W poniedziałek odnotowano rzekome zakłócenia systemów chłodniczych w supermarketach dziewięciu krajów europejskich, po ataku, który w październiku objął około 700 z 10 000 supermarketów we Francji. Francuska krajowa agencja cyberbezpieczeństwa, CERT-FR, powiązała te przejęcia z modułami zdalnego sterowania produkcji Danfoss i Copeland — dwóch uznanych dostawców układów sterowania i komponentów do chłodnictwa komercyjnego. Żadna grupa nie przyznała się do ataku. Incydenty pokazują, jak chłodnictwo supermarketów, w dużej mierze zarządzane przez układy sterowania połączone z internetem, może zostać zdalnie i na dużą skalę zakłócone.

O problemach poinformowały sklepy w Belgii, Estonii, Finlandii, Irlandii, we Włoszech, w Luksemburgu, Holandii, Portugalii i Szwecji. W Estonii niektóre urządzenia chłodnicze miały rzekomo zostać rozgrzane do 50°C (122°F). Włoski rząd miał zaplanowane na wtorek spotkanie w sprawie cyberbezpieczeństwa, a CERT-FR ostrzegł, że kampanie prawdopodobnie nadal trwają.

Pierwsza odnotowana fala wystąpiła we Francji. Minister finansów Roland Lescure poinformował 13 października parlament, że atak objął około 700 supermarketów. Według CERT-FR hakerzy wymusili ciągłe cykle odszraniania, co doprowadziło do zepsucia żywności i pożarów w niektórych sklepach. Agencja poinformowała, że wiedzie o licznych przejęciach dotyczących modułów zdalnego sterowania Danfoss i Copeland.

Groupement Mousquetaires, właściciel sieci Intermarché i Netto, poinformował, że atak dotknął 300 jego sklepów. Cooperative U podał, że ucierpiało 80 z jego 2000 sklepów. Lescure stwierdził, że dostawy żywności nie są zagrożone, ale przyznał, że atak „dotyka serca naszego bezpieczeństwa żywnościowego”. Część lad chłodniczych Mousquetaires pozostawała nieczynna we wtorek.

Incidents z poniedziałku dotknęły kilka sieci supermarketów w Belgii. Carrefour poinformował o zakłóceniach w około 15 ze swoich 700 sklepów. Belgijska firma chłodnicza Sabcobel podała, że parowniki zostały przełączone w tryb odszraniania — normalnie cykl okresowy służący do usuwania nagromadzonego lodu, ale przy wymuszonym ciągłym działaniu nagrzewający komory z żywnością — a federalni prokuratorzy wszczęli śledztwo. Cztery sklepy Delhaize w Luksemburgu również zgłosiły problemy.

We Włoszech Radenza Group, prowadząca sklepy pod marką Coop na Sycylii, poinformowała, że atak rozpoczął się o 4 rano czasu lokalnego i wymierzył w system zdalnego sterowania sekcjami mrożonej żywności. Irlandzki Musgrave poinformował o 13 dotkniętych sklepach SuperValu, a Mosqueteiros potwierdził incydenty w siedmiu sklepach Intermarché w Portugalii.

Przy 50°C (122°F) zamrażarka działa daleko poza bezpiecznym zakresem temperatury. Żywność pozostawiona w takich warunkach zbyt długo szybko się psuje, a bakterie mogą się szybko rozwijać.

W Szwecji Coop poinformował, że atak dotyczył sześciu z około 800 sklepów. Firma podała, że sklepy te korzystały z połączeń 4G, co czyniło je „bardziej narażonymi”. Ica oświadczył, że problemy wystąpiły w ograniczonej liczbie sklepów, a dotknięte lokalizacje korzystały z zewnętrznego systemu sterowania Danfoss. Żadna ze szwedzkich sieci nie potwierdziła, że incydenty były skutkiem cyberataku. Fiński detalista Kesko powiedział, że nie wykluczono zakłóceń sieciowych.

Unijny komisarz ds. rolnictwa Christophe Hansen określił te incydenty jako „świadomą próbę” zakłócenia łańcucha dostaw żywności. Śledczy nie ustalili, czy incydenty z poniedziałku są powiązane z wcześniejszym atakiem we Francji.

Estońska firma chłodnicza Kitman Coldtech poinformowała, że dotknięte urządzenia to starsze modele Danfoss, podobne do tych zaatakowanych we Francji. CERT-FR ostrzegł, że pozostawienie urządzenia po okresie eksploatacji, bez poprawek bezpieczeństwa, podłączonego do internetu wiąże się z bardzo wysokim ryzykiem przejęcia.

Badacze z Claroty ujawnili w sierpniu luki w sterownikach Danfoss AK-SM 800A, w tym lukę umożliwiającą obejście uwierzytelniania. Seria AK-SM 800A służy do monitorowania i zarządzania systemami chłodniczymi w supermarketach, a Claroty wykryła 2765 takich urządzeń wystawionych w internecie. Danfoss usunął luki w oprogramowaniu układowym R4.3.1, choć pozostaje niejasne, które słabości wykorzystali atakujący.

CERT-FR zaleca operatorom odłączenie sterowników od publicznego internetu. Dyrektor generalny Sabcobel powiedział, że wiele starszych urządzeń wymaga modyfikacji fizycznych, które wiążą się z inwestycjami. Do czasu ich wprowadzenia najstarsze systemy mogą nie mieć praktycznego rozwiązania technicznego. CERT-FR oświadczył, że kampania prawdopodobnie nadal trwała, gdy Włochy przygotowywały się do wtorkowego spotkania w sprawie cyberbezpieczeństwa.

Źródło: Decrypt.