Hekerji po trgovinah spreminjajo nastavitve hladilnikov, škoda sega v milijone

Hekerji so v noči na ponedeljek izvedli nov obsežen napad na hladilne sisteme evropskih trgovin. V zamrzovalnikih so na daljavo spreminjali temperaturne nastavitve, ponekod celo na 50 stopinj Celzija, zaradi česar so morali trgovci zavreči velike količine hrane. O napadih poročajo iz najmanj sedmih evropskih držav, najnovejši incidenti pa sledijo oktobrskemu napadu na več sto francoskih supermarketov, kjer je prišlo celo do požarov. Podobne nenavadne okvare zamrzovalnikov na ameriških vojaških oporiščih preiskuje tudi Pentagon. Storilci in njihovi motivi za zdaj ostajajo neznani.

Kibernetski napadi niso omejeni na krajo podatkov, izsiljevalsko programsko opremo ali nedelovanje spletnih storitev. Zadnji dogodki so pokazali, da lahko napadalci prek interneta neposredno vplivajo tudi na delovanje fizičnih naprav, od katerih je odvisna oskrba prebivalstva s hrano. Kot je danes poročal Reuters, so v ponedeljek zjutraj o nenadnem dvigu temperatur v hladilnikih in zamrzovalnikih poročale trgovine na Švedskem, v Belgiji, Luksemburgu, na Irskem in v Estoniji. Naknadno so podobne napade potrdili še na Nizozemskem, kjer je bilo prizadetih najmanj 17 podjetij. Najbolj zaskrbljujoče je, da pri številnih napravah niso potrebovali fizičnega dostopa do trgovine. Zadostovala je ranljiva internetna povezava do sistema za upravljanje hladilne opreme.

Na Švedskem so zjutraj ugotovili, da so zamrzovalniki nastavljeni na 50 stopinj

V švedskem mestu Sjöbo je osebje supermarketa ICA Kvantum v ponedeljek zjutraj ugotovilo, da so bile temperaturne nastavitve hladilnikov in zamrzovalnikov spremenjene na 50 stopinj Celzija. Zaradi ogrožene varnosti živil so morali iz prodaje umakniti velike količine izdelkov. Podobno je bilo v trgovini ICA Baronen v Stockholmu. Vodja prodaje Engla Ingwall je za Reuters pojasnila, da je do napada prišlo okoli druge ure ponoči, osebje pa ga je opazilo šele nekaj ur pozneje. »Vse je uničeno,« je opisala posledice napada in povedala, da so se zamrzovalniki močno segreli. Švedska trgovska veriga ICA je potrdila, da je bilo prizadeto omejeno število njenih poslovalnic. Konkretnega števila ni navedla, po poročanju tamkajšnjih medijev pa je bilo prizadetih najmanj šest trgovin. Težave je imela tudi konkurenčna veriga Coop. Po zadnjih podatkih Reutersa je bilo prizadetih sedem od približno 800 njenih trgovin. Podjetje je potrdilo nepooblaščeno poseganje v hladilne sisteme, zaradi česar je v nekaterih poslovalnicah prišlo do delnega ali popolnega izpada hlajenja. Švedski nacionalni center za kibernetsko varnost je zaradi incidentov začel preiskavo.

V Belgiji je trgovina izgubila za najmanj 100.000 evrov izdelkov

Še obsežnejše posledice so zabeležili v Belgiji, kjer so bile prizadete trgovine več različnih verig. Belgijska družba Delhaize je potrdila težave v približno 40 poslovalnicah, Carrefour je poročal o 15 prizadetih trgovinah, skupina Colruyt pa o petih poslovalnicah Spar. O podobnih incidentih so poročali tudi iz manjših trgovin, med drugim Intermarchéja, prodajaln Shop & Go ob bencinskih servisih ter mesnic. Napad je prizadel tudi eno od trgovin IKEA. Belgijski časnik Het Laatste Nieuws je popoldne poročal o najmanj 76 prizadetih trgovinah in drugih prodajnih obratih. V Delhaizeju v mestu Hoeilaart je bila škoda posebej velika. Lastnik trgovine Brecht Stinkens je pojasnil, da je moral zavreči skoraj vse zamrznjene izdelke. Poslovalnica, ki bi morala vrata odpreti ob osmi uri zjutraj, je zaradi posledic napada ostala zaprta do poldneva. Stinkens je neposredno škodo ocenil na najmanj 100.000 evrov, pri čemer ni upošteval izgubljenega prihodka zaradi začasnega zaprtja.

Drugače se je končalo v poslovalnici Proxy Delhaize v Grembergnu. Tam je lastnik Davy Van De Kerckhove okoli tretje ure zjutraj prejel opozorilo o težavah s hladilno opremo. Nemudoma je odšel v trgovino in s pomočjo tehnika v približno petnajstih minutah ponovno vzpostavil delovanje naprav. S hitrim ukrepanjem je preprečil večjo škodo.

