Kibernetički napadi na supermarkete u osam europskih zemalja prisilili su trgovce na bacanje hrane nakon što su napadači daljinski mijenjali postavke rashladnih uređaja. Novi val napada dogodio se samo tri tjedna nakon sličnih incidenata u Francuskoj.
U jednoj švedskoj trgovini ICA-e postavke rashladnih uređaja promijenjene su na 50 Celzijevih stupnjeva. Dio zamrznute hrane morao je biti bačen, dok su drugi trgovci povlačili proizvode iz prodaje kako bi spriječili prodaju robe koja više nije bila sigurna za konzumaciju.
Francuski CERT-FR upozorio je na kompromitaciju rashladnih kontrolera još 12. listopada. Kada su se napadi ponovili 21 dan poslije, sigurnosna kompanija Censys i dalje je bilježila stotine takvih sustava izravno dostupnih putem interneta.
Carrefour ponovno pogođen, švedski trgovci isključuju uređaje s interneta
Carrefour je tijekom listopada prijavio probleme u približno 80 franšiznih trgovina u Francuskoj. U novom valu napada pogođeno je još 15 njegovih trgovina u Belgiji, od ukupno približno 700 objekata na tom tržištu.
Kompanija je potvrdila da su belgijske trgovine nastavile raditi jer je incident zahvatio samo dio rashladne opreme. Među pogođenim objektima nije bilo hipermarketa.
Švedski Coop prijavio je sedam pogođenih trgovina. Prema Reutersu, svi objekti ponovno su radili, ali su njihovi rashladni sustavi isključeni s interneta.
Kompanija je nastavila modernizaciju modema i prelazak s 4G na 5G veze, započet nakon ranijih napada u Francuskoj. Međutim, sama promjena mobilne mreže ne uklanja ranjivosti rashladnih kontrolera. Sigurnost ovisi o načinu pristupa uređajima i njihovoj konfiguraciji.
Drugi veliki švedski trgovac, ICA, potvrdio je napade na 23 trgovine. Pogođena oprema bila je povezana izvan središnje upravljane mreže kompanije.
Njemačka Edeka prijavila je incident u trgovini u Reisbachu. Budući da njezine prodavaonice koriste različite rashladne sustave, kompanija nema jedinstveno tehničko rješenje za sve objekte.
U Portugalu je grupa Mosqueteiros prijavila probleme u sedam trgovina Intermarché. Prema preliminarnoj procjeni kompanije, incident je mogao biti povezan s vanjskim pružateljem usluga upravljanja rashladnom opremom.
Razlike između tih slučajeva pokazuju koliko sigurnosni nadzor može ovisiti o organizaciji poslovanja. Rashladna oprema pojedine trgovine ne mora biti povezana sa središnjom informatičkom mrežom trgovačkog lanca.
Francuska upozorila na napade još 12. listopada
Francuski nacionalni centar za odgovor na računalne incidente CERT-FR objavio je službeno upozorenje o kompromitaciji rashladnih sustava 12. listopada, a preporuke je dopunio 16. listopada.
U dokumentu se navode upravljački sustavi Danfoss AK-SM i AK-SC te Copeland i Dixell xweb. Ti uređaji omogućuju daljinski nadzor rashladne opreme, promjenu temperaturnih postavki i upravljanje ciklusima odmrzavanja.
CERT-FR preporučio je uklanjanje izravnog pristupa uređajima putem javnog interneta. Daljinsko upravljanje trebalo bi omogućiti preko zaštićene mreže ili VPN veze, uz provjeru konfiguracije i promjenu tvornički zadanih lozinki.
Poseban problem predstavljaju stariji uređaji kojima je završio proizvođački ciklus sigurnosne podrške. Takva oprema može nastaviti normalno hladiti proizvode, ali više ne dobiva ispravke za otkrivene ranjivosti.
CERT-FR upozorava da vraćanje tvorničkih postavki nije dovoljno ako uređaj nakon toga ponovno ostane dostupan putem interneta. Time se uklanjaju posljedice prethodne kompromitacije, ali ne i ranjivost koja može omogućiti novi napad.
Za trgovce to može značiti ulaganje u zaštitu mreže ili zamjenu opreme koja još uvijek ispravno obavlja svoju osnovnu funkciju.
Nije poznato kada su pojedini trgovci zaprimili francusko upozorenje ni koje su mjere proveli prije napada 2. studenoga. Zato se iz vremenskog razmaka od 21 dana ne može zaključiti da su pogođene kompanije zanemarile sigurnosne preporuke.
Censys: Broj javno dostupnih kontrolera u Francuskoj pao gotovo 88 posto
Sigurnosna kompanija Censys objavila je analizu internetske izloženosti rashladnih kontrolera.
