Was geschah

Angreifer übernahmen in den frühen Morgenstunden des Montags, 12. Oktober, die Fernsteuerung von Kühlsystemen in Hunderten französischer Supermärkte und unabhängiger Geschäfte. Die Temperaturen erreichten für etwa sechs Stunden 50 Grad Celsius, und die Geschäfte warfen frische und tiefgekühlte Lebensmittel weg. Intermarché meldete an einem einzigen Tag Verluste in Höhe von mehreren zehn Millionen Euro. Einem Bericht zufolge lag die Zahl der betroffenen Intermarché-Filialen bei etwa 150, während die Gruppe Groupement Mousquetaires angab, 300 ihrer Intermarché- und Netto-Filialen seien getroffen worden; die beiden Zahlen wurden bislang nicht in Einklang gebracht. Carrefour meldete 80 betroffene Supermärkte, und Cooperative U erklärte, 80 ihrer 2.000 Geschäfte seien betroffen gewesen. In einigen Geschäften brachen Brände aus, und zwei Läden in Haguenau im Elsass meldeten Verluste von rund 270.000 Euro.

Schlüsseldaten des Cyberangriffs auf französische Supermärkte
  1. Claroty-Studie findet 2.765 aus dem Internet erreichbare Danfoss-Controller-Schnittstellen
  2. Angreifer übernehmen in den frühen Morgenstunden des Montags die Fernsteuerung der Kühlsysteme
  3. Finanzminister Roland Lescure teilt dem Parlament mit, etwa 700 von 10.000 Supermärkten seien betroffen gewesen
  4. Cybersicherheitsbehörde erklärt, die Angriffe seien wahrscheinlich noch im Gange
  5. Geschäfte füllen ihre Regale wieder auf, und Ahold Delhaize fährt die heruntergefahrenen Systeme wieder hoch

Offizielle Reaktion

Die französische Cybersicherheitsbehörde erklärte am späten Dienstagabend, dem 13. Oktober, die Angriffe seien „wahrscheinlich noch im Gange“. Sie riet den Geschäften, Kühlgeräte nur über ein sicheres VPN oder ein geschütztes Netzwerk mit dem Internet zu verbinden, Firmware-Updates zu installieren und Passwörter zu ändern. Finanzminister Roland Lescure sagte am Dienstag vor dem Parlament, etwa 700 der 10.000 Supermärkte des Landes seien betroffen gewesen, und erklärte, der Angriff stelle keine Gefahr für die Lebensmittelversorgung in Frankreich dar. Premierminister Sébastien Lecornu bat die Behörde um Untersuchung. Die Pariser Staatsanwaltschaft erklärte, ihre Einheit für Cyberkriminalität prüfe die Schäden durch verdorbene Lebensmittel und gemeldete Brände, und Europol teilte mit, mit den betroffenen Ländern in Kontakt zu stehen, wollte aber keine Details nennen.

Die niederländische Kette

Ahold Delhaize, die Muttergesellschaft der niederländischen Supermarktgruppe, fuhr vorsorglich einige Systeme herunter und bezeichnete den Vorfall als „Cybersicherheitsvorfall“. Das Herunterfahren stoppte die Heimlieferungen und beeinträchtigte einige Lieferungen; am Dienstag blieben die Websites für Albert Heijn, Delhaize, Stop & Shop, Food Lion und Giant offline, während die Geschäfte geöffnet blieben. Das Unternehmen erklärte, es gebe keine Hinweise darauf, dass Kunden- oder Mitarbeiterdaten gestohlen worden seien. Am Mittwoch, dem 14. Oktober, wurden die zuvor heruntergefahrenen Systeme wieder hochgefahren. Das niederländische Nationale Cybersicherheitszentrum registrierte mehrere Vorfälle im europäischen Lebensmittelsektor, sah aber „derzeit keinen Grund“, sie miteinander in Verbindung zu bringen.

Wie die Systeme exponiert waren

Claroty, ein israelisch-amerikanisches Sicherheitsunternehmen, berichtete im August, dass 2.765 Controller-Schnittstellen des Typs Danfoss AK-SM 800A aus dem Internet erreichbar seien; Danfoss hatte bereits Korrekturen veröffentlicht. Der dänische Hersteller erklärte, die kompromittierten Geräte seien entweder veraltet oder nicht aktualisiert worden. Claroty sagte gegenüber La Tribune, seine Forscher hätten den Angriff in einem Labor in 28 Minuten nachgestellt und dabei Anthropics Claude auf einem Danfoss-Produkt eingesetzt. Der spanische Sicherheitsexperte Iván Pérez sagte gegenüber AS, einige Systeme scheinen den Login „admin“ mit dem Tagesdatum als Passwort zu verwenden, wobei nicht bestätigt ist, dass die Angreifer diesen Weg nutzten. Das CERT-FR-Bulletin listet unter den kompromittierten Systemen Danfoss-Controller der Typen AK-SM und AK-SC sowie Copeland-xweb- und Dixell-xweb-Systeme auf.

Wer dahinterstecken könnte

François Deruty, ehemaliger Betriebsleiter der französischen Cybersicherheitsbehörde, sagte gegenüber AP, die Verantwortlichen könnten von staatlich unterstützten Akteuren bis zu einem verärgerten französischen Studenten reichen. Es wurden keine Täter öffentlich identifiziert, und niemand hat die Verantwortung übernommen. Marco Fanuli, technischer Direktor von TrendAI, einer Division von Trend Micro, sagte gegenüber Adnkronos, die wachsende Zahl vernetzter Geräte vergrößere die Angriffsfläche.

Immer mehr Geräte, Anlagen und Maschinen werden vernetzt – für Effizienz, Überwachung und Fernwartung.

— Marco Fanuli

Fanuli fügte hinzu, solche Systeme würden oft von Drittanbietern betrieben und seien zu einer Zeit entworfen worden, in der Sicherheit keine Priorität hatte, was eine Unterbrechung mit unmittelbarer Wirkung für Angreifer attraktiv mache. Viele der Internetadressen, über die diese Steuerungssysteme erreichbar sind, bleiben zugänglich.