Intrång i kylsystem drabbar 700 franska matbutiker

I stora matbutiker styr nätanslutna system kylningen. När någon ändrar inställningarna kan personalen behöva avgöra vilka kyl- och frysvaror som fortfarande är säkra att sälja. Under helgen utsattes franska butiker för en sådan attack. Ekonomiminister Roland Lescure sade i nationalförsamlingen den 13 oktober att omkring 700 av Frankrikes cirka 10 000 livsmedelsbutiker hade drabbats. Angreppet väckte först oro för försörjningen, men orsakade ingen nationell brist (Dailymotion, BFMTV).

Att en butik drabbats betyder inte att maten förstörts. Lescures siffra gäller butiker som utsatts, inte butiker som slängt mat. På ett Intermarché i Gradignan dokumenterade en rättstjänsteman förstört lager värt 21 000 euro i inköpspris (Le Monde). Vi skrev om skadorna den första natten (To Brief). Sedan dess har den officiella siffran vuxit och ytterligare en tillverkare av styrsystem har drabbats.

En termostatpanel med webbsida

I en stormarknad styrs inte varje kylmonter som ett fristående kylskåp hemma. Ett överordnat styrsystem fungerar ungefär som termostatpanelen i en kontorsfastighet. Tekniker använder det för att övervaka temperaturer och larm i hela anläggningen, ofta via en webbsida som går att nå på distans. En av systemets återkommande uppgifter är avfrostning, då kylslingorna värms en kort stund för att smälta is som byggts upp.

Butikskedjor uppger att angriparna ändrade avfrostningsinställningarna, med värden på upp till 50 °C (BFMTV). Det är ett värde som matats in i styrsystemet, inte en uppmätt temperatur inuti en yoghurtförpackning. När inställningarna hade manipulerats kunde butikerna inte längre garantera att kylkedjan hållit. Maten behövde därför kontrolleras och ibland slängas.

Frankrikes nationella cybersäkerhetsmyndighet CERT-FR bekräftade ett stort antal intrång i styrsystemen Danfoss AK-SM och AK-SC. Myndigheten kallade det dålig säkerhetspraxis att göra deras administrationssidor direkt åtkomliga via det öppna internet (CERT-FR). Det motsvarar att montera fastighetens styrpanel ut mot trottoaren.

Danfoss, den danska tillverkaren, lämnade en egen redogörelse. Företaget sade att de flesta drabbade enheterna var äldre modeller som fasats ut: en produktserie 2016 och en annan 2021. De egna nätverken hade inte påverkats (Cooling Post). Utredarna har inte offentliggjort hur angriparna tog sig in.

Under natten mellan den 12 och 13 oktober rapporterade butiker med styrsystem från en andra tillverkare, Dixell, om liknande manipulation (Le Monde). I en butik i Gironde upptäckte personalen de ändrade inställningarna innan någon mat behövde slängas. Det är ännu oklart om samma angripare ligger bakom Dixell-fallen.

Tomma hyllor i Belgien av ett annat skäl

En separat incident på andra sidan gränsen påverkade butikshyllorna via logistiken, inte kylsystemen. Söndagen den 11 oktober upptäckte Ahold Delhaize, som äger Albert Heijn och Delhaize, ett säkerhetsproblem i sitt nätverk och stängde förebyggande ned system (Ahold Delhaize). Butikerna höll öppet, men nätbeställningar och hemleveranser stoppades. Albert Heijns vd sade att arbetet stod helt stilla vid vissa av kedjans sju stora distributionscentraler i Nederländerna (NOS).

Belgiska Albert Heijn-butiker är beroende av en av dessa centraler, i Tilburg (VRT). Belgiska medier rapporterade snart om tomma hyllor i en butik i Roeselare. Tidpunkten gör det lätt att koppla händelserna till Frankrike, men Ahold uppgav att företaget inte såg några tecken på ett samband. Nederländernas nationella cybersäkerhetscentrum sade att det ”för närvarande inte ser någon anledning att anta” ett samband (Security.NL).

Säkerhetsbristen i Frankrike finns också på andra håll. Den danska facktidskriften Ingeniøren hittade 51 äldre Danfoss-kylanläggningar som gick att nå via det öppna internet i Danmark. Ingen av dem hade rapporterats utsatt för intrång (Ingeniøren). Det är en räkning av öppna dörrar, inte av intrång. CERT-FR varnar för att en enhet utan support kan utsättas för intrång igen efter en återställning, om den fortfarande är åtkomlig via det öppna internet (CERT-FR). Butiker och deras kylentreprenörer behöver inte invänta att vägen in i de franska systemen blir känd. Ett styrsystem som kopplats bort från det öppna internet eller bytts ut blir betydligt svårare för utomstående att komma åt.