Prema njezinim podacima, 11. listopada u Francuskoj je bilo javno dostupno 1.825 instanci Danfoss StoreViewa. Početkom studenoga njihov se broj smanjio na 220, odnosno za približno 88 posto.
Censys je procijenio da je 41 posto preostalih francuskih instanci koristilo zakrpanu verziju softvera.
U Belgiji je evidentirao 138 javno dostupnih instanci, uz procijenjenih 68 posto zakrpanih. U Nizozemskoj je zabilježio 51 instancu, od kojih je 37 posto koristilo zakrpanu verziju, a u Švedskoj 50 instanci, uz udio od 58 posto.
Procjene se temelje na tehničkim oznakama pomoću kojih istraživači prepoznaju verzije softvera. Nije riječ o pojedinačnom sigurnosnom pregledu svakog uređaja.
Broj javno dostupnih instanci također nije jednak broju napadnutih trgovina. Sama internetska dostupnost ne dokazuje da je određeni sustav kompromitiran niti da su svi uređaji izloženi istoj ranjivosti.
Koliko su trgovci izgubili?
Belgijska mesnica De Laet & Van Haver među poduzećima je koja su prijavila konkretne financijske posljedice napada.
Njezin vlasnik Luc De Laet izjavio je da je temperatura rashladne opreme u objektu u Hoveu porasla do 18 Celzijevih stupnjeva. Prema njegovoj procjeni, uništeno je mesa vrijednog približno 15.000 eura, navodi Reuters u pregledu pogođenih trgovaca.
U Irskoj je grupa Musgrave potvrdila da je incident zahvatio rashladne sustave u 13 trgovina SuperValu. Dio rashlađenih i zamrznutih proizvoda povučen je iz prodaje.
Belgijska Colruyt Grupa prijavila je napade na rashladne sustave pet franšiznih trgovina Spar. Ahold Delhaize potvrdio je probleme u više desetaka trgovina, pretežno u Belgiji i Luksemburgu.
Prema izvješću BleepingComputera, u pojedinim pogođenim trgovinama korišteni su rashladni kamioni kako bi se pokušale sačuvati zalihe. Takva intervencija može zahtijevati dodatni prijevoz i privremeni smještaj robe, iako troškovi tih mjera nisu objavljeni.
Ukupna financijska šteta novog vala napada nije pouzdano utvrđena. Nisu objavljeni ni usporedivi podaci o količini hrane koja je morala biti odbačena u svim pogođenim zemljama.
Poslovni gubitak pritom ne mora značiti zatvaranje trgovine. Carrefour je potvrdio da su njegovi pogođeni belgijski objekti nastavili raditi, dok su problemi bili ograničeni na dio rashladne opreme.
Europske institucije uključile se u odgovor na napade
Nakon prijava iz više država, Europska komisija 3. studenoga koordinirala je razgovore s europskim institucijama, Agencijom EU za kibernetičku sigurnost (ENISA) i Europolom. Uključena je i mreža EU-CyCLONe, koja povezuje nacionalna tijela nadležna za upravljanje velikim kibernetičkim incidentima.
ENISA je upozorila na potrebu brze razmjene informacija među državama, dok su nacionalne institucije nastavile istrage pojedinačnih slučajeva.
Britanski Nacionalni centar za kibernetičku sigurnost (NCSC) potvrdio je pokušaje napada na manje kompanije za preradu mesa, pri čemu su posljedice tih pokušaja bile ograničene.
Identitet napadača nije potvrđen, kao ni to jesu li svi incidenti dio iste operacije. Poznate ranjivosti, nezaštićena administracijska sučelja i slabe lozinke mogu omogućiti neovlašten pristup rashladnim kontrolerima, ali nije potvrđeno da je u svim slučajevima korištena ista metoda.
Tko odgovara za sigurnost rashladne opreme?
Francuski CERT-FR u preporukama trgovcima navodi da prije prekida prijenosa podataka prema vanjskim serviserima treba provjeriti ugovorne uvjete osiguranja.
Daljinski nadzor rashladne opreme može biti povezan s obvezama održavanja i dokumentiranja temperature. Isključivanje izravnog pristupa putem interneta zato zahtijeva dogovor o tome kako će se nadzor nastaviti sigurnim putem.
Za trgovačke lance i neovisne trgovce ostaje pitanje raspodjele odgovornosti: tko odobrava daljinski pristup rashladnim kontrolerima, tko osigurava njihove sigurnosne nadogradnje i tko snosi trošak kada neovlaštena promjena temperature uništi robu?
Bez uvida u ugovore pogođenih trgovaca, servisera i osiguravatelja nije moguće utvrditi tko će nadoknaditi nastalu štetu.
Autor: Financa.ba
Prilikom preuzimanja obvezno navesti izravni link na članak.
