En cyberattack som bryter kylkedjan i livsmedelsbutiker: en varningssignal för uppkopplade industriella system

Det senaste som hänt

• En cyberattack bryter kylkedjan i ett stort antal livsmedelsbutiker: Hundratals franska och svenska livsmedelsbutiker uppges ha drabbats efter att kylsystemens styrenheter fjärrmanipulerats, vilket medfört ekonomiska risker och hälsorisker till följd av att kylkedjan brutits.

• Potentiella sårbarheter och angreppsscenarier: Även om attacken fortfarande utreds bedömer våra experter att den kan ha utnyttjat äldre eller bristfälligt skyddade kylsystem: exponerade gränssnitt, otillräckligt skyddad fjärrunderhållsåtkomst och svaga lösenord …

• Ett hot som sträcker sig långt utanför detaljhandeln: Händelsen påminner oss om att angrepp mot uppkopplade industriella system (IT/OT) blir allt vanligare och kan störa samhällsviktiga verksamheter. Att säkra dessa system genom uppdateringar, åtkomstkontroller och minskad exponering mot internet och informationsläckor blir allt mer brådskande.

Industriella system blir allt oftare måltavlor

Natten mellan den 11 och 12 oktober utsattes flera hundra franska livsmedelsbutiker för en cyberattack riktad mot deras kylutrustning. Genom att på distans ändra inställningarna i kylsystemens styrenheter ska angriparna ha orsakat avbrott i kylkedjan i ett stort antal butiker, med betydande ekonomiska konsekvenser och framför allt allvarliga hälsorisker som följd. Händelsen illustrerar tydligt hur cyberbrottslingar och hacktivister i allt högre grad har både förmågan och viljan att angripa uppkopplade industriella system – även kallade IT/OT-system – som i dag utgör alltmer attraktiva måltavlor.

Kylkedjan bryts i stor skala

Konsekvenserna av cyberattacken är mycket påtagliga. Mellan 300 och 400 butiker uppges ha drabbats, däribland butiker tillhörande kedjorna Intermarché, Netto, U och E.Leclerc. Med tanke på de hälsorisker som är förknippade med avbrott i kylkedjan är detta en händelse som måste tas på största allvar. Den visar på en underliggande trend bland cyberangripare: att rikta in sig på industriella system, eller IT/OT-system (Information Technology/Operational Technology), med mycket konkreta konsekvenser för människors vardag.

En iskall attack

Angriparna uppges ha fjärrmanipulerat inställningarna i kylsystemens styrenheter från tillverkarna Danfoss, Copeland och Dixell ⁽¹⁾. På så sätt ska de bland annat ha lyckats tvinga fram avfrostning och delvis sätta larmen kopplade till livsmedelstemperaturer ur funktion.

De sårbarheter som gjorde det möjligt för angriparna att bryta kylkedjan var kopplade till äldre generationer av övervakningsutrustning för kylsystem, som inte längre fick säkerhetsuppdateringar.

Till skillnad från vid en ransomwareattack har inget lösensummekrav framförts, och inga uppgifter om dataexfiltrering har rapporterats i nuläget. Det handlar snarare om en maktdemonstration vars främsta konsekvenser är operativa, ekonomiska och hälsorelaterade.

Flera tänkbara orsaker till det ursprungliga intrånget

Åklagarmyndigheten i Paris har redan inlett en utredning. Även om det i nuläget inte finns någon officiellt fastställd orsak till intrånget finns det flera trovärdiga hypoteser:

• Administrativa gränssnitt som är exponerade mot internet.

• Otillräckligt säkrad fjärråtkomst för underhåll.

• Svaga lösenord och/eller utrustning som inte har uppdaterats.

”Den här kampanjen pågår sannolikt fortfarande. Andra industrisektorer, andra länder och andra tekniker kan komma att drabbas så länge system och tillgångar fortfarande är exponerade. ONYPHE ⁽²⁾ listar 6 212 IP-adresser i 95 länder som exponerar Danfoss gränssnitt mot internet, varav nästan hälften finns i Frankrike. Modat ⁽³⁾ visar i sin tur omkring 5 000 Danfoss SM800A-styrenheter och närmare 4 000 Copeland-enheter, främst i USA och Italien”, säger Pierre-Yves Amiot, verksamhetschef för CERT.

Ett hot som sträcker sig långt utanför dagligvaruhandeln

Den här attacken markerar en vändpunkt: några få ändringar av systemparametrar räckte för att orsaka omfattande ekonomiska konsekvenser och hälsorisker.

”Den här kampanjen visar att cybersäkerhet inte längre enbart handlar om informationssystem. Industriell utrustning, teknisk infrastruktur och uppkopplade enheter som styr den fysiska världen är numera måltavlor i sin egen rätt”, säger Christophe Dernys, chef för Trusted Solutions på Orange Cyberdefense.

Metoden, som går ut på att utnyttja en eller flera sårbarheter i leveranskedjan hos en eller flera tillverkare, kan även tillämpas mot andra samhällsviktiga eller till och med kritiska resurser och industrianläggningar: logistiklager, livsmedelsindustrin, läkemedelsanläggningar, produktionsanläggningar, kritisk teknisk infrastruktur samt energi-, vatten- och kärnkraftsanläggningar.

”För CISO, industriansvariga och verksamhetsledningar är frågan inte längre om dessa system behöver säkras, utan snarare hur snabbt säkerhetsåtgärderna kan genomföras”, avslutar Christophe Dernys.

Källor och kommentarer