Hack op koeling treft 700 Franse supermarkten

Aanvallers veranderden dit weekend de instellingen van koelsystemen in Franse supermarkten. Filiaalmanagers moesten beoordelen welke gekoelde en diepvriesproducten nog veilig verkocht konden worden. Op 13 oktober zei minister van Economische Zaken Roland Lescure in de Assemblée nationale dat ongeveer 700 van de circa 10.000 levensmiddelenwinkels in Frankrijk waren getroffen. De aanval riep aanvankelijk zorgen op over de bevoorrading, maar leidde niet tot een landelijk tekort (Dailymotion, BFMTV). De koeling van een grote supermarkt wordt aangestuurd door netwerkverbonden regelaars. Deze week bleek wat er gebeurt als een buitenstaander de instellingen daarvan wijzigt.

Dat een winkel is getroffen, betekent niet dat alle producten bedorven zijn. Lescures cijfer telt winkels die zijn aangevallen, niet winkels die voedsel hebben weggegooid. Bij een Intermarché in Gradignan stelde een gerechtsdeurwaarder voor € 21.000 aan bedorven voorraad vast, berekend tegen inkoopwaarde (Le Monde). We berichtten over de eerste nacht van de schade (To Brief). Sindsdien is het officiële aantal getroffen winkels gestegen en is ook apparatuur van een tweede fabrikant doelwit geworden.

Een thermostaatpaneel met een webpagina

Een grote winkel stuurt niet elk koelmeubel afzonderlijk aan, zoals een koelkast thuis. Een centrale regelaar werkt als het thermostaatpaneel van een kantoorgebouw. Technici gebruiken het systeem om de temperaturen en alarmen van de hele installatie te volgen, vaak via een webpagina die ze op afstand kunnen openen. Een van de vaste taken is ontdooien: de koelspiralen worden dan kort verwarmd om opgehoopt ijs te laten smelten.

Volgens retailers pasten de aanvallers die ontdooistanden aan. De ingestelde waarden liepen naar verluidt op tot 50°C (BFMTV). Dat is een waarde die in de regelaar is ingevoerd, geen temperatuur die in een bakje yoghurt is gemeten. Nadat de instellingen waren gemanipuleerd, konden winkels niet meer garanderen dat de koelketen intact was. Producten moesten daarom worden gecontroleerd en soms weggegooid.

Het Franse nationale cyberwaarschuwingsteam CERT-FR bevestigde dat meerdere Danfoss AK-SM- en AK-SC-regelaars waren gehackt. Het noemde het rechtstreeks toegankelijk maken van de beheerpagina’s via het openbare internet onverstandig (CERT-FR). In thermostaattermen is dat alsof je het bedieningspaneel van een gebouw buiten op de stoep hangt.

De Deense fabrikant Danfoss gaf een eigen lezing van de zaak. Volgens het bedrijf waren de meeste getroffen apparaten oude modellen die het niet meer ondersteunde: de ene productlijn was in 2016 uitgefaseerd, de andere in 2021. Het eigen netwerk van Danfoss was niet geraakt (Cooling Post). Onderzoekers hebben nog niet bekendgemaakt hoe de aanvallers toegang kregen.

In de nacht van 12 op 13 oktober werd de lijst langer. Winkels met regelaars van een tweede fabrikant, Dixell, meldden vergelijkbare aanpassingen (Le Monde). In een supermarkt in Gironde ontdekten medewerkers de gewijzigde instellingen voordat er iets hoefde te worden weggegooid. Of bij de Dixell-gevallen dezelfde aanvallers betrokken zijn, is nog niet duidelijk.

Lege schappen in België, om een andere reden

Een apart incident bij de zuiderburen raakte de winkels via de logistiek, niet via de koeling. Op zondag 11 oktober ontdekte Ahold Delhaize, eigenaar van Albert Heijn en Delhaize, een beveiligingsprobleem in zijn netwerk. Uit voorzorg haalde het bedrijf systemen offline (Ahold Delhaize). De winkels bleven wel open, maar online bestellen en bezorgen viel stil. De topman van Albert Heijn zei dat het werk in sommige van de zeven grote Nederlandse distributiecentra van de keten volledig was stilgelegd (NOS).

Belgische Albert Heijn-winkels zijn afhankelijk van een van die centra, in Tilburg (VRT). Belgische media meldden al snel lege schappen in een winkel in Roeselare. De timing roept een verband met Frankrijk op, maar Ahold zag daar geen aanwijzingen voor. Ook het Nederlandse Nationaal Cyber Security Centrum zei dat het „op dit moment geen reden ziet om van een verband uit te gaan” (Security.NL).

De kwetsbaarheid die in Frankrijk aan het licht kwam, bestaat ook elders. Het Deense vakblad Ingeniøren vond in Denemarken 51 oudere Danfoss-koelsystemen die via het openbare internet bereikbaar waren. Geen daarvan was als gehackt gemeld (Ingeniøren). Dat zijn 51 systemen die van buitenaf bereikbaar waren, geen 51 systemen waarin is ingebroken. CERT-FR waarschuwt dat een niet meer ondersteund apparaat opnieuw kan worden gehackt als het na een reset bereikbaar blijft via het openbare internet (CERT-FR). Supermarkten en hun koeltechnische onderhoudsbedrijven hoeven niet te wachten tot bekend is hoe de aanvallers in Frankrijk binnenkwamen. Een regelaar die van het openbare internet is afgesloten of vervangen, is voor buitenstaanders immers veel moeilijker te bereiken.