Hack mot stormarknaders kylar riktar in sig på smarta styrenheter och hotar livsmedelskedjan

I vad som bara kan beskrivas som ett nytt allvarligt hot mot livsmedelsförsörjningskedjan hackade illasinnade aktörer de smarta temperaturregulatorerna hos en stor stormarknadskedja i Frankrike, och all mat måste slängas.

Förlusterna till följd av matsvinnet uppgick till tiotals miljoner euro, men det är inte de ekonomiska konsekvenserna som har fått de franska cyberförsvarsmyndigheterna att höja beredskapen.

Natten till den 11 oktober tog angripare över kylregulatorer i hundratals franska stormarknader och försatte kylar och frysar i avfrostningsläge, med temperaturer som enligt uppