systemen niet waren getroffen (Ritzau via DKNyt).

Beveiligingsonderzoekers hadden deze apparatuur al eerder bestudeerd. Het team van Claroty liet zien hoe kwetsbaarheden in een bepaald model van Danfoss aanvallers in staat konden stellen de koeling te manipuleren. Bij een scan vonden de onderzoekers 2.765 van zulke beheerschermen die vanaf het internet bereikbaar waren (Claroty Team82). Er is geen openbare bron die aantoont dat juist die kwetsbaarheden in Frankrijk zijn misbruikt.

Het Openbaar Ministerie in Parijs is een onderzoek begonnen om het aantal slachtoffers vast te stellen en na te gaan of de bedorven producten en gemelde branden het gevolg zijn van de aanval (France 24/AFP). Volgens een bron dicht bij de premier ontdekte de nationale cyberbeveiligingsdienst ANSSI een kwetsbaarheid in de software van de Deense leverancier. De dienst zoekt ook naar andere Franse bedrijven die aan dezelfde risico's blootstaan (Franceinfo).

De schade in de winkels is zichtbaar op de schappen. Hoe de aanvallers precies zijn binnengekomen, staat nog niet vast; het Openbaar Ministerie en ANSSI moeten daar uitsluitsel over geven. Tot die tijd hebben winkels met deze regelaars reden om te controleren of hun eigen bedieningspaneel van buitenaf bereikbaar is.