Az érintett üzletek száma forrásonként eltér: a Reuters több mint 350 boltról írt, Roland Lescure francia gazdasági miniszter parlamenti nyilatkozata szerint a mintegy 10 ezer francia szupermarketből körülbelül 700-at érintett a támadás. A láncok saját adatai is szórnak: a Les Mousquetaires (Intermarché, Netto) saját számai szerint 150-180 boltjában állt be a probléma, míg az AFP szerint legalább 300 Intermarché- és Netto-üzletet érintett az eset. A Carrefour 80 boltjáról adott hírt (a maga csaknem 6000 üzletéből), a Coopérative U mintegy 80-100 üzletét, a Monoprix a 490 boltjának körülbelül 5 százalékát jelentette érintettnek, az E.Leclerc pedig megerősítette az érintettséget, konkrét számot nem közölve.
Az Intermarché minden érintett terméket kidobott, hogy kizárja az egészségügyi kockázatot. A kár a kereskedők becslése szerint milliós nagyságrendű, euróban. Dominique Schelcher, a Coopérative U vezérigazgatója rendkívül súlyosnak és példátlannak nevezte, hogy a támadás az élelmiszer-tartósításhoz nélkülözhetetlen berendezéseket vette célba.
Hogyan lett a hűtőből kemence?
A támadók nem fordították meg a hűtés irányát — ezt a hűtőgépek fizikailag nem is tudnák. A berendezések beépített leolvasztó funkcióját kapcsolták be, és kiiktatták azokat a korlátokat, amelyek normál esetben megakadályozzák, hogy a hőmérséklet túlságosan megemelkedjen. A jégmentesítésre szolgáló, rendes esetben rövid ideig futó fűtés így órákon át égett.
A kulcseszköz a Danfoss AK-SM 800A típusú rendszerkezelő. A Claroty kiberbiztonsági cég Team82 nevű kutatócsoportja már augusztus elején jelezte, hogy az eszközben van egy mechanizmus, amellyel megkerülhető a hitelesítés — a javítást a gyártó szeptember közepén adta ki, de ez a támadás időpontjáig sem jutott el minden érintett berendezésre. Napokkal a támadás után is kiberbiztonsági cégek (többek közt a Censys és a Shodan internetes keresőszolgáltatás adatait felhasználó kutatók) több ezres nagyságrendű, Franciaországban akár közel háromezer nyilvánosan elérhető Danfoss-vezérlőt találtak az interneten — jelezve, hogy a probléma a támadás kirobbanása után sem szűnt meg azonnal, bár a kitettség a Censys szerint a támadás utáni három napban 71 százalékkal csökkent.
A gyártók reakciója árulkodó. A Danfoss elismerte, hogy az érintett egységek közül sok már nem kap szoftver- és biztonsági frissítést, vagy elavult firmware-t futtat. A Copeland egy már kivezetett, életciklusa végére ért vezérlőgenerációban talált sebezhetőséget. Félix Aimé, a Sekoia kiberbiztonsági cég kutatója szerint a támadók rosszindulatú kódot sem telepítettek, egyszerűen a rendszer meglévő funkcióit használták — ez jelentősen megnehezíti a nyomok követését.
Ki állhat a kibertámadások mögött?
A párizsi ügyészség országos hatáskörben végzett nyomozást, Sébastien Lecornu miniszterelnök pedig az ANSSI-t bízta meg a vizsgálattal. Franciaország az európai partnerekkel is egyeztetett. A napokban Franciaország azonosította a Shahid Kaveh nevű elit hackercsoportot, amely az Iszlám Forradalmi Gárda része, és ezt a csoportott tette felelőssé egy kibertámadásért, amely megzavarta a hűtőket a francia szupermarketekben.
Nem csak francia ügy
Ugyanezek a sebezhető Danfoss-berendezések Spanyolországban, Portugáliában, Lengyelországban, Németországban és Belgiumban is működnek — Aimé a Reutersnek azt mondta, hogy ezekben az országokban is voltak érintett egységek.
A támadás napján a holland Ahold Delhaize bejelentette, hogy biztonsági problémát kezel a hálózatában, és több rendszerét elővigyázatosságból lekapcsolta: az Albert Heijn, a Delhaize, az Etos, a Gall & Gall és a bol.com rendszerei mellett az amerikai Stop & Shop, Giant, Hannaford és Food Lion láncok oldalain is ideiglenes üzemszünet jelent meg, az Albert Heijn pedig nem tudott házhozszállítást vállalni. Hogy ennek köze van-e a francia támadáshoz, azt eddig senki nem erősítette meg.
A módszernek előzménye is van: a Danfoss közlése szerint 2022-ben orosz és izraeli szupermarketek (16, illetve 40 üzlet) elavult AK-SM800-vezérlőit vették célba hackerek.
Amiről kevesebb szó esik
A híradások az 50 fokra és a tüzekre fókuszáltak, pedig az igazi tanulság kevésbé látványos. A támadáshoz nem kellett különleges képesség. Munro szerint nem volt nehéz kitalálni, hogyan lehet átvenni az irányítást, és üzleti indoka sem volt annak, hogy a vezérlők nyilvánosan elérhetők legyenek az interneten.
A boltok hűtését jellemzően külső cégek üzemeltetik, a régi vezérlők nem kapnak frissítést, a gyártók pedig az ügyfelekre hárítják a cserét. Munro szerint a cégvezetésnek azt kellene megkérdeznie a beszállítóitól, ki szervezte ki ezeknek a hűtőknek az üzemeltetését, és kinek a szerződéses felelőssége volt a biztonságuk.
Roland Lescure gazdasági miniszter szerint ellátási hiánytól nem kell tartani, de az ügy mindenkinek ébresztő. Christophe Hansen, az Európai Unió agrárbiztosa tovább ment: szerinte az élelmiszer fegyverként való használata valósággá vált. Ez a valódi tét: egy fagyasztópult nem tűnik kritikus infrastruktúrának, amíg egy éjszaka alatt több száz bolt hűtőlánca meg nem szakad.
