Útok na chladenie zasiahol 700 francúzskych predajní

Útočníci cez víkend zmenili nastavenia chladiacich systémov vo francúzskych supermarketoch. Vedúci predajní potom museli posúdiť, ktoré chladené a mrazené potraviny sa ešte dajú bezpečne predávať. Minister hospodárstva Roland Lescure 13. októbra v Národnom zhromaždení povedal, že útok zasiahol približne 700 z asi 10 000 predajní potravín. Spočiatku sa obával problémov so zásobovaním, k celonárodnému nedostatku však nedošlo (Dailymotion, BFMTV). Chladenie vo veľkom supermarkete riadia zariadenia pripojené do siete. Udalosti z tohto týždňa ukázali, čo sa stane, keď ich nastavenia zmení niekto zvonka.

To, že útok zasiahol predajňu, ešte neznamená, že sa v nej potraviny pokazili. Lescurovo číslo označuje počet napadnutých predajní, nie počet tých, ktoré museli tovar vyhodiť. V jednom Intermarché v Gradignane súdny exekútor vyčíslil hodnotu znehodnotených zásob v nákupných cenách na 21 000 € (Le Monde). Škody z prvej noci sme už opísali (To Brief). Odvtedy sa zvýšil oficiálny počet zasiahnutých predajní a terčom sa stal aj systém druhého výrobcu.

Ovládací panel s webovou stránkou

Veľký obchod neriadi každú chladiacu vitrínu samostatne ako domácu chladničku. Centrálny riadiaci systém funguje podobne ako panel, ktorým sa v kancelárskej budove ovláda kúrenie a chladenie. Technici cezň sledujú teploty a upozornenia v celom zariadení, často aj na diaľku cez webovú stránku. Systém okrem iného riadi odmrazovanie: chladiace špirály sa pri ňom na chvíľu ohrejú, aby sa rozpustil nahromadený ľad.

Podľa predajcov útočníci prepísali nastavenia odmrazovania. Zadané hodnoty údajne dosahovali až 50 °C (BFMTV). Išlo o číslo zadané do riadiaceho systému, nie o teplotu nameranú v tégliku jogurtu. Po zmene nastavení už predajne nevedeli zaručiť, že chladiaci reťazec zostal neporušený, preto museli potraviny skontrolovať a niektoré vyradiť.

Francúzsky národný tím pre kybernetickú bezpečnosť CERT-FR potvrdil viacero napadnutých riadiacich jednotiek Danfoss AK-SM a AK-SC. Sprístupniť ich administračné stránky priamo z verejného internetu označil za zlú bezpečnostnú prax (CERT-FR). Je to, akoby niekto umiestnil ovládací panel budovy na chodník pred ňou.

Dánsky výrobca Danfoss opísal situáciu po svojom. Uviedol, že väčšina zasiahnutých zariadení patrila k starším modelom, ktoré stiahol z ponuky: jeden rad v roku 2016 a druhý v roku 2021. Jeho vlastné siete podľa firmy zasiahnuté neboli (Cooling Post). Vyšetrovatelia zatiaľ nezverejnili, ako sa útočníci do systémov dostali.

V noci z 12. na 13. októbra pribudli hlásenia o podobných zásahoch v predajniach s riadiacimi jednotkami druhého výrobcu, spoločnosti Dixell (Le Monde). V jednom supermarkete v Gironde si zamestnanci všimli zmenené nastavenia skôr, než bolo treba čokoľvek vyhodiť. Zatiaľ nie je jasné, či za prípadmi so zariadeniami Dixell stoja tí istí útočníci.

Prázdne regály v Belgicku mali inú príčinu

Pri samostatnom incidente v susednej krajine sa problémy v regáloch prejavili pre výpadok logistiky, nie chladenia. V nedeľu 11. októbra odhalila spoločnosť Ahold Delhaize, ktorá vlastní Albert Heijn a Delhaize, bezpečnostný problém vo svojej sieti a preventívne odstavila systémy (Ahold Delhaize). Predajne zostali otvorené, no nefungovali internetové objednávky ani rozvoz. Riaditeľ Albert Heijn povedal, že práca sa úplne zastavila v niektorých zo siedmich veľkých distribučných centier reťazca v Holandsku (NOS).

Belgické predajne Albert Heijn zásobuje jedno z týchto centier v Tilburgu (VRT). Belgické médiá čoskoro informovali o prázdnych regáloch v predajni v Roeselare. Časová súvislosť zvádza k prepojeniu s útokom vo Francúzsku, Ahold však uviedol, že nenašiel známky takejto súvislosti. Holandské Národné centrum pre kybernetickú bezpečnosť podľa vlastných slov „zatiaľ nevidí dôvod predpokladať“ prepojenie (Security.NL).

Slabé miesto odhalené vo Francúzsku existuje aj inde. Dánsky technický časopis Ingeniøren našiel v Dánsku 51 starších chladiacich systémov Danfoss dostupných z verejného internetu. O žiadnom z nich však neinformoval ako o napadnutom (Ingeniøren). To je počet otvorených dverí, nie vlámaní. CERT-FR upozorňuje, že obnovenie nepodporovaného zariadenia, ktoré zostane dostupné z verejného internetu, ho nechá zraniteľné voči ďalšiemu útoku (CERT-FR). Predajcovia a ich servisní partneri nemusia čakať na zverejnenie spôsobu, akým sa útočníci dostali do francúzskych systémov. Ak riadiacu jednotku odpoja od verejného internetu alebo vymenia, útočník zvonka sa k nej dostane oveľa ťažšie.