- Eine zweite Cyberangriffswelle hat die Kühlsysteme von Supermärkten in mindestens sechs europäischen Ländern getroffen.
- In Belgien waren rund 75 Geschäfte betroffen, darunter Filialen von Delhaize, Carrefour und Intermarché.
- Die Angreifer versetzten Anlagen in den Abtaumodus oder stellten sie auf hohe Temperaturen ein. Dadurch wurde Ware unbrauchbar.
- Das Vorgehen entspricht dem Angriff auf rund 700 französische Supermärkte am 11. und 12. Oktober.
- Die französische Cybersicherheitsbehörde warnt besonders vor Fernsteuerungen, die ungeschützt aus dem Internet erreichbar sind.
Angriffe in mindestens sechs Ländern
Die neuen Vorfälle wurden am 2. November bekannt. Wie Euronews berichtet, wurden in Belgien zwischen Sonntagabend und Montagmorgen rund 75 Geschäfte angegriffen. Dazu gehörten:
- etwa 40 Delhaize-Proxy-Filialen,
- 15 Carrefour-Shop-&Go-Filialen,
- 15 Intermarché-Geschäfte,
- fünf Spar-Shops an Q8-Tankstellen,
- das IKEA-Haus in Mons.
Carrefour Belgium teilte mit, dass 15 seiner insgesamt 700 Standorte betroffen waren. Kein Hypermarkt sei darunter gewesen, außerdem seien die Auswirkungen „sehr begrenzt“ geblieben. Alle Filialen konnten geöffnet bleiben. Die belgische Bundesstaatsanwaltschaft hat Ermittlungen aufgenommen.
Auch in Schweden wurden Filialen von ICA und Coop angegriffen. Berichten zufolge zeigten die Kühl- und Gefriergeräte dort Temperaturen von 50 °C an. In Irland meldete Musgrave 13 betroffene SuperValu-Filialen. Weitere Vorfälle gab es in den Niederlanden, Finnland und Estland. Delhaize setzte vorsorglich zudem seine Bestellsysteme in Luxemburg außer Betrieb.
Dasselbe Angriffsmuster wie in Frankreich
Die erste Angriffswelle traf Frankreich in der Nacht vom 11. auf den 12. Oktober. Nach Angaben von Finanzminister Roland Lescure waren rund 700 der etwa 10.000 Supermärkte des Landes betroffen. Dazu zählten Filialen von Intermarché, Netto, Coopérative U, Carrefour und Monoprix, wie die Associated Press berichtete. Lescure bezeichnete den Angriff als Bedrohung, die „den Kern unserer Ernährungssicherheit“ treffe.
Nach Angaben der spanischen Cybersicherheitsbehörde INCIBE-CERT zeigten einige Geräte mehrere Stunden lang Temperaturen von 50 °C an. Die betroffenen Märkte mussten frische und tiefgekühlte Lebensmittel entsorgen. An einzelnen Standorten kam es außerdem zu kleineren Bränden. Der Gesamtschaden belief sich auf mehrere zehn Millionen Euro.
In beiden Fällen übernahmen die Angreifer die Kontrolle über die Fernwartungssysteme der Kälteanlagen. Stephan Moelans, Geschäftsführer des belgischen Kälteanlagenbauers Sabcobel, erklärte, die Verdampfer seien in den Abtaumodus geschaltet worden. Das entspreche dem Vorgehen in Frankreich. Seiner Einschätzung nach reiche ein Software-Update allein nicht aus; auch die Anlagen selbst müssten physisch angepasst werden.
Veraltete Software und offene Internetzugänge
In seinem Warnhinweis nennt das französische CERT-FR Fernsteuerungen von Danfoss, Copeland und Dixell als betroffene Geräte. Die Behörde warnt: Wird ein veraltetes Gerät ohne Sicherheitsupdates weiterhin direkt aus dem Internet erreichbar betrieben, ist eine Kompromittierung „sehr wahrscheinlich“. Eine ungeschützte Management-Schnittstelle im Internet verstoße zudem gegen grundlegende Sicherheitsregeln.
Danfoss zufolge handelte es sich bei den meisten betroffenen Anlagen um ältere Produkte, für die keine Sicherheitsupdates mehr bereitgestellt werden. Kunden sollten ihre Systeme auf dem aktuellen Stand halten und hinter einer Firewall betreiben.
Warnsignal für Betreiber der Kühlkette
Zwar richteten sich die Angriffe gegen Supermärkte. Die gleiche Art von fernsteuerbarer Technik kommt jedoch auch in Kühlhäusern, Distributionszentren und anderen temperaturgeführten Logistikstandorten zum Einsatz. CERT-FR empfiehlt Betreibern daher:
- den direkten Internetzugang zu Steuerungen von Kälteanlagen zu entfernen,
- die komplette Konfiguration einschließlich der Abtauzeiten zu überprüfen,
- Fernzugriffe ausschließlich über ein geschütztes Netzwerk oder ein sicheres VPN zuzulassen,
- die Firmware zu aktualisieren und voreingestellte Passwörter zu ändern.
Ein Zurücksetzen auf die Werkseinstellungen genügt laut CERT-FR nicht. Ohne weitere Absicherung bleibt das Gerät verwundbar und kann erneut angegriffen werden.
Die Vorfälle passen zu einem größeren Trend. Nach Angaben der EU-Agentur für Cybersicherheit ENISA zählen 47 % der Organisationen Lieferkettenangriffe zu den wichtigsten Cyberbedrohungen. Nur Ransomware wird mit 55 % noch häufiger genannt. Viele Logistikverantwortliche rechnen mit Cyberangriffen, kürzen aber weiterhin ihre Sicherheitsbudgets.
Für keine der beiden Angriffswellen hat bislang jemand die Verantwortung übernommen. Die Behörden schließen weiterhin keine der möglichen Ursachen aus.
