Danfoss-styringer bag fransk køleangreb: 4.500 af dem kan stadig nås fra nettet

Angribere overtog i løbet af natten fjernstyringen af køleskabe og frysere i mindst 350 franske supermarkeder, satte dem på afrimning og lod temperaturen stige til helt op mod 50°C (122°F). Hos Intermarché holdt køleanlæggene i omkring 150 butikker den temperatur i seks timer, og alle varer i dem måtte kasseres. Angrebet kom ind gennem den enhed, der styrer butikkens kølegange: en Danfoss-styring, som køleteknikere administrerer via internettet.

For kunderne betød det lukkede fryseafdelinger og ansatte i det centrale Paris, der tømte hele indkøbsvogne med optøet kød og smeltet is ned i store affaldscontainere. Men problemet rækker langt ud over Frankrig. Reuters fandt via søgemaskinen Shodan mindst 4.500 Danfoss-grænseflader, der stadig var synlige online efter angrebet, og det franske scanningsfirma Onyphe oplyste, at kun et lille mindretal så ud til at køre den nyeste software.

Carrefour opgjorde antallet af berørte supermarkeder til 80, mens Monoprix var ramt i omkring 5 % af sine cirka 490 franske butikker. Coopérative U blev også ramt, men koncernchef Dominique Schelcher sagde, at kølekæden holdt i de fleste af de berørte butikker, fordi medarbejdere og teknikere reagerede hurtigt. E.Leclerc oplyste, at en af virksomhedens køleanlægsleverandører var blevet angrebet. Anklagemyndigheden i Paris meldte om madvarer, der gik tabt, og udstyr, som begyndte at bryde i brand. Thierry Cotillard, der står i spidsen for Intermarchés moderselskab Les Mousquetaires, sagde til BFMTV, at skaderne på landsplan ville løbe op i »titusindvis af millioner euro på én dag«.

Danfoss oplyser, at mange af de ramte enheder var »udgået af drift og ikke længere modtager software- eller sikkerhedsopdateringer«, mens andre »kørte med forældet firmware«. Virksomheden nævnte to ældre modeller, AK-SM 800 og AK-SC 355, som begge blev udfaset for flere år siden. Også nogle af de nuværende AK-SM 800A-styringer, der kørte med gammel firmware, blev ramt. Frankrigs nationale cybersikkerhedsagentur ANSSI har desuden nævnt software fra Copeland og virksomhedens mærke Dixell blandt de berørte systemer. Copeland erkendte »sårbarheden« og udtalte: »Vi arbejder i øjeblikket sammen med berørte kunder for at mindske risikoen.«

Supermarkedernes køleanlæg er koblet på nettet af en ganske praktisk grund. En tekniker kan justere temperaturen, nulstille alarmer og ændre afrimningscyklusser uden at køre ud til butikken. CERT-FR, regeringens beredskabsteam, har bedt alle, der bruger Danfoss-styringerne AK-SM og AK-SC, om at koble dem fra eller begrænse adgangen til dem strengt. Ifølge AFP kaldte ANSSI-direktør Vincent Strubel det et presserende skridt.

Ingen kan endnu sige, hvordan angriberne kom ind, eller hvorfor de gjorde det. Ingen gruppe har taget ansvaret for angrebet, og der er ikke blevet fremsat krav om løsepenge, hvilket har undret efterforskerne, ifølge en kilde, som Reuters har talt med. CERT-FR har ikke peget på nogen sårbarhed, firmwareversion eller tegn på kompromittering, som operatørerne kan undersøge, og de svagheder i AK-SM 800A, som sikkerhedsfirmaet Claroty har dokumenteret, er ikke blevet kædet sammen med angrebet. Ejerne af de ældste modeller har slet ingen opdatering, de kan installere, så den reelle løsning er nyt udstyr, købt gennem de samme teknikere, som installerede de gamle enheder. »Det handler om grundlæggende cybersikkerhedshygiejne,« siger Ken Munro fra Pen Test Partners. »Går det galt, står man tilbage med et stinkende rod af optøede madvarer.« Han tilføjede, at angriberne havde fået frit spil, og at de skyldige sagtens kunne være »unger, der bare fjoller rundt«.

Frankrig er muligvis ikke alene. Félix Aimé, trusselsanalytiker hos Sekoia, sagde til Reuters, at Spanien, Portugal, Polen, Tyskland og Belgien også var blevet ramt, uden at komme nærmere ind på det. ANSSI er i kontakt med myndigheder i andre europæiske lande. En separat hændelse satte samtidig den hollandske detailkoncern Ahold Delhaizes onlinebaserede dagligvarehandel ud af drift, men det hollandske cybersikkerhedscenter NCSC ser ingen forbindelse. Der findes tidligere eksempler: Køleskabe i omkring et dusin amerikanske militærbutikker blev forstyrret på lignende vis i slutningen af august, og Danfoss’ eget nyhedsbrev til kunder beskriver angreb på 16 russiske supermarkeder og 40 israelske butikker i 2022.

Angrebet begyndte natten til søndag den 11. oktober, og CERT-FR offentliggjorde sin advarsel dagen efter. Danfoss erklærede AK-SM 800 for udtjent i maj 2021 og udfasede AK-SC 355 i 2016, mens Claroty offentliggjorde sin undersøgelse af den nyere model den 9. august. Anklagemyndighedens afdeling for cyberkriminalitet i Paris har indledt en undersøgelse, som ledes af anticyberkriminalitetskontoret OFAC, for at opgøre antallet af ofre og knytte hvert enkelt tab til angrebet. Den franske detailhandelsforening FCD har bedt Danfoss om »fuld åbenhed«. Indtil efterforskerne finder ud af, hvordan angriberne kom ind, kræver det billigste råd på CERT-FR’s liste ingen opdatering: Tag styringen offline.

Tags: Pelé, Cher, cyberangreb, IoT-sikkerhed, ANSSI, Carrefour