Kjøledisker i 350 franske butikker varmet til 50 grader, 4500 Danfoss-styringer står åpne

Angripere tok fjernkontroll over kjøleskap og frysere i minst 350 franske supermarkeder i løpet av natten, satte dem på avriming og lot temperaturen stige til opptil 50 °C (122 °F). Hos Intermarché holdt kjøleskapene i rundt 150 butikker seg så varme i seks timer, og alle varene i dem måtte kastes. Inngangsveien var boksen som styrer kjølediskene i en hel butikk: en Danfoss-kontroller som kjøleteknikere administrerer via internett.

For kundene betydde det stengte frysedisker og ansatte i Paris sentrum som tømte handlevogner fulle av tint kjøtt og smeltet iskrem i enorme avfallscontainere. For alle andre strekker problemet seg langt utover Frankrike. Reuters brukte søkemotoren Shodan og fant minst 4 500 Danfoss-grensesnitt som fortsatt var synlige på nett etter angrepet. Det franske skanneselskapet Onyphe opplyste at bare et lite mindretall så ut til å kjøre den nyeste programvaren.

Carrefour telte 80 berørte supermarkeder, mens Monoprix hadde problemer i rundt 5 prosent av sine om lag 490 franske butikker. Også Coopérative U ble rammet, men administrerende direktør Dominique Schelcher sa at kjølekjeden holdt i de fleste av butikkene som var berørt, fordi ansatte og teknikere reagerte raskt. E.Leclerc opplyste at en av leverandørene deres av kjøleanlegg var blitt angrepet. Påtalemyndigheten i Paris meldte om matsvinn og utstyr som begynte å ta fyr. Thierry Cotillard, som leder Intermarchés morselskap Les Mousquetaires, sa til BFMTV at skadene ville beløpe seg til «titals millioner euro på landsbasis på én dag».

Danfoss sier at mange av enhetene som ble rammet, hadde «nådd slutten av levetiden og ikke lenger mottar programvare- eller sikkerhetsoppdateringer», mens andre «kjørte utdatert fastvare». Selskapet trakk fram to eldre modeller, AK-SM 800 og AK-SC 355, som begge ble faset ut for flere år siden. Også noen av dagens AK-SM 800A-kontrollere med gammel fastvare ble rammet. Frankrikes nasjonale cybersikkerhetsbyrå ANSSI har også trukket fram programvare fra Copeland og merkevaren Dixell som systemer som ble berørt. Copeland erkjente «sårbarheten» og uttalte: «Vi samarbeider nå med berørte kunder for å redusere risikoen.»

Supermarkedenes kjøleanlegg er koblet til internett av en ganske hverdagslig grunn. Teknikere kan justere temperaturer, kvittere ut alarmer og endre avrimingssykluser uten å måtte kjøre til butikken. CERT-FR, myndighetenes beredskapsteam, har bedt alle som bruker Danfoss-kontrollerne AK-SM og AK-SC, om å koble dem fra nettet eller begrense tilgangen strengt. ANSSI-direktør Vincent Strubel kalte dette et hastetiltak, ifølge AFP.

Ingen kan foreløpig si hvordan angriperne kom seg inn, eller hvorfor. Ingen gruppe har tatt på seg ansvaret, og det er ikke fremsatt noe løsepengekrav. Dette har gjort etterforskerne forundret, ifølge en kilde Reuters har snakket med. CERT-FR har ikke oppgitt noen sårbarhet, fastvareversjon eller tegn på innbrudd som driftsansvarlige kan se etter. Sårbarhetene som sikkerhetsselskapet Claroty har dokumentert i AK-SM 800A, er heller ikke knyttet til angrepet. Eiere av de eldste modellene har ingen oppdatering å installere, så den egentlige løsningen er nytt utstyr, kjøpt gjennom de samme teknikerne som installerte de gamle boksene. «Dette handler om grunnleggende cybersikkerhet», sa Ken Munro fra Pen Test Partners. «Gjør du det feil, ender du opp med et stinkende kaos av mat som har tint.» Han la til at angriperne gikk løs på en åpen dør, og at de skyldige like gjerne kunne være «unger som bare tuller rundt».

Frankrike er kanskje ikke alene. Félix Aimé, trusseletterretningsanalytiker hos Sekoia, sa til Reuters at også Spania, Portugal, Polen, Tyskland og Belgia var rammet, uten å gi nærmere detaljer. ANSSI er i kontakt med etater andre steder i Europa. En separat hendelse slo samtidig ut de digitale dagligvaretjenestene til den nederlandske butikkjeden Ahold Delhaize, men det nederlandske cybersikkerhetssenteret NCSC ser ingen sammenheng. Det finnes tidligere eksempler: Kjøleskap ved rundt et dusin amerikanske militærbutikker ble forstyrret på lignende vis i slutten av august, og Danfoss’ eget kundebrev omtaler angrep mot 16 russiske supermarkeder og 40 israelske butikker i 2022.

Angrepet startet natt til søndag 11. oktober, og CERT-FR publiserte varselet sitt dagen etter. Danfoss erklærte AK-SM 800 utgått i mai 2021 og faset ut AK-SC 355 i 2016, mens Claroty publiserte undersøkelsen sin av den nyere modellen 9. august. Påtalemyndighetens avdeling for cyberkriminalitet i Paris har åpnet etterforskning, ledet av anticyberkrimkontoret OFAC, for å telle ofrene og knytte hvert enkelt tap til angrepet. Den franske handelsføderasjonen FCD har bedt Danfoss om «full åpenhet». Inntil etterforskerne finner ut hvordan angriperne kom seg inn, er det billigste tiltaket på CERT-FRs liste helt uten behov for oppdateringer: Koble kontrolleren fra internett.

Tagger: Pelé, Cher, IoT-sikkerhet, dataangrep, ANSSI, Carrefour