Co się stało

Napastnicy przejęli zdalną kontrolę nad systemami chłodniczymi w setkach francuskich supermarketów i niezależnych sklepów wczesnym rankiem w poniedziałek 12 października. Temperatura wzrosła do 50 stopni Celsjusza na około sześć godzin, co zmusiło sklepy do wyrzucenia świeżej i mrożonej żywności. Sieć Intermarché zgłosiła straty sięgające dziesiątek milionów euro w ciągu jednego dnia. Według jednego z raportów dotkniętych zostało około 150 sklepów Intermarché, podczas gdy grupa Groupement Mousquetaires podała, że atak objął 300 placówek Intermarché i Netto; dane te nie zostały jeszcze uzgodnione. Carrefour poinformował o 80 dotkniętych supermarketach, a Cooperative U o 80 z 2000 swoich sklepów. W niektórych placówkach wybuchły pożary, a dwa sklepy w Haguenau w Alzacji zgłosiły straty w wysokości około 270 000 euro.

Reakcja władz

Francuska agencja ds. cyberbezpieczeństwa poinformowała późnym wieczorem we wtorek 13 października, że ataki "prawdopodobnie wciąż trwają". Zaleciła sklepom ponowne łączenie lodówek z internetem wyłącznie za pośrednictwem bezpiecznej sieci VPN lub zabezpieczonej sieci, instalowanie aktualizacji oprogramowania układowego oraz zmianę haseł. Minister finansów Roland Lescure powiedział we wtorek w parlamencie, że atak dotknął około 700 z 10 000 supermarketów w kraju i zapewnił, że nie stanowi on zagrożenia dla bezpieczeństwa żywnościowego we Francji. Premier Sébastien Lecornu polecił agencji przeprowadzenie dochodzenia. Prokuratura w Paryżu poinformowała, że jej jednostka ds. cyberprzestępczości bada szkody wynikające z zepsutej żywności i zgłoszonych pożarów, a Europol przekazał, że jest w kontakcie z dotkniętymi krajami, jednak odmówił podania szczegółów.

Holenderska sieć

Ahold Delhaize, spółka matka holenderskiej grupy supermarketów, wyłączyła niektóre systemy w ramach środków ostrożności, nazywając zdarzenie "incydentem cyberbezpieczeństwa". Wyłączenie wstrzymało dostawy do domów i zakłóciło część zaopatrzenia. We wtorek strony internetowe marek Albert Heijn, Delhaize, Stop & Shop, Food Lion i Giant pozostawały offline, podczas gdy sklepy stacjonarne były otwarte. Firma oświadczyła, że nie ma dowodów na kradzież danych klientów ani pracowników. W środę 14 października rozpoczęto przywracanie wyłączonych systemów. Holenderskie Narodowe Centrum Cyberbezpieczeństwa odnotowało kilka incydentów w europejskim sektorze spożywczym, ale stwierdziło, że "obecnie nie ma powodów", by je ze sobą łączyć.

Jak doszło do narażenia systemów

Izraelsko-amerykańska firma ochroniarska Claroty poinformowała w sierpniu, że 2765 interfejsów sterowników Danfoss AK-SM 800A było dostępnych z poziomu internetu, a firma Danfoss wydała już poprawki. Duński producent przekazał, że skompromitowany sprzęt był przestarzały lub nie został zaktualizowany. Claroty poinformowała dziennik La Tribune, że jej badacze odtworzyli atak w laboratorium w 28 minut, używając modelu Claude firmy Anthropic na produkcie Danfoss. Hiszpański ekspert ds. bezpieczeństwa Iván Pérez w rozmowie z AS stwierdził, że niektóre systemy wydawały się używać loginu "admin" z datą bieżącego dnia jako hasłem, choć nie potwierdzono, że napastnicy wykorzystali tę drogę. Biuletyn CERT-FR wymienia sterowniki Danfoss AK-SM i AK-SC oraz systemy Copeland xweb i Dixell xweb wśród tych, które zostały skompromitowane.

Kto może za tym stać

François Deruty, były dyrektor operacyjny we francuskiej agencji ds. cyberbezpieczeństwa, powiedział agencji AP, że odpowiedzialni mogą być zarówno aktorzy państwowi, jak i niezadowolony francuski student. Żaden sprawca nie został publicznie zidentyfikowany i nikt nie przyznał się do ataku. Marco Fanuli, dyrektor techniczny TrendAI, oddziału Trend Micro, powiedział agencji Adnkronos, że rosnąca liczba podłączonych urządzeń zwiększa powierzchnię ataku.

Coraz więcej urządzeń, zakładów i maszyn jest podłączanych w celu zwiększenia wydajności, monitorowania i zdalnej konserwacji.

Fanuli dodał, że takimi systemami często zarządzają zewnętrzni dostawcy, a zaprojektowano je w czasach, gdy bezpieczeństwo nie było priorytetem, co czyni przerwy w działaniu o natychmiastowym skutku atrakcyjnymi dla napastników. Wiele adresów internetowych używanych do uzyskania dostępu do tych systemów sterowania pozostaje dostępnych.