Atak na chłodnie w 700 francuskich sklepach

W weekend napastnicy zmienili ustawienia chłodzenia w francuskich supermarketach. Kierownicy sklepów musieli ocenić, które produkty chłodzone i mrożone nadal można bezpiecznie sprzedawać. Minister gospodarki Roland Lescure powiedział 13 października we francuskim Zgromadzeniu Narodowym, że atak objął około 700 z blisko 10 000 sklepów spożywczych. Przyznał, że początkowo obawiano się problemów z zaopatrzeniem, ale do ogólnokrajowych braków nie doszło (Dailymotion, BFMTV). Chłodzeniem w dużym sklepie zarządzają sterowniki podłączone do sieci. Ten tydzień pokazał, co się dzieje, gdy ktoś z zewnątrz zmienia ich ustawienia.

Objęcie sklepu atakiem nie oznacza, że cała znajdująca się w nim żywność się zepsuła. Liczba podana przez Lescure’a dotyczy sklepów, których systemy zaatakowano, a nie tych, które musiały wyrzucić towar. W jednym sklepie Intermarché w Gradignan komornik oszacował wartość zepsutych produktów według ceny zakupu na 21 tys. EUR (Le Monde). Opisaliśmy pierwszą noc strat (To Brief). Od tego czasu oficjalna liczba zaatakowanych sklepów wzrosła, a celem stał się sprzęt kolejnego producenta.

Panel termostatu dostępny przez stronę internetową

Duży sklep nie chłodzi każdej witryny tak jak domowa lodówka. Nad całą instalacją czuwa sterownik, działający jak centralny panel termostatów w biurowcu. Technicy obserwują za jego pomocą temperatury i alarmy, często przez stronę internetową dostępną zdalnie. Jednym z rutynowych zadań sterownika jest odszranianie: na krótko podgrzewa ono wężownice chłodzące, by stopić nagromadzony lód.

Handlowcy twierdzą, że napastnicy zmienili ustawienia odszraniania; według doniesień wartości sięgały 50°C (BFMTV). Chodzi o liczbę wpisaną do sterownika, a nie temperaturę zmierzoną wewnątrz opakowania jogurtu. Po zmianie ustawień sklepy nie mogły już potwierdzić, że zachowano ciągłość chłodzenia, dlatego żywność trzeba było sprawdzić, a część produktów wyrzucić.

Francuski krajowy zespół reagowania na incydenty komputerowe CERT-FR potwierdził liczne przypadki przejęcia sterowników Danfoss AK-SM i AK-SC. Udostępnianie ich paneli administracyjnych bezpośrednio w publicznym internecie zespół uznał za złą praktykę (CERT-FR). Mówiąc obrazowo, to tak, jakby panel sterowania całym budynkiem umieścić na chodniku.

Duński producent Danfoss przedstawił własną wersję wydarzeń. Poinformował, że większość zaatakowanych urządzeń to stare modele, które wycofał: jedną serię w 2016 r., drugą w 2021 r. Dodał, że jego własne sieci nie zostały naruszone (Cooling Post). Śledczy nie ujawnili, w jaki sposób napastnicy uzyskali dostęp.

W nocy z 12 na 13 października zgłoszono podobne zmiany w sklepach korzystających ze sterowników drugiego producenta, Dixell (Le Monde). W jednym z supermarketów w departamencie Gironde pracownicy zauważyli zmienione ustawienia, zanim trzeba było cokolwiek wyrzucić. Nie wiadomo jeszcze, czy za przypadkami dotyczącymi Dixell stoją ci sami napastnicy.

Puste półki w Belgii, ale z innego powodu

Osobny incydent po drugiej stronie granicy wpłynął na dostępność towarów przez zakłócenia w logistyce, a nie problemy z chłodzeniem. W niedzielę 11 października Ahold Delhaize, właściciel sieci Albert Heijn i Delhaize, wykrył problem z bezpieczeństwem w swojej sieci i zapobiegawczo wyłączył systemy (Ahold Delhaize). Sklepy pozostały otwarte, ale przestały działać zamówienia internetowe i dostawy. Prezes Albert Heijn powiedział, że w części z siedmiu dużych centrów dystrybucyjnych sieci w Holandii prace całkowicie stanęły (NOS).

Belgijskie sklepy Albert Heijn są zaopatrywane przez jedno z tych centrów, w Tilburgu (VRT). Wkrótce belgijskie media pokazały puste półki w sklepie w Roeselare. Zbieżność czasu sprzyja łączeniu tego incydentu z atakiem we Francji, ale Ahold poinformował, że nie widzi oznak takiego związku, a holenderskie Krajowe Centrum Cyberbezpieczeństwa oświadczyło, że „obecnie nie widzi powodu, by tak zakładać” (Security.NL).

Luka wykorzystana we Francji występuje także gdzie indziej. Duński portal branżowy Ingeniøren znalazł w Danii 51 starszych systemów chłodniczych Danfoss dostępnych z publicznego internetu. Nie zgłoszono jednak, by którykolwiek z nich został przejęty (Ingeniøren). To liczba otwartych drzwi, nie włamań. CERT-FR ostrzega, że samo zresetowanie urządzenia, którego producent już nie wspiera, nie usuwa ryzyka, jeśli urządzenie nadal jest dostępne z publicznego internetu (CERT-FR). Sklepy i firmy serwisujące chłodzenie nie muszą czekać na ujawnienie, jak napastnicy dostali się do francuskich systemów. Sterownik odłączony od publicznego internetu albo wymieniony jest dla osoby z zewnątrz znacznie trudniej dostępny.