Злоумышленники дистанционно изменили настройки систем управления холодильным оборудованием в супермаркетах Бельгии, Швеции, Эстонии и других европейских стран в ночь на понедельник, 2 ноября, что привело к повышению температуры в холодильных и морозильных камерах. Ни одна сеть не сообщила о более чем нескольких десятках пострадавших магазинов, и некоторым пришлось выбросить охлажденные и замороженные продукты или снять их с продажи. Датская компания Danfoss, производитель систем управления холодильным оборудованием, заявила, что ее продукция была задействована, как и три недели назад, когда злоумышленники атаковали сотни французских супермаркетов. К вечеру понедельника никто не взял на себя ответственность за атаки, и неизвестно, были ли они связаны с атакой во Франции. Системы управления холодильным оборудованием — это компьютеры, которые управляют холодильниками и морозильными камерами магазина. Они могут быть подключены к Интернету, что позволяет подрядчикам по холодильному оборудованию удаленно отслеживать их и устранять неисправности. В Бельгии злоумышленники перевели холодильные установки в режим разморозки, сообщил бельгийским СМИ Стефан Моэланс, генеральный директор подрядчика по холодильному оборудованию Sabcobel. Режим разморозки предназначен для удаления льда, но в ходе этих атак он заставлял установки нагреваться вместо поддержания холода в продуктах. Sabcobel управляет холодильными системами для сети супермаркетов Delhaize. В других случаях была повышена настройка температуры. Магазин ICA в Сьёбу, на юге Швеции, сообщил, что его холодильники и морозильные камеры были настроены на 50°C, и персоналу пришлось выбрасывать пострадавшую продукцию. В супермаркете Selver в Эстонии морозильная камера была настроена на 50°C, сообщил Янн Мутсо, генеральный директор поставщика холодильного оборудования Kitman Coldtech. Температура поднялась всего на 2–3°C, и проблема была устранена примерно за 10 минут без повреждения продукции. На странице рекомендаций по безопасности Danfoss не было никаких уведомлений об атаках, когда The Hacker News проверила ее 3 ноября. Наиболее подробные инструкции для операторов по-прежнему содержатся в октябрьском оповещении от CERT-FR, входящего в состав национального агентства кибербезопасности Франции. Каждая компания описывала инцидент по-своему, и не все называли это кибератакой. В мясной лавке De Laet & Van Haver в Хове, к югу от Антверпена, температура в холодильниках была повышена до 18°C, сообщил владельцу Люк Де Лаэ репортеру Reuters. По его оценкам, было испорчено мясо на сумму около 15 000 евро (135 000 евро). В 13 магазинах SuperValu компания Musgrave в качестве меры предосторожности сняла с продажи охлажденные и замороженные продукты. Компания заявила днем в понедельник, что инцидент устранен и идет пополнение запасов. Несколько пострадавших систем были произведены компанией Danfoss. Все пострадавшие магазины ICA были подключены к внешней системе управления холодильным оборудованием, поставляемой Danfoss, сообщил AFP представитель ICA. В Эстонии злоумышленники получили доступ к управляющему компьютеру старой системы Danfoss, сказал Мутсо. Danfoss не упоминается во всех случаях. В заявлении Musgrave не указан производитель пострадавшей модели. Пострадавший бельгийский мясник сообщил голландскому вещателю NOS, что в Бельгии также было атаковано оборудование второго производителя, Copeland. Copeland не дал четкого ответа на вопросы об атаках. Голландские системы, которые были атакованы, не были защищены безопасной сетью и по-прежнему использовали пароли по умолчанию, сообщил NOS представитель Danfoss. Большинство магазинов там приняли меры после французской атаки, но некоторые этого не сделали, и именно они пострадали. Danfoss также сообщил бельгийскому вещателю VTM, что слабое место заключается в устаревшем программном обеспечении, и пострадали клиенты, которые не обновляли его, сообщила Euronews. Sabcobel знает примерно о 20 пострадавших единицах среди сотен, которыми она управляет в Бельгии. В бельгийских случаях злоумышленники проникли в системы отдельных супермаркетов, а не подрядчиков по холодильному оборудованию, сообщил Моэланс бельгийским СМИ. Sabcobel рекомендовал магазинам обезопасить свои интернет-соединения, и многие, но не все, сделали это. Мутсо сказал, что атаковались старые контроллеры, которые не были обновлены. Selver заявил, что пострадавший магазин был последним, который еще не был переведен на новую систему. ICA сообщила NBC News, что ее собственные системы не пострадали, и пострадавшие магазины использовали внешнего поставщика и были подключены к сети, находящейся вне центральной сети ICA. Центр кибербезопасности Бельгии сообщил журналистам в понедельник, что у него нет дополнительной информации. Национальный центр кибербезопасности Швеции в своем уведомлении не указал, как злоумышленники проникли в систему. Оповещение CERT-FR охватывает контроллеры Danfoss серий AK-SM и AK-SC, а также Copeland xweb и Dixell xweb. В нем говорится, что кампании атак против этих устройств, вероятно, продолжаются. Когда The Hacker News проверила 3 ноября, оповещение было последний раз обновлено 16 октября. Для устройств, которые не были скомпрометированы, шаги следующие: отключить устройство от Интернета, установить последнюю версию микропрограммы, а затем повторно подключить его к Интернету. Для скомпрометированного устройства следуют еще два шага: перезагрузить устройство Danfoss или сбросить его до заводских настроек, затем перенастроить его перед возвращением в эксплуатацию. Устаревшие устройства, которые больше не получают исправлений безопасности, с высокой вероятностью будут скомпрометированы, если останутся в Интернете, предупреждает CERT-FR. Один только сброс до заводских настроек оставляет их открытыми для повторной атаки. В октябре Danfoss заявила, что большинство атакованных во Франции устройств были старыми моделями, которые она больше не обновляет, AK-SM 800 и AK-SC 355. Danfoss посоветовала голландским клиентам 13 октября отключить свои системы от Интернета и подключать их только через безопасную сеть. Компания также работала с клиентами над внедрением исправлений. Национальный центр кибербезопасности Швеции рекомендовал организациям составить список устройств, подключенных к Интернету, определить, требуется ли каждому из них подключение, и поддерживать все оставшиеся подключенными в актуальном состоянии и защищенными многоуровневой безопасностью. Моэланс сказал, что одного обновления программного обеспечения недостаточно, поскольку установки требуют физических изменений, которые стоят денег. Самым простым решением является безопасное интернет-соединение для управления холодильниками, которое большинство клиентов Sabcobel внедрили после французской атаки. Danfoss заявила, что голландские атаки были такими же, как и во Франции, Sabcobel заявил, что в Бельгии использовался тот же метод, а Kitman заявил, что метод в Эстонии был схожим. Общий метод не означает, что одни и те же люди осуществили обе атаки. Центр кибербезопасности Бельгии заявил в понедельник, что неизвестно, кто стоит за атаками, и “это может никогда не быть установлено”. Федеральная прокуратура Бельгии возбудила уголовное расследование, подтвердила она VRT. Национальный центр кибербезопасности Швеции заявил в понедельник, что он отслеживает инциденты и обменивается информацией с агентствами в других скандинавских и европейских странах.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
