Maandag werden naar verluidt koelsystemen bij supermarkten in negen Europese landen verstoord, na een aanval die in oktober ongeveer 700 van de 10.000 supermarkten in Frankrijk trof. Het Franse nationale cyberbeveiligingsagentschap, CERT-FR, heeft de inbreuken gekoppeld aan afstandsbedieningsmodules van Danfoss en Copeland, twee gevestigde leveranciers van besturingen en componenten voor commerciële koeling. Geen enkele groep heeft de verantwoordelijkheid opgeëist. De incidenten onderstrepen hoe supermarkt koeling, die grotendeels via met internet verbonden besturingen wordt beheerd, op afstand en op grote schaal kan worden verstoord.

Winkels in België, Estland, Finland, Ierland, Italië, Luxemburg, Nederland, Portugal en Zweden meldden problemen. In Estland werden sommige koelunits naar verluidt gedwongen tot 50°C (122°F). De Italiaanse regering plande dinsdag een cyberbeveiligingsoverleg, terwijl CERT-FR waarschuwde dat de campagnes waarschijnlijk nog steeds gaande waren.

De eerste gemelde golf vond plaats in Frankrijk. Financiëminister Roland Lescure vertelde op 13 oktober aan het parlement dat ongeveer 700 supermarkten waren getroffen. Volgens CERT-FR dwongen hackers de systemen in doorlopende ontdooicycli, waardoor voedsel bedierf en er in sommige winkels brand ontstond. Het agentschap zei op de hoogte te zijn van talrijke inbreuken met afstandsbedieningsmodules van Danfoss en Copeland.

Groupement Mousquetaires, eigenaar van de ketens Intermarché en Netto, meldde dat 300 winkels waren getroffen. Cooperative U zei dat 80 van haar 2.000 winkels waren geraakt. Lescure zei dat de voedselvoorziening niet in gevaar was, maar erkende dat de aanval "de kern van onze voedselzekerheid raakt". Sommige vitrines van Mousquetaires bleven dinsdag buiten dienst.

De incidenten van maandag troffen verschillende supermarktketens in België. Carrefour meldde verstoringen bij ongeveer 15 van zijn 700 winkels. De Belgische koelinstallateur Sabcobel zei dat verdamplers in de ontdooistand waren gezet — normaal een periodieke cyclus om ijsvorming te verwijderen, maar een die levensmiddelencompartimenten opwarmt wanneer hij continu moet draaien — en federale aanklagers openden een onderzoek. Ook vier Delhaize-vestigingen in Luxemburg meldden problemen.

In Italië zei Radenza Group, die Coop-winkels op Sicilië exploiteert, dat de aanval om 4 uur 's ochtends lokale tijd begon en gericht was op het afstandsbesturingssysteem van de diepvriesafdelingen. Ierlands Musgrave meldde dat 13 SuperValu-winkels waren getroffen, terwijl Mosqueteiros incidenten bevestigde bij zeven Intermarché-winkels in Portugal.

Bij 50°C (122°F) is een vriezer ver buiten een veilige bedrijfstemperatuur. Voedsel dat te lang in die omstandigheden blijft, kan snel bederven en biedt bacteriën de kans zich te vermenigvuldigen.

In Zweden zei Coop dat zes van zijn ongeveer 800 winkels waren getroffen. Het bedrijf zei dat de winkels 4G-verbindingen gebruikten, waardoor ze "kwetsbaarder" waren. Ica zei dat een beperkt aantal winkels problemen ondervond en dat de getroffen vestigingen een extern Danfoss-besturingssysteem gebruikten. Geen van beide Zweedse ketens heeft bevestigd dat de incidenten door een cyberaanval werden veroorzaakt. De Finse retailer Kesko zei dat netwerkinterferentie niet was uitgesloten.

EU-landbouwcommissaris Christophe Hansen omschreef de incidenten als een "opzettelijke poging" om de voedselketen te verstoren. Onderzoekers hebben niet vastgesteld of de incidenten van maandag verband houden met de eerdere aanval in Frankrijk.

Het Estische koelbedrijf Kitman Coldtech zei dat de getroffen units oudere Danfoss-modellen waren, vergelijkbaar met de modellen die in Frankrijk werden aangevallen. CERT-FR waarschuwde dat een apparaat zonder beveiligingsupdates aan het einde van zijn levensduur verbonden met het internet een zeer hoog risico op inbreuken vormt.

Onderzoekers van Claroty meldden in augustus kwetsbaarheden in Danfoss AK-SM 800A-controllers, waaronder een omzeiling van authenticatie. De AK-SM 800A-lijn wordt gebruikt om koelsystemen in supermarkten te bewaken en beheren, en Claroty vond 2.765 van die apparaten online blootgesteld. Danfoss verholpen de kwetsbaarheden in firmware R4.3.1, al is nog onduidelijk welke zwakke plekken de aanvallenden hebben uitgebuit.

CERT-FR adviseert beheerders de controllers van het openbare internet te halen. De ceo van Sabcobel zei dat veel oudere units fysieke aanpassingen nodig hebben die investeringen vergen. Tot die aanpassingen zijn doorgevoerd, bestaat er mogelijk geen praktische technische oplossing voor de oudste systemen. CERT-FR zei dat de campagne waarschijnlijk nog actief was, terwijl Italië zich voorbereidde op het cyberbeveiligingsoverleg op dinsdag.

Bron: Decrypt.