Najważniejsze informacje:
- Druga fala cyberataków objęła systemy chłodnicze supermarketów w co najmniej sześciu krajach Europy.
- W Belgii ucierpiało około 75 placówek, w tym sklepy sieci Delhaize, Carrefour i Intermarché.
- Napastnicy przełączali urządzenia w tryb rozmrażania lub podnosili temperaturę, powodując straty w przechowywanej żywności.
- Wykorzystano mechanizm podobny do tego, który zastosowano podczas ataku na około 700 francuskich supermarketów w dniach 11–12 października.
- Francuska agencja cyberbezpieczeństwa ostrzegła, że szczególnie narażone są sterowniki instalacji chłodniczych dostępne bezpośrednio przez internet.
Cyberataki dotknęły sklepy w sześciu krajach
Informacje o kolejnych incydentach pojawiły się 2 listopada. Jak podał Euronews, w Belgii do cyberataków doszło w nocy z niedzieli na poniedziałek oraz w poniedziałek rano. Problemy dotknęły około 75 placówek, w tym około 40 sklepów Delhaize Proxy, 15 placówek Carrefour Shop & Go, 15 sklepów Intermarché, pięć sklepów Spar działających przy stacjach paliw Q8 oraz sklep IKEA w Mons.
Carrefour Belgium poinformował, że incydent dotknął 15 z 700 sklepów sieci. Żaden z nich nie był hipermarketem, a firma oceniła skutki jako „bardzo ograniczone”. Wszystkie placówki pozostały otwarte. Belgijska prokuratura federalna wszczęła postępowanie w tej sprawie.
W Szwecji zaatakowano sklepy sieci ICA i Coop. Według doniesień temperatura w lodówkach i zamrażarkach wzrosła nawet do 50°C. W Irlandii firma Musgrave poinformowała, że problem dotknął 13 sklepów SuperValu.
Incydenty odnotowano również w Niderlandach, Finlandii i Estonii. W Luksemburgu sieć Delhaize prewencyjnie zawiesiła działanie systemów składania zamówień.
Napastnicy wykorzystali mechanizm znany z ataków we Francji
Pierwsza fala cyberataków miała miejsce we Francji w nocy z 11 na 12 października. Jak informował minister finansów Roland Lescure, zaatakowano około 700 z 10 tys. supermarketów w kraju, w tym sklepy Intermarché, Netto, Coopérative U, Carrefour i Monoprix. Lescure stwierdził, że atak „dotyka samego serca naszego bezpieczeństwa żywnościowego”.
Według hiszpańskiego krajowego instytutu cyberbezpieczeństwa INCIBE-CERT w niektórych urządzeniach temperatura przez kilka godzin utrzymywała się na poziomie 50°C. Sklepy musiały zutylizować świeżą i mrożoną żywność, a w części placówek doszło do niewielkich pożarów. Straty oszacowano na dziesiątki milionów euro.
W obu falach ataków napastnicy uzyskali nieautoryzowany dostęp do systemów zdalnego zarządzania instalacjami chłodniczymi. Stephan Moelans, prezes belgijskiej firmy chłodniczej Sabcobel, poinformował, że parowniki przełączono w tryb rozmrażania, podobnie jak podczas wcześniejszych incydentów we Francji. Jego zdaniem sama aktualizacja oprogramowania może nie wystarczyć do zabezpieczenia instalacji. Konieczne mogą być również fizyczne zmiany w systemach chłodniczych.
Przestarzałe oprogramowanie i urządzenia dostępne z internetu
W ostrzeżeniu francuskiego zespołu reagowania na incydenty cyberbezpieczeństwa CERT-FR wymieniono m.in. sterowniki instalacji chłodniczych marek Danfoss, Copeland i Dixell, wyposażone w funkcje zdalnego zarządzania.
CERT-FR podkreśla, że urządzenia pozbawione aktualizacji zabezpieczeń i dostępne bezpośrednio z internetu są szczególnie narażone na przejęcie. Udostępnianie interfejsów zarządzania w publicznej sieci jest sprzeczne z podstawowymi zasadami cyberbezpieczeństwa.
Danfoss poinformował, że w większości zaatakowanych instalacji wykorzystywano starsze urządzenia, które nie otrzymują już aktualizacji zabezpieczeń. Firma zaleciła klientom regularne aktualizowanie oprogramowania oraz ochronę urządzeń za pomocą zapór sieciowych.
Zagrożenie dotyczy także chłodni i centrów dystrybucyjnych
Cyberataki były wymierzone w supermarkety, jednak podobne systemy zdalnego sterowania wykorzystywane są również w chłodniach, centrach dystrybucyjnych oraz innych obiektach logistycznych wymagających utrzymywania określonej temperatury.
Zagrożenie nie ogranicza się więc do sieci handlowych. Może dotyczyć także operatorów infrastruktury chłodniczej w łańcuchach dostaw. CERT-FR zaleca:
- zablokowanie bezpośredniego dostępu z internetu do sterowników instalacji chłodniczych,
- sprawdzenie pełnej konfiguracji systemów, w tym harmonogramów rozmrażania,
- zapewnienie zdalnego dostępu wyłącznie przez odpowiednio zabezpieczone połączenia VPN lub chronioną sieć,
- regularne aktualizowanie oprogramowania układowego oraz zmianę domyślnych haseł.
Francuski zespół ostrzega również, że samo przywrócenie ustawień fabrycznych nie usuwa zagrożenia. Jeżeli nie zostaną wyeliminowane podatności, urządzenie nadal może zostać ponownie przejęte.
Cyberataki na łańcuchy dostaw wśród największych zagrożeń
Incydenty pokazują szerszy problem cyberbezpieczeństwa infrastruktury wykorzystywanej w handlu i logistyce. Według unijnej agencji cyberbezpieczeństwa ENISA 47 proc. organizacji zalicza ataki na łańcuchy dostaw do najpoważniejszych zagrożeń cybernetycznych. Wyżej znalazły się jedynie ataki ransomware, wskazane przez 55 proc. badanych.
Wielu menedżerów branży logistycznej spodziewa się cyberataków, jednak mimo rosnącego zagrożenia firmy nadal ograniczają budżety przeznaczone na bezpieczeństwo. Dotychczas żadna grupa nie przyznała się do odpowiedzialności za którąkolwiek z fal ataków. Władze nie wykluczyły żadnego scenariusza.
