350 de supermarketuri franceze, cu frigiderele la 50 °C din cauza unor controlere Danfoss vechi

Atacatorii au preluat de la distanță controlul frigiderelor și congelatoarelor din cel puțin 350 de supermarketuri franceze, peste noapte, le-au trecut în modul de dezghețare și le-au lăsat să ajungă la temperaturi de până la 50°C (122°F). La Intermarché, frigiderele din aproximativ 150 de magazine au rămas atât de fierbinți timp de șase ore, iar toate produsele din interior au fost aruncate. Punctul de intrare a fost echipamentul care controlează toate raioanele frigorifice ale unui magazin: un controler Danfoss, administrat prin internet de firmele specializate în instalații frigorifice.

Pentru cumpărători, asta a însemnat raioane cu congelatoare închise și angajați din centrul Parisului care goleau cărucioare pline cu carne decongelată și înghețată topită în containere uriașe de gunoi. Pentru toți ceilalți, problema depășește cu mult granițele Franței. Folosind motorul de căutare Shodan, Reuters a găsit cel puțin 4.500 de interfețe Danfoss încă vizibile online după atac, iar compania franceză de scanare Onyphe a declarat că doar o mică parte dintre acestea păreau să folosească cea mai recentă versiune de software.

Carrefour a raportat 80 de supermarketuri afectate, iar Monoprix, aproximativ 5% din cele circa 490 de magazine ale sale din Franța. A fost vizată și Coopérative U, însă directorul general al companiei, Dominique Schelcher, a declarat că lanțul frigorific a fost menținut în majoritatea magazinelor afectate, datorită reacției rapide a angajaților și a firmelor contractate. E.Leclerc a anunțat că unul dintre furnizorii săi de echipamente frigorifice a fost atacat. Parchetul din Paris a raportat pierderi de alimente și echipamente care au început să ia foc, iar Thierry Cotillard, care conduce compania-mamă a Intermarché, Les Mousquetaires, a declarat pentru BFMTV că pagubele la nivel național, produse într-o singură zi, s-ar ridica la „zeci de milioane de euro”.

Danfoss afirmă că multe dintre unitățile vizate „ajunseseră la sfârșitul ciclului de viață și nu mai primesc actualizări de software sau de securitate”, în timp ce altele „funcționau cu firmware învechit”. Compania a menționat două modele mai vechi, AK-SM 800 și AK-SC 355, ambele scoase din uz de ani buni, dar și unele controlere AK-SM 800A din gama actuală, care foloseau firmware vechi. Agenția națională franceză pentru securitate cibernetică, ANSSI, a indicat, de asemenea, că printre sistemele afectate se numără software de la Copeland și de la marca sa Dixell. Copeland a recunoscut existența „vulnerabilității” și a declarat: „Lucrăm în prezent cu clienții afectați pentru a reduce riscul.”

Sistemele frigorifice din supermarketuri sunt conectate la internet dintr-un motiv cât se poate de practic. Un tehnician poate regla temperaturile, opri alarmele și modifica ciclurile de dezghețare fără să se deplaseze la magazin. CERT-FR, echipa guvernamentală de intervenție în caz de urgență, le-a cerut tuturor operatorilor de controlere Danfoss AK-SM și AK-SC să le deconecteze sau să restricționeze strict accesul la acestea, iar directorul ANSSI, Vincent Strubel, a calificat măsura drept urgentă, potrivit AFP.

Deocamdată, nimeni nu poate spune cum au pătruns atacatorii în sisteme sau care a fost motivul lor. Nicio grupare nu și-a revendicat atacul și nu a fost cerută nicio răscumpărare, ceea ce i-a nedumerit pe anchetatori, potrivit unei surse citate de Reuters. CERT-FR nu a precizat nicio vulnerabilitate, versiune de firmware sau urmă a unei compromiteri pe care operatorii să o poată verifica, iar problemele documentate de firma de securitate Claroty la modelul AK-SM 800A nu au fost asociate atacului. Proprietarii celor mai vechi modele nu au niciun patch pe care să-l instaleze, așa că soluția reală este înlocuirea echipamentului, cumpărat prin aceleași firme care au instalat vechile controlere. „Este vorba despre măsuri de bază de igienă cibernetică”, a declarat Ken Munro de la Pen Test Partners. „Dacă greșești, te alegi cu o mizerie urât mirositoare, plină de alimente decongelate.” El a adăugat că atacatorii au găsit ușa deschisă și că vinovații ar putea fi foarte bine „niște puști care se distrează”.

Este posibil ca Franța să nu fie singura țară afectată. Félix Aimé, analist de informații despre amenințări la Sekoia, a declarat pentru Reuters că au fost vizate și Spania, Portugalia, Polonia, Germania și Belgia, fără să ofere detalii, iar ANSSI ține legătura cu agenții din alte țări europene. Într-un incident separat, serviciile de cumpărături online ale retailerului olandez Ahold Delhaize au devenit indisponibile în aceeași perioadă, însă centrul național olandez de securitate cibernetică, NCSC, nu vede nicio legătură între cele două cazuri. Există precedente: frigiderele din aproximativ o duzină de magazine ale armatei americane au fost perturbate într-un mod similar la sfârșitul lunii august, iar buletinul informativ pentru clienți al Danfoss consemnează atacuri asupra a 16 supermarketuri din Rusia și a 40 de magazine din Israel, în 2022.

Atacul a început în noaptea de duminică, 11 octombrie, iar CERT-FR și-a publicat alerta a doua zi. Danfoss a declarat modelul AK-SM 800 ajuns la sfârșitul ciclului de viață în mai 2021 și a scos treptat din uz modelul AK-SC 355 în 2016, în timp ce Claroty și-a publicat cercetarea despre modelul mai nou pe 9 august. Secția de criminalitate cibernetică a Parchetului din Paris a deschis o anchetă, desfășurată de Oficiul de combatere a criminalității cibernetice, OFAC, pentru a număra victimele și a lega fiecare pagubă de atac, iar federația franceză a comerțului cu amănuntul, FCD, i-a cerut Danfoss „transparență deplină”. Până când anchetatorii vor descoperi cum au pătruns atacatorii, cea mai ieftină soluție de pe lista CERT-FR nu necesită niciun patch: deconectarea controlerului de la internet.

Etichete: știri, Pelé, Cher, securitate IoT, atac cibernetic, ANSSI