В понедельник, по имеющимся данным, были нарушены системы охлаждения в супермаркетах девяти европейских стран — после атаки, которая в октябре затронула около 700 из 10 000 супермаркетов Франции. Национальное агентство кибербезопасности Франции CERT-FR связало взломы с модулями дистанционного управления производства Danfoss и Copeland — двух известных поставщиков систем управления и компонентов для коммерческого холодильного оборудования. Ни одна группа не взяла на себя ответственность за атаки. Инциденты показывают, насколько уязвимым может быть супермаркетное холодильное оборудование, значительная часть которого управляется через интернет, — его можно нарушить удаленно и в массовом масштабе.

О проблемах сообщили магазины в Бельгии, Эстонии, Финляндии, Ирландии, Италии, Люксембурге, Нидерландах, Португалии и Швеции. В Эстонии, по сообщениям, некоторые холодильные установки были разогреты до 50°C (122°F). Правительство Италии планировало провести во вторник заседание по кибербезопасности, а CERT-FR предупредил, что атаки, вероятно, еще продолжаются.

Первая зафиксированная волна атак произошла во Франции. Министр экономики Ролан Лескюр сообщил парламенту 13 октября, что пострадало около 700 супермаркетов. По данным CERT-FR, хакеры перевели системы в режим непрерывной разморозки, из-за чего испортились продукты, а в некоторых магазинах возникли пожары. Агентство сообщило, что знает о многочисленных случаях взлома модулей дистанционного управления Danfoss и Copeland.

Groupement Mousquetaires, владеющая сетями Intermarché и Netto, сообщила, что пострадали 300 ее магазинов. Cooperative U заявила, что атака затронула 80 из 2 000 ее магазинов. Лескюр сообщил, что запасы продовольствия под угрозой не находятся, но признал, что атака «затрагивает саму основу нашей продовольственной безопасности». Часть холодильных витрин Mousquetaires оставалась неработающей во вторник.

Инциденты в понедельник затронули несколько сетей в Бельгии. Carrefour сообщила о сбоях примерно в 15 из 700 своих магазинов. Бельгийская холодильная компания Sabcobel заявила, что испарители были переведены в режим разморозки — обычно это периодический цикл для удаления наледи, но при непрерывной работе он нагревает продуктовые отсеки — а федеральные прокуроры открыли расследование. Четыре магазина Delhaize в Люксембурге также сообщили о проблемах.

В Италии группа Radenza, управляющая магазинами под брендом Coop на Сицилии, сообщила, что атака началась в 4 часа утра по местному времени и была направлена на систему дистанционного управления отделами замороженных продуктов. Ирландская компания Musgrave сообщила о 13 пострадавших магазинах SuperValu, а Mosqueteiros подтвердила инциденты в семи магазинах Intermarché в Португалии.

При 50°C (122°F) морозильник работает в условиях, значительно превышающих безопасную рабочую температуру. Продукты, находящиеся в таких условиях слишком долго, быстро портятся, и в них начинают размножаться бактерии.

В Швеции Coop сообщила, что атака затронула шесть из примерно 800 ее магазинов. Компания заявила, что эти магазины использовали подключение 4G, что делало их «более уязвимыми». Ica сообщила, что проблемы возникли в ограниченном числе магазинов и что на пострадавших объектах использовалась внешняя система управления Danfoss. Ни одна из шведских сетей не подтвердила, что инциденты были вызваны кибератакой. Финский ритейлер Kesko заявил, что нельзя исключать вмешательство в сеть.

Еврокомиссар по сельскому хозяйству Кристоф Хансен назвал инциденты «преднамеренной попыткой» нарушить цепочку поставок продовольствия. Расследователи не установили, связаны ли инциденты в понедельник с более ранней атакой во Франции.

Эстонская компания холодильного оборудования Kitman Coldtech сообщила, что пострадавшие установки были старыми моделями Danfoss, аналогичными атакованным во Франции. CERT-FR предупредил, что подключение устройства, прекратившего поддержку и не получающего обновлений безопасности, к интернету создает очень высокий риск взлома.

В августе исследователи Claroty сообщили об уязвимостях в контроллерах Danfoss AK-SM 800A, включая возможность обхода аутентификации. Линейка AK-SM 800A используется для мониторинга и управления системами охлаждения в супермаркетах, и Claroty обнаружила 2 765 таких устройств в открытом доступе в интернете. Danfoss устранила уязвимости в прошивке R4.3.1, однако остается неясным, какие слабые места использовали злоумышленники.

CERT-FR рекомендует операторам отключить контроллеры от публичного интернета. Главный исполнительный директор Sabcobel сообщил, что многие старые установки требуют физических доработок, связанных с затратами. Пока эти изменения не внесены, для самых старых систем может не быть практического технического решения. CERT-FR сообщил, что кампания, вероятно, еще активна, поскольку Италия готовилась к заседанию по кибербезопасности во вторник.

Источник: Decrypt.