Lényeg:
- Újabb kibertámadás érte a szupermarketek hűtőrendszereit legalább hat európai országban.
- Belgiumban mintegy 75 üzletet érintett az incidens, köztük Delhaize-, Carrefour- és Intermarché-üzleteket.
- A támadók leolvasztási módba kapcsolták a berendezéseket, illetve magas hőmérsékletet állítottak be, tönkretéve az árukészlet egy részét.
- A módszer megegyezik a körülbelül 700 francia szupermarketet október 11-ről 12-re virradó éjjel érintő támadáséval.
- A francia kiberbiztonsági hatóság szerint különösen veszélyeztetettek az internet felől elérhető távoli vezérlők.
Legalább hat országban jeleztek incidenseket
A támadásokról november 2-án érkeztek hírek. Az Euronews szerint Belgiumban vasárnap éjszaka és hétfő reggel között mintegy 75 üzlet hűtőrendszerét érte támadás. Az érintettek között szerepelt:
- körülbelül 40 Delhaize Proxy üzlet,
- 15 Carrefour Shop & Go üzlet,
- 15 Intermarché-üzlet,
- öt, Q8-töltőállomásokon működő Spar üzlet,
- valamint a monsi IKEA-áruház.
A Carrefour Belgium közlése szerint a vállalat 700 üzletéből 15-öt érintett az incidens, és egyik sem hipermarket volt. A vállalat szerint a hatás „nagyon korlátozott” maradt, valamennyi üzlet nyitva tartott. A belga szövetségi ügyészség vizsgálatot indított.
Svédországban az ICA és a Coop üzletei is érintettek voltak. A beszámolók szerint egyes hűtőket és fagyasztókat 50 °C-ra állítottak. Írországban a Musgrave 13 SuperValu üzlet érintettségét erősítette meg. Hollandiában, Finnországban és Észtországban szintén érkeztek jelentések incidensekről, míg a Delhaize elővigyázatosságból felfüggesztette luxemburgi rendelési rendszereit.
Ugyanazt a módszert alkalmazták, mint Franciaországban
Az első támadási hullám Franciaországban történt, október 11-ről 12-re virradó éjjel. Roland Lescure pénzügyminiszter szerint az ország mintegy 10 000 szupermarketéből körülbelül 700-at érintett a támadás. A károsultak között az Intermarché, a Netto, a Coopérative U, a Carrefour és a Monoprix üzletei is ott voltak – számolt be az Associated Press. Lescure szerint a támadás „élelmiszer-biztonságunk szívét érinti”.
A spanyol nemzeti kiberbiztonsági intézet, az INCIBE-CERT szerint egyes berendezésekben órákon át 50 °C-ra emelkedett a hőmérséklet. Az üzleteknek friss és fagyasztott élelmiszereket kellett megsemmisíteniük, néhány helyszínen pedig kisebb tüzek is keletkeztek. A károk elérték a több tízmillió eurót.
Mindkét támadási hullám során a tettesek hozzáférést szereztek a hűtőrendszerek távoli vezérlésére szolgáló felületekhez. Stephan Moelans, a belga hűtéstechnikai vállalat, a Sabcobel vezérigazgatója szerint az elpárologtatókat leolvasztási módba kapcsolták, ugyanúgy, mint Franciaországban. Úgy véli, önmagában egy szoftverfrissítés nem oldja meg a problémát: a berendezések fizikai átalakítására is szükség lehet.
Elavult szoftverek és közvetlen internetkapcsolat
A francia kiberbiztonsági ügynökség, a CERT-FR figyelmeztetése az érintett eszközök között a Danfoss, a Copeland és a Dixell távoli vezérlőit is felsorolja. A hatóság szerint a támogatási időszakuk végére ért, biztonsági frissítéseket már nem kapó berendezések internet felől elérhetővé tétele esetén a feltörés „nagyon valószínű”. A kezelőfelület közvetlen internetes elérése egyébként is ellentétes a megfelelő biztonsági gyakorlattal.
A Danfoss közlése szerint az érintett rendszerek többsége régebbi termékeken alapul, amelyekhez már nem adnak ki biztonsági frissítéseket. A vállalat azt tanácsolta ügyfeleinek, hogy mindig naprakész szoftvert használjanak, és a rendszereket tűzfal mögött üzemeltessék.
A hideglánc valamennyi szereplőjének védekeznie kell
A támadók ezúttal szupermarketeket vettek célba, de ugyanezt a távolról vezérelhető technológiát hűtőraktárakban, elosztóközpontokban és más, szabályozott hőmérsékletű logisztikai létesítményekben is használják. A CERT-FR az alábbi intézkedéseket javasolja az üzemeltetőknek:
- szüntessék meg a hűtésvezérlők közvetlen internetes elérhetőségét,
- ellenőrizzék a teljes konfigurációt, beleértve a leolvasztási időzítéseket is,
- a távoli hozzáférést kizárólag biztonságos VPN-en vagy védett hálózaton keresztül engedélyezzék,
- frissítsék a firmware-t, és cseréljék le az alapértelmezett jelszavakat.
A CERT-FR arra is felhívja a figyelmet, hogy a gyári visszaállítás önmagában nem elegendő. A készülék ettől még sebezhető maradhat, így a támadók ismét hozzáférhetnek.
Az esetek egy szélesebb trendbe illeszkednek. Az uniós kiberbiztonsági ügynökség, az ENISA szerint a szervezetek 47 százaléka a beszállítói lánc elleni támadásokat a legfontosabb kiberfenyegetések között tartja számon. Ennél csak a zsarolóvírusos támadások aránya magasabb: 55 százalék. Sok logisztikai vezető kibertámadásra számít, mégis csökkenti a biztonságra fordított költségvetést.
Egyik támadási hullámért sem vállalta még senki a felelősséget, a hatóságok pedig egyelőre egyetlen lehetséges magyarázatot sem zártak ki.