Belgijska mesarska veriga De Laet & Van Haver je prav tako poročala o nepričakovanem dvigu temperatur v hladilnikih. Po podatkih Reutersa je eden od mesarjev zaradi pokvarjenega mesa utrpel za približno 15.000 evrov škode. Težave niso bile omejene na Belgijo. Družba Ahold Delhaize je potrdila, da so bili prizadeti tudi nekateri njeni supermarketi v sosednjem Luksemburgu. Distribucijski centri so sicer nadaljevali normalno delovanje, vendar je bila ponudba svežih in zamrznjenih izdelkov v posameznih trgovinah začasno omejena.

Napadalci so udarili tudi na Irskem in Nizozemskem

Na Irskem je podjetje Musgrave, lastnik trgovske verige SuperValu, potrdilo kibernetski incident v 13 poslovalnicah. Po poročanju britanskega Sky Newsa je napad prizadel določeno vrsto hladilne opreme. Trgovine so preventivno umaknile del hlajenih in zamrznjenih izdelkov, saj ni bilo mogoče zagotoviti ustreznih temperaturnih pogojev za njihovo prodajo. Podjetje je sporočilo, da so ga nadzorni sistemi opozorili na nepravilnosti in da so zaposleni nemudoma ukrepali.

Po poročanju javne radiotelevizije NOS so hekerji na Nizozemskem napadli hladilne sisteme najmanj 17 podjetij, predvsem mesnic, manjših trgovin in skladišč. V enem od skladišč so bile naprave, ki bi morale vzdrževati temperaturo minus 20 stopinj Celzija, nastavljene na minus 10 stopinj. Osebje je spremembo pravočasno zaznalo in preprečilo večjo škodo. Predstavnik danskega proizvajalca hladilnih sistemov Danfoss je za NOS pojasnil, da so prizadete naprave uporabljale nezavarovano internetno povezavo in še vedno imele privzeta gesla. Proizvajalec je svoje nizozemske uporabnike že 13. oktobra opozoril, naj ranljive naprave odklopijo z interneta oziroma jim omogočijo dostop samo prek zaščitenega omrežja. Večina podjetij je priporočila upoštevala, nekatera pa ne. Prav slednja so bila po navedbah proizvajalca zdaj med žrtvami napada. Večje nizozemske trgovske verige po doslej znanih informacijah niso bile prizadete. To je posebej poudaril tudi Albert Heijn, ki je sicer oktobra zaradi drugega kibernetskega incidenta, povezanega s skupino Ahold Delhaize, imel resne težave z informacijsko infrastrukturo in oskrbo trgovin. Povezava med obema dogodkoma ni bila ugotovljena.

V Estoniji so napad ustavili v desetih minutah

V Estoniji so hekerji napadli hladilno opremo trgovske verige Selver. Direktor podjetja Kitman Coldtech Jann Mutso je za estonsko javno radiotelevizijo ERR pojasnil, da so napadalci pridobili dostop do računalniškega sistema, ki je upravljal starejšo hladilno opremo proizvajalca Danfoss, in temperaturno nastavitev spremenili na 50 stopinj. Toda tokrat napad ni povzročil večje škode. Tehniki so nepravilnost zaznali in v približno desetih minutah posredovali. Dejanska temperatura v zamrzovalnikih se je zvišala le za dve do tri stopinje, normalno delovanje pa je bilo ponovno vzpostavljeno v približno petnajstih minutah - hrane zato ni bilo treba zavreči. Predstavnica Selverja Mariann Järvela je povedala, da je bila prizadeta zadnja poslovalnica, v kateri še niso dokončali prehoda na novejši sistem upravljanja hladilnih naprav.

V Franciji so zaradi hekerjev izbruhnili celo požari

Ponedeljkov val napadov je sledil dogodkom v Franciji, kjer so hekerji v noči z 11. na 12. oktober napadli hladilno infrastrukturo več sto supermarketov. Med prizadetimi so bile trgovske verige Intermarché, Netto, Carrefour, Coopérative U, E.Leclerc in Monoprix. Kot so 13. oktobra poročali novinarji francoskega Le Monda, je bilo samo v skupini Les Mousquetaires, kamor sodita Intermarché in Netto, prizadetih približno 300 trgovin. Napadi so zajeli še okoli 100 trgovin Coopérative U, 80 poslovalnic Carrefourja, približno 30 Monoprixovih trgovin in več drugih supermarketov. Po podatkih, ki jih je pariško tožilstvo posredovalo specializiranemu mediju The Record, je število žrtev oktobrskega napada doseglo približno 700. Reuters je v zgodnejšem poročanju navajal več kot 350 prizadetih lokacij. Hekerji so pri številnih napravah povečali temperaturne nastavitve, nekatere celo na 50 stopinj, hkrati pa so običajni program odtajevanja s približno ene ure podaljšali na osem ur. S tem so podaljšali obdobje, v katerem hladilne naprave niso opravljale svojega osnovnega namena. V nekaterih primerih so uspeli spremeniti tudi delovanje alarmov, zato so zaposleni nepravilnosti zaznali šele z večurno zamudo.

