Ataque informático afeta 700 supermercados franceses

No fim de semana, atacantes alteraram as definições dos sistemas de refrigeração de supermercados franceses, deixando os responsáveis pelas lojas a avaliar que alimentos refrigerados e congelados continuavam próprios para venda. A 13 de outubro, o ministro da Economia, Roland Lescure, disse à Assembleia Nacional que o ataque afetara cerca de 700 dos aproximadamente 10 000 estabelecimentos alimentares do país. Acrescentou que, numa primeira fase, receou problemas no abastecimento, mas que não houve uma rutura nacional (Dailymotion, BFMTV). Num supermercado de grandes dimensões, os sistemas de refrigeração são geridos por controladores ligados em rede. Esta semana mostrou o que acontece quando alguém de fora consegue alterar as suas definições.

O facto de uma loja ter sido afetada não significa que os alimentos tenham ficado impróprios para consumo. O número avançado por Lescure contabiliza as lojas atingidas, não as que tiveram de deitar produtos fora. Num Intermarché de Gradignan, um oficial de justiça registou 21 000 € em produtos estragados, calculados ao preço de compra (Le Monde). Já tínhamos noticiado os estragos da primeira noite (To Brief); entretanto, o número oficial de lojas afetadas aumentou e foi atingida uma segunda marca de equipamentos.

Um painel de termóstato com acesso pela internet

Uma grande superfície não controla cada expositor como se fosse um frigorífico doméstico. Um controlador central funciona como o painel de termóstato de um edifício de escritórios: permite aos técnicos acompanhar temperaturas e alarmes em toda a instalação, muitas vezes através de uma página web que podem consultar à distância. Uma das tarefas de rotina do sistema é a descongelação, que aquece brevemente as serpentinas de refrigeração para derreter o gelo acumulado.

Os retalhistas dizem que os atacantes alteraram as definições de descongelação, com valores que terão chegado aos 50 °C (BFMTV). Esse valor foi introduzido no controlador; não corresponde à temperatura medida dentro de um iogurte. Depois de as definições terem sido manipuladas, as lojas deixaram de poder garantir que a cadeia de frio se mantivera, pelo que os produtos tiveram de ser inspecionados e, por vezes, descartados.

A equipa nacional francesa de alerta cibernético, CERT-FR, confirmou várias intrusões em controladores Danfoss AK-SM e AK-SC. Considerou uma má prática deixar as páginas de gestão destes equipamentos expostas diretamente à internet pública (CERT-FR). Na analogia do termóstato, seria como instalar o painel de controlo do edifício na rua, ao alcance de qualquer pessoa.

A Danfoss, fabricante dinamarquesa, apresentou a sua própria versão dos acontecimentos. Disse que a maioria das unidades afetadas eram modelos antigos, que retirara do mercado em 2016 e 2021, e que as suas próprias redes não tinham sido atingidas (Cooling Post). Os investigadores ainda não divulgaram como entraram os atacantes.

Na noite de 12 para 13 de outubro, a lista alargou-se: lojas que utilizam controladores de um segundo fabricante, a Dixell, relataram alterações semelhantes (Le Monde). Num supermercado da Gironda, os funcionários detetaram as alterações antes de ser necessário deitar produtos fora. Ainda não se sabe se os casos envolvendo a Dixell têm os mesmos autores.

Prateleiras vazias na Bélgica, por outra razão

Um incidente separado, do outro lado da fronteira, afetou as prateleiras através da logística, e não dos sistemas de refrigeração. No domingo, 11 de outubro, a Ahold Delhaize, proprietária da Albert Heijn e da Delhaize, detetou um problema de segurança na sua rede e desligou sistemas por precaução (Ahold Delhaize). As lojas mantiveram-se abertas, mas as encomendas online e as entregas foram interrompidas. O diretor executivo da Albert Heijn disse que alguns dos sete grandes centros de distribuição da cadeia nos Países Baixos pararam por completo (NOS).

As lojas Albert Heijn na Bélgica dependem de um desses centros, em Tilburgo (VRT), e a imprensa belga mostrou pouco depois prateleiras vazias numa loja em Roeselare. A proximidade no tempo convida a relacionar os incidentes com o ataque em França, mas a Ahold disse não ter encontrado indícios de ligação, e o Centro Nacional de Cibersegurança neerlandês afirmou que «não vê, neste momento, razão para presumir» que exista uma (Security.NL).

A vulnerabilidade exposta em França também existe noutros países. A publicação dinamarquesa de engenharia Ingeniøren encontrou 51 sistemas de refrigeração Danfoss antigos acessíveis pela internet pública na Dinamarca, embora não tenha sido reportada qualquer intrusão (Ingeniøren). Trata-se de portas abertas, não de invasões confirmadas. O CERT-FR alerta que repor as definições de um equipamento sem suporte, mantendo-o acessível pela internet, deixa-o vulnerável a uma nova intrusão (CERT-FR). Os retalhistas e as empresas que fazem a manutenção dos sistemas de refrigeração não precisam de esperar pela divulgação do método usado em França. Se um controlador deixar de estar acessível pela internet pública, ou for substituído, será muito mais difícil chegar-lhe a partir do exterior.