Kyldiskar i 350 franska butiker värmdes till 50 grader, 4 500 Danfoss-styrningar nåbara

Angripare tog fjärrkontroll över kyl- och frysanläggningarna i minst 350 franska matbutiker under natten, ställde om dem till avfrostningsläge och lät temperaturen stiga till så mycket som 50°C (122°F). På Intermarché blev kylarna i omkring 150 butiker kvar på den temperaturen i sex timmar, och alla varor där inne fick slängas. Vägen in gick via enheten som styr hela butikens kyldiskar: en Danfoss-styrenhet som kyltekniker sköter via internet.

För kunderna innebar det avspärrade frysavdelningar och personal i centrala Paris som tippade vagnslass med tinat kött och smält glass i stora sopcontainrar. För alla andra sträcker sig problemet långt utanför Frankrike. Med hjälp av sökmotorn Shodan hittade Reuters minst 4 500 Danfoss-gränssnitt som fortfarande var synliga på nätet efter angreppet. Det franska skanningsföretaget Onyphe uppgav att endast en liten andel verkade köra den senaste programvaran.

Carrefour räknade 80 drabbade butiker, medan Monoprix uppgav att omkring 5 procent av kedjans cirka 490 franska butiker hade påverkats. Även Coopérative U drabbades, men vd:n Dominique Schelcher sade att kylkedjan höll i de flesta berörda butiker eftersom personal och tekniker agerade snabbt. E.Leclerc uppgav att en av företagets kylsystemleverantörer hade utsatts för ett angrepp. Åklagarmyndigheten i Paris rapporterade om förstörda livsmedel och utrustning som börjat fatta eld. Thierry Cotillard, som leder Intermarchés ägarbolag Les Mousquetaires, sade till BFMTV att skadorna skulle uppgå till ”tiotals miljoner euro i hela landet på en enda dag”.

Danfoss uppger att många av de drabbade enheterna hade ”nått slutet av sin livscykel och inte längre får programvaru- eller säkerhetsuppdateringar”, medan andra ”körde föråldrad fast programvara”. Företaget pekade ut två äldre modeller, AK-SM 800 och AK-SC 355, som båda fasades ut för flera år sedan. Även vissa av de nuvarande AK-SM 800A-styrenheterna, med gammal fast programvara, drabbades. Frankrikes nationella cybersäkerhetsmyndighet ANSSI har också pekat ut programvara från Copeland och dess varumärke Dixell bland de berörda systemen. Copeland bekräftade ”sårbarheten” och sade: ”Vi arbetar för närvarande med berörda kunder för att minska risken.”

Att matbutikernas kylsystem är uppkopplade mot internet har ett enkelt skäl. En tekniker kan justera temperaturer, kvittera larm och ändra avfrostningscykler utan att behöva åka till butiken. CERT-FR, regeringens incidenthanteringsteam, har uppmanat alla som använder Danfoss-styrenheterna AK-SM och AK-SC att koppla bort dem eller begränsa åtkomsten noggrant. Enligt AFP kallade ANSSI:s chef, Vincent Strubel, åtgärden brådskande.

Ingen kan ännu säga hur angriparna tog sig in eller varför. Ingen grupp har tagit på sig angreppet och inget lösensummekrav har framförts, vilket har förbryllat utredarna, enligt en källa som Reuters citerar. CERT-FR har inte angett någon sårbarhet, version av den fasta programvaran eller tecken på intrång som operatörerna kan kontrollera. De brister i AK-SM 800A som säkerhetsföretaget Claroty dokumenterat har inte heller kopplats till angreppet. Ägare till de äldsta modellerna har över huvud taget ingen uppdatering att installera, så den verkliga lösningen är ny utrustning, inköpt genom samma kyltekniker som installerade de gamla enheterna. ”Det här handlar om grundläggande cyberhygien”, sade Ken Munro på Pen Test Partners. ”Gör man fel får man en stinkande röra av upptinad mat.” Han tillade att angriparna i princip bara behövde gå genom en öppen dörr och att de skyldiga mycket väl kunde vara ”ungar som busar”.

Frankrike är kanske inte ensamt. Félix Aimé, hotanalytiker på Sekoia, sade till Reuters att även Spanien, Portugal, Polen, Tyskland och Belgien hade drabbats, utan att ge några detaljer. ANSSI har kontakt med myndigheter på andra håll i Europa. En separat incident slog samtidigt ut den nederländska återförsäljaren Ahold Delhaizes nättjänster för matinköp, men det nederländska cybersäkerhetscentret NCSC ser inget samband. Det finns tidigare exempel: kylskåp i ett dussintal amerikanska militärbutiker drabbades på liknande sätt i slutet av augusti, och Danfoss kundnyhetsbrev dokumenterar angrepp mot 16 ryska stormarknader och 40 israeliska butiker 2022.

Angreppet inleddes natten till den 11 oktober, en söndag, och CERT-FR publicerade sin varning dagen därpå. Danfoss meddelade i maj 2021 att AK-SM 800 nått slutet av sin livscykel och fasade ut AK-SC 355 2016, medan Claroty publicerade sin undersökning av den nyare modellen den 9 augusti. Åklagarmyndighetens cyberbrottsavdelning i Paris har inlett en utredning, som leds av anticyberbrottsenheten OFAC, för att räkna de drabbade och knyta varje förlust till angreppet. Den franska branschorganisationen för detaljhandeln, FCD, har krävt ”full transparens” från Danfoss. Innan utredarna hittar vägen in kräver den billigaste åtgärden på CERT-FR:s lista ingen uppdatering: koppla bort styrenheten från internet.

Taggar: Pelé, Cher, IoT-säkerhet, cyberattack, ANSSI, Carrefour