Lodówki w 350 francuskich marketach rozgrzane do 50 °C, analityk wskazuje też Polskę

Napastnicy zdalnie przejęli kontrolę nad lodówkami i zamrażarkami w co najmniej 350 francuskich supermarketach. Włączyli w nich rozmrażanie, a temperatura wzrosła nawet do 50°C. W około 150 sklepach Intermarché lodówki utrzymywały taką temperaturę przez sześć godzin, a wszystkie znajdujące się w nich produkty trzeba było wyrzucić. Dostęp do systemów zapewnił im sterownik Danfoss, który zarządza chłodniami w całym sklepie i którym firmy serwisujące instalacje chłodnicze sterują przez internet.

Dla klientów oznaczało to zamknięte alejki z mrożonkami, a dla pracowników — wyrzucanie całych wózków rozmrożonego mięsa i roztopionych lodów do wielkich kontenerów na śmieci w centrum Paryża. Problem dotyczy jednak nie tylko Francji. Korzystając z wyszukiwarki Shodan, Reuters znalazł po ataku co najmniej 4500 interfejsów Danfoss wciąż widocznych w sieci, a francuska firma skanująca internet Onyphe poinformowała, że tylko niewielka część z nich prawdopodobnie korzysta z najnowszego oprogramowania.

Carrefour odnotował problemy w 80 supermarketach, a Monoprix — w około 5% ze swoich mniej więcej 490 sklepów we Francji. Ucierpiała również sieć Coopérative U, choć jej dyrektor generalny Dominique Schelcher powiedział, że w większości zaatakowanych placówek udało się utrzymać ciągłość łańcucha chłodniczego, ponieważ pracownicy i serwisanci zareagowali szybko. E.Leclerc poinformował, że zaatakowano jednego z dostawców usług chłodniczych sieci. Prokuratura w Paryżu przekazała, że doszło do strat w żywności, a część urządzeń zaczęła się palić. Thierry Cotillard, stojący na czele Les Mousquetaires, spółki matki Intermarché, powiedział stacji BFMTV, że szkody w całym kraju wyniosą „dziesiątki milionów euro w ciągu jednego dnia”.

Polecana lekturaUkrywanie włamania stało się nielegalne w Europie — producenci mają 24 godziny na zgłoszenie

Danfoss twierdzi, że wiele zaatakowanych urządzeń „osiągnęło koniec cyklu życia i nie otrzymuje już aktualizacji oprogramowania ani zabezpieczeń”, a inne „działały na przestarzałym oprogramowaniu sprzętowym”. Firma wymieniła dwa starsze modele — AK-SM 800 i AK-SC 355 — wycofane z użycia przed laty. Problem dotyczył też niektórych obecnych sterowników AK-SM 800A z przestarzałym oprogramowaniem sprzętowym. Francuska krajowa agencja ds. cyberbezpieczeństwa ANSSI wskazała ponadto oprogramowanie firmy Copeland i jej marki Dixell jako jedno z rozwiązań, których dotyczył atak. Copeland przyznał, że doszło do „podatności”, i oświadczył: „Obecnie współpracujemy z klientami, którzy zostali dotknięci problemem, aby ograniczyć ryzyko”.

Systemy chłodnicze w supermarketach są podłączone do internetu z dość prozaicznego powodu. Serwisant może zmienić temperaturę, skasować alarm lub ustawić cykl rozmrażania, nie jadąc do sklepu. CERT-FR, rządowy zespół reagowania na incydenty komputerowe, zalecił wszystkim operatorom sterowników Danfoss AK-SM i AK-SC odłączenie ich od sieci lub ścisłe ograniczenie dostępu do nich. Jak podaje AFP, dyrektor ANSSI Vincent Strubel nazwał ten krok pilnym.

Na razie nie wiadomo, w jaki sposób napastnicy uzyskali dostęp ani dlaczego przeprowadzili atak. Żadna grupa nie przyznała się do niego i nie zażądała okupu, co zaskoczyło śledczych — podaje źródło cytowane przez Reuters. CERT-FR nie wskazał operatorom żadnej podatności, wersji oprogramowania sprzętowego ani oznak włamania, które mogliby sprawdzić. Nie powiązano też ataku z lukami w modelu AK-SM 800A opisanymi przez firmę zajmującą się cyberbezpieczeństwem Claroty. Właściciele najstarszych modeli nie mają możliwości zainstalowania żadnej poprawki, więc jedynym rzeczywistym rozwiązaniem jest wymiana sprzętu, kupowanego za pośrednictwem tych samych firm serwisowych, które instalowały stare urządzenia. „Chodzi o podstawową higienę cybernetyczną” — powiedział Ken Munro z Pen Test Partners. „Jeśli się o nią nie zadba, kończy się to śmierdzącym bałaganem z rozmrożonej żywności”. Dodał, że napastnicy mieli ułatwione zadanie, a za atakiem mogły stać nawet „dzieciaki, które dla zabawy coś kombinują”.

Francja może nie być jedynym krajem, którego dotknął problem. Félix Aimé, analityk ds. wywiadu o zagrożeniach w Sekoia, powiedział Reutersowi, że ucierpiały również Hiszpania, Portugalia, Polska, Niemcy i Belgia, nie podając szczegółów. ANSSI kontaktuje się z agencjami w innych krajach Europy. W tym samym czasie osobny incydent spowodował przerwę w działaniu internetowych usług zakupów spożywczych holenderskiej sieci Ahold Delhaize, ale krajowe centrum cyberbezpieczeństwa NCSC nie widzi związku między tymi zdarzeniami. Podobne przypadki zdarzały się już wcześniej: pod koniec sierpnia w podobny sposób zakłócono działanie lodówek w około tuzinie sklepów zaopatrujących amerykańskie wojsko, a z biuletynu dla klientów Danfoss wynika, że w 2022 roku zaatakowano 16 rosyjskich supermarketów i 40 sklepów w Izraelu.

Atak rozpoczął się w nocy z niedzieli 11 października, a CERT-FR opublikował ostrzeżenie następnego dnia. Danfoss ogłosił koniec cyklu życia modelu AK-SM 800 w maju 2021 roku, a model AK-SC 355 wycofał w 2016 roku. Claroty opublikowało analizę nowszego modelu 9 sierpnia. Wydział ds. cyberprzestępczości paryskiej prokuratury wszczął dochodzenie, które prowadzi urząd ds. walki z cyberprzestępczością OFAC. Śledczy mają ustalić liczbę poszkodowanych i powiązać każdą stratę z atakiem. Francuska federacja handlu detalicznego FCD zażądała od Danfoss „pełnej przejrzystości”. Dopóki śledczy nie ustalą, jak doszło do włamania, najtańsze rozwiązanie z listy CERT-FR nie wymaga żadnej poprawki: odłączyć sterownik od internetu.

Tagi: Pelé, Cher, bezpieczeństwo IoT, cyberatak, ANSSI, Carrefour

Więcej podobnych

Dania może wstrzymać nowe data center, bo sieć nie nadąża za apetytem AI na prąd

Wyciek danych 68 tys. klientów Shinhan i sześciu koreańskich instytucji, w tle narzędzie AI

Claude znalazł 10 000 krytycznych błędów w miesiąc — ludzie nie nadążają

Twój telefon lub router mógł być jednym z 17 milionów urządzeń po cichu wynajmowanych obcym

Claude Fable 5 wraca do sieci po 18 dniach: Anthropic naprawił lukę, nie ograniczył modelu

Tesla wystawiła Cybercaby na ulice Austin, samodzielnie certyfikując ich legalność — NHTSA wszczęła dochodzenie w ciągu kilku godzin