Lastnik Intermarchéja v mestu Gradignan Charles Dezon je za Le Monde povedal, da se je napad verjetno začel okoli 23. ure. Zaposleni so posledice opazili šele okoli četrte ure zjutraj, ko je dostavljavec odkril poplavljeno hladilnico. Temperatura je dosegla približno 50 stopinj, aktiviral pa se je tudi sistem za gašenje z vodo. V trgovini Intermarché v normandijskem kraju La Haye so po navedbah podjetja temperature nekaterih delov opreme dosegle celo 80 stopinj, zaradi česar so se posamezni sestavni deli začeli taliti. Pariško tožilstvo je potrdilo, da je napad povzročil tako izgubo hrane kot požare. Francoski premier Sébastien Lecornu je zato nacionalni agenciji za kibernetsko varnost ANSSI naročil preiskavo. V posameznih trgovinah je škoda presegla 130.000 evrov. Dve poslovalnici v Alzaciji sta skupaj utrpeli približno 270.000 evrov izgub, skupna škoda v Franciji pa bi lahko po ocenah iz trgovskega sektorja dosegla več deset milijonov evrov.

Kako je mogoče vdreti v nastavitve hladilnika?

Sodobne komercialne hladilne sisteme upravljajo krmilniki. Veliki supermarketi imajo lahko več deset hladilnikov, zamrzovalnikov in hladilnic, povezanih z osrednjim nadzornim sistemom. Ta omogoča pregled temperatur, upravljanje kompresorjev, nastavitev odtajevanja in samodejno opozarjanje na okvare. Za trgovce je tak sistem praktičen, saj lahko zunanji serviser preveri stanje opreme in odpravi nekatere napake, ne da bi moral fizično priti v trgovino. Težava nastane, če je upravljavski vmesnik neposredno dostopen prek interneta, če uporablja šibko geslo ali če proizvajalec za napravo ne zagotavlja več varnostnih posodobitev. Avgusta letos so raziskovalci podjetja Claroty objavili izsledke raziskave o krmilnikih Danfoss AK-SM 800A, ki se uporabljajo v supermarketih, skladiščih in drugih večjih hladilnih sistemih. Odkrili so več varnostnih pomanjkljivosti, med drugim skriti mehanizem za prijavo, s katerim je bilo mogoče zaobiti običajno preverjanje uporabnika, in ranljivost, ki bi napadalcu lahko omogočila izvajanje ukazov na napravi. Proizvajalec je za podprte naprave pripravil programske popravke. Francoska nacionalna skupina za odzivanje na računalniške incidente CERT-FR je 12. oktobra izdala posebno varnostno opozorilo za krmilnike Danfoss serij AK-SM in AK-SC ter sisteme Copeland in Dixell xweb. Šestnajstega oktobra ga je dopolnila z dodatnimi priporočili. Lastnikom je svetovala odstranitev neposrednega dostopa do naprav prek javnega interneta, uporabo zaščitenih povezav, spremembo privzetih gesel in namestitev razpoložljivih posodobitev. Posebej je opozorila, da je pri starejših napravah, ki jih proizvajalci ne podpirajo več, tveganje ponovnega vdora veliko, tudi če uporabnik napravo ponastavi na tovarniške nastavitve.

Več kot 800 hladilnih krmilnikov v Veliki Britaniji je dostopnih prek interneta

Težava ni omejena na francoske ali belgijske trgovine. Britanska družba UK Cyber Defence je po oktobrskem napadu pregledala izpostavljenost hladilnih krmilnikov v Veliki Britaniji. Kot je poročal strokovni trgovski časnik The Grocer, je odkrila več kot 800 krmilnikov hladilnih in sorodnih sistemov, katerih upravljavski vmesniki so dosegljivi prek javnega interneta. Med njimi je bila oprema različnih proizvajalcev, ne samo Danfossa, temveč tudi Carela, Copelanda in drugih. Raziskovalci so ugotovili, da veliko naprav uporablja običajne širokopasovne ali mobilne internetne povezave. Takšen način dostopa pogosto vzpostavijo zunanji vzdrževalci, ki potrebujejo možnost oddaljenega servisa. V nekaterih primerih trgovčeva informacijska služba niti ne ve, da ima posamezna naprava neposredno povezavo z internetom.

Podobne dogodke preiskuje tudi Pentagon

Reuters je 29. oktobra na podlagi pogovorov s štirimi viri razkril, da ameriško obrambno ministrstvo kot morebiten kibernetski napad preiskuje skrivnostne okvare zamrzovalnikov na vojaških oporiščih. Incidenti v Združenih državah so se zgodili že avgusta, torej približno mesec in pol pred francoskim napadom. Po pregledu uradnih objav posameznih vojaških oporišč so novinarji Reutersa ugotovili, da je bilo prizadetih najmanj šest trgovin, namenjenih oskrbi vojaškega osebja in njihovih družin. V eni od njih, na oporišču Fort Huachuca v Arizoni je hladilna oprema samodejno preklopila v način odtajevanja. Vsa zamrznjena hrana se je zaradi segrevanja pokvarila. Vojaško oporišče je o tem 26. avgusta obvestilo obiskovalce trgovine. V preiskavi sodelujejo strokovnjaki ameriškega kibernetskega poveljstva in kriminalistične preiskovalne službe ameriške vojske. Ameriški preiskovalci so vzpostavili tudi stik s francoskimi kolegi, ki obravnavajo oktobrski napad. Vendar Pentagon za zdaj ni potrdil, da so bile avgustovske okvare posledica hekerskega vdora. Prav tako ni ugotovljeno, ali so dogodki kakor koli povezani z evropskimi napadi. Po poročanju Reutersa podobni napadi niso povsem novi. Proizvajalec Danfoss je že leta 2022 zaznal napade na hladilno opremo trgovin v Rusiji in Izraelu, kjer so uporabljali starejše oziroma nezadostno zaščitene krmilnike. Ameriško pravosodno ministrstvo je decembra lani vložilo obtožnico proti ukrajinski državljanki zaradi domnevnega sodelovanja v skupini, ki je leta 2024 onemogočila hlajenje v obratu za predelavo mesa. Zaradi incidenta je propadlo več kot 900 kilogramov mesa.

Nihče ne zahteva odkupnine. Kdo torej stoji za napadi?

Motiv napadalcev zaenkrat ostaja neznanka. Pri običajnih izsiljevalskih kibernetskih napadih storilci pogosto zašifrirajo podatke in v zameno za njihovo obnovitev zahtevajo denar. Pri napadih na trgovinske hladilnike pa doslej ni bilo javno potrjenih zahtev za odkupnino niti ni odgovornosti prevzela katera od znanih hekerskih skupin. Raziskovalec podjetja SentinelOne Tom Hegel je za Reuters pojasnil, da so podobni napadi lahko povezani z izsiljevanjem, političnimi motivi ali delovanjem državnih akterjev. Odsotnost očitnih finančnih zahtev bi lahko kazala na sabotažo, vendar ne zadostuje za sklep o motivu. Predstavnica belgijskega centra za kibernetsko varnost Katrien Eggers je opozorila, da identitete napadalcev morda sploh ne bo mogoče ugotoviti. Tudi povezava med oktobrskimi in novembrskimi incidenti še ni bila dokazana. Na dogodke se je odzvala tudi Evropska komisija. Evropski komisar za kmetijstvo Christophe Hansen je po poročanju Reutersa ocenil, da so ponavljajoči se kibernetski napadi opozorilo o ranljivosti prehranske oskrbovalne verige in tveganjih za zaupanje potrošnikov.

So lahko ogrožene tudi slovenske trgovine?

Za zdaj ni javno potrjenih informacij o primerljivem napadu na hladilne sisteme slovenskih trgovcev. Danfoss, Copeland in drugi proizvajalci dobavljajo opremo za komercialno hlajenje po vsej Evropi. Velike trgovske verige praviloma uporabljajo centraliziran nadzor hladilnic in zamrzovalnikov, številne pa imajo sklenjene pogodbe z zunanjimi vzdrževalci. Poleg proizvajalca je torej tudi pomembno, kako so hladilni sistemi povezani z omrežjem, ali so redno posodobljeni in kdo lahko do njih dostopa na daljavo. Pomembna je tudi starost opreme. V nekaterih evropskih primerih so bili napadeni starejši krmilniki, za katere ni bilo več mogoče dobiti varnostnih popravkov. To pomeni, da običajna skrb za informacijsko varnost trgovine, denimo zaščita blagajn in podatkov kupcev, sama po sebi ne zagotavlja tudi zaščite hladilne infrastrukture. Pri tovrstnem napadu namreč storilcem ni treba ukrasti niti enega podatka. Dovolj je, da za nekaj ur spremenijo delovanje sistema, od katerega je odvisna varnost hrane. Vprašanja o varnosti hladilnih sistemov in morebitnih zaznanih kibernetskih napadih smo naslovili tudi na Mercator in Lidl, ter na Urad Vlade RS za informacijsko varnost. Njihove odgovore bomo objavili, ko jih prejmemo.