Atak na chłodnie we Francji: o co zapytać dostawcę i serwisanta urządzeń

Napastnicy podnieśli temperaturę w chłodniach setek francuskich supermarketów do 50°C. Podobna furtka może istnieć w każdej firmie, która ma podłączone do sieci urządzenia i zdalny serwis.

Sześć godzin w 50 stopniach

W nocy z 11 na 12 października napastnicy przejęli sterowniki chłodni i zamrażarek w setkach francuskich supermarketów. Podnieśli w nich temperaturę do 50 stopni Celsjusza i utrzymali ją przez około sześć godzin. Sklepy musiały zutylizować żywność, a w części obiektów wybuchły pożary. Prokuratura w Paryżu wszczęła postępowanie. Premier Sébastien Lecornu zlecił śledztwo ANSSI, francuskiej agencji ds. bezpieczeństwa sieci i informacji.

Skala ataku wciąż nie jest jasna, a źródła podają różne liczby. Grupa Les Mousquetaires mówi o około 150 sklepach Intermarché. Agencja AFP pisze o co najmniej 300 placówkach Intermarché i Netto oraz o ponad 100 sklepach Coopérative U. Carrefour zgłosił problemy w 80 supermarketach, a Monoprix w 5 proc. swoich sklepów. Prezes Intermarché Thierry Cotillard szacował w telewizji BFM TV straty całej branży na dziesiątki milionów euro w ciągu jednej doby. To ocena z wywiadu, a nie oficjalne rozliczenie strat. Część sklepów już wznowiła pracę.

Wspólny mianownik: sterownik widoczny z internetu

Chłodnie w supermarketach obsługuje się z paneli podłączonych do sieci. Dzięki temu firma serwisowa może zdalnie zmieniać ich ustawienia. Według źródeł zbliżonych do francuskiego rządu ANSSI wskazała lukę w oprogramowaniu duńskiego Danfossa. Producent przyznał, że większość zaatakowanych urządzeń to starsze produkty albo obecne modele z nieaktualnym oprogramowaniem układowym (firmware). Wymienił sterowniki AK-SM800, wycofany z produkcji w 2021 roku, i AK-SC355, wycofany w 2016 roku. Żaden z nich nie dostaje już poprawek bezpieczeństwa.

W sierpniu zespół Team82 z firmy Claroty opisał podatności w sterowniku Danfoss AK-SM 800A. Pozwalały one m.in. obejść uwierzytelnianie i zdalnie wykonać kod. Poprawki trafiły do firmware w wersji R4.3.1. Badacze naliczyli około 2 765 takich sterowników dostępnych wprost z internetu, z czego 1 590 we Francji. Danfoss nie potwierdził jednak, że napastnicy wykorzystali właśnie te luki. Dokładnej drogi dostępu jeszcze nie ustalono.

W tym samym czasie holenderski koncern Ahold Delhaize prewencyjnie wyłączył część systemów sieci Albert Heijn po wykryciu problemu z bezpieczeństwem. Przestały działać strona, aplikacja i zamówienia online, które odpowiadają za około 10 proc. sprzedaży. Zakłócenia objęły też logistykę i strony amerykańskich sieci grupy. Firma twierdzi, że nie ma podstaw, by łączyć te problemy z atakiem we Francji. Żadne źródło nie potwierdziło też motywacji geopolitycznej.

Dlaczego to dotyczy nie tylko handlu

Francuski atak nie wymagał kradzieży danych ani szyfrowania plików. Wystarczyło przejąć kontrolę nad sterowaniem urządzeniami. Ten sam schemat grozi każdej firmie, w której przez sieć zarządza się chłodnią, klimatyzacją i wentylacją (HVAC), automatyką budynku czy maszynami na hali. Fachowo to infrastruktura OT, czyli systemy sterujące fizycznymi procesami, w odróżnieniu od biurowego IT.

Vanunu zwraca uwagę na rozjazd w czasie. Takie urządzenia działają często 15 lat lub dłużej, a metody ataków zmieniają się znacznie szybciej. Kamil Sadkowski, analityk cyberzagrożeń ESET, wyciąga z obu incydentów wniosek, że bezpieczeństwo łańcuchów dostaw staje się kwestią bezpieczeństwa żywnościowego. Sprawa ma też wątek polski. Felix Aime, analityk firmy Sekoia, wymienia Polskę wśród krajów, w których podmioty zmagają się ze skutkami ataków. Na razie nie wiadomo, o które polskie firmy chodzi.

Firmy z wykazu KSC i tak muszą się tym zająć

Trzeciego października minął termin samorejestracji w wykazie Krajowego Systemu Cyberbezpieczeństwa (KSC). Nowelizacja ustawy wdraża unijną dyrektywę NIS2. Według Ministerstwa Cyfryzacji, na które powołuje się „Rzeczpospolita”, w wykazie jest już prawie 70,5 tys. podmiotów. Ponad 8,1 tys. zgłosiło się samo, a 62,3 tys. wpisano z urzędu. Wcześniej szacowano, że przepisy obejmą 35-38 tys. organizacji.

Analizy branżowe wskazują, że obowiązki te obejmują także sterowniki i sieci przemysłowe, a nie wyłącznie serwery i pocztę. Paweł Dawidek, CEO Fudo Security, firmy zajmującej się kontrolą dostępu, przestrzega przed traktowaniem tych miesięcy jako czasu na pisanie dokumentów. Jako jeden z pierwszych obszarów do uporządkowania wskazuje dostęp do kluczowych systemów, w tym konta zewnętrznych serwisantów i integratorów. Często mają stałe, szerokie uprawnienia, choć logują się sporadycznie.

Pięć pytań do dostawcy i serwisanta

Firma nie musi czekać na wyniki francuskiego śledztwa, żeby sprawdzić, jak to wygląda u niej. Poniższe pytania zebraliśmy z rekomendacji cytowanych tu ekspertów oraz zespołu Claroty. Odpowiedzi warto dostać na piśmie, od dostawcy urządzeń i od firmy, która je serwisuje.

• Czy panel zarządzania chłodnią, HVAC albo maszyną jest dostępny bezpośrednio z internetu?
• Czy firmware jest aktualny i czy producent nadal wydaje do niego poprawki?
• Czy zdalny dostęp serwisanta jest włączany na konkretne zadanie i czas, czy działa przez cały rok?
• Czy da się odtworzyć, kto, kiedy i co zmienił w ustawieniach urządzenia?
• Czy sieć sterująca urządzeniami jest oddzielona od biurowej sieci IT?

Część zabezpieczeń nie wymaga wymiany sprzętu. Wyłączenie zbędnych połączeń z internetem, zmiana domyślnych haseł, logowanie dwuskładnikowe i alarm przy nietypowej zmianie temperatury to zmiany w konfiguracji, o które można poprosić serwisanta. Droższy jest jeden przypadek: urządzenie, którego producent już nie wspiera. W naszej ocenie wymianę takich urządzeń trzeba zaplanować w budżecie, zanim zdecyduje o niej awaria. Firmom z wykazu KSC przyda się to także przy analizie ryzyka, którą i tak muszą przeprowadzić w ramach systemu zarządzania bezpieczeństwem informacji.