Кибератака поразила системы охлаждения в десятках бельгийских супермаркетов, вынудив магазины выбросить продукты примерно на 100 000 €.
Пострадали около 40 супермаркетов Delhaize, как минимум 15 магазинов Carrefour, пять торговых точек Spar и мясная группа De Laet en Van Haver. Бельгийские СМИ сообщили, что температура в холодильных камерах поднималась до 70 °C.
Представитель Delhaize сообщил Euronews, что компания «выявила инцидент в области ИТ, который затронул системы охлаждения в нескольких десятках магазинов».
О проблемах также сообщалось в ряде магазинов шведской сети ICA. Атака последовала за похожим инцидентом 12 октября, когда были взломаны системы охлаждения сотен французских супермаркетов.
Так почему кто-то может взять под контроль холодильник или морозильник супермаркета, не находясь в магазине?
Почему холодильники подключены к интернету?
Крупные системы охлаждения в супермаркетах управляются центральными блоками, которые контролируют температуру, циклы разморозки и сигналы тревоги для каждого холодильника и морозильника в магазине.
По данным исследования, опубликованного в октябре кибербезопасностной фирмой Forescout (источник на английском языке), подключение этих блоков к интернету уже давно является стандартной опцией. Это позволяет подрядчикам по обслуживанию холодильного оборудования удаленно диагностировать неисправности и корректировать настройки, вместо того чтобы направлять техника в каждый магазин.
Danfoss, один из основных поставщиков в Европе, отмечает, что подключение систем управления охлаждением к интернету обычно сокращает количество лишних выездов инженеров на 15–30%, поскольку многие неисправности можно устранить удаленно.
Компания также указывает, что дистанционный мониторинг позволяет супермаркетам автоматически вести температурные журналы, требуемые правилами безопасности пищевой продукции, вместо того чтобы сотрудники вручную проверяли каждый холодильный шкаф до четырех раз в день.
В руководствах по установке самих производителей описано, как сделать системы доступными извне, например настроив маршрутизатор магазина так, чтобы он перенаправлял интернет-трафик на контроллер охлаждения.
По словам Forescout, проблема в том, что ответственность часто разделена. Подрядчик может управлять программным обеспечением, магазин может владеть оборудованием, а его ИТ-отдел отвечает за интернет-подключение. Если роли четко не определены, «ни одна из сторон может не иметь полной картины об уязвимом сервисе», пишут исследователи.
Часть оборудования также устарела. Один из контроллеров Danfoss, задействованных в этих системах, не поддерживается с мая 2021 года, то есть больше не получает обновления безопасности и уязвим для взлома извне.
Каков масштаб риска?
Используя Shodan, поисковую систему, которая индексирует устройства, подключенные к интернету, Forescout обнаружила 12 976 открытых сервисов по управлению охлаждением на 6 017 интернет-адресах в 99 странах и территориях.
Большинство относилось к двум семействам продуктов: системам XWEB от Copeland и Dixell (7 075) и StoreView от Danfoss (4 697).
Среди сервисов Danfoss 80% работали на прошивке старее версии, в которой устранены известные уязвимости. В статистику входят системы, которые открыты для доступа, а не обязательно взломаны.
Риск выходит за рамки супермаркетов. Те же системы используются на предприятиях пищевой промышленности, в винодельнях, фруктовых хранилищах, на фермах и в охлаждающем оборудовании больниц.
Злоумышленникам не нужно сложное вредоносное ПО. Получив доступ, они могут с помощью штатных функций системы менять температуру, запускать циклы разморозки или отключать сигналы тревоги. Forescout отмечает, что такие изменения могут выглядеть как обычная операционная активность.
Что можно сделать?
Главная рекомендация Forescout заключается в том, чтобы вывести системы управления охлаждением из открытого доступа в интернет и предоставлять подрядчикам доступ только через защищенные инструменты удаленного подключения.
Компания также призывает операторов заменить оборудование, которое больше не получает обновления безопасности, отказаться от общих паролей подрядчиков в пользу индивидуальных учетных записей с многофакторной аутентификацией и вести учет всех изменений конфиденциальной информации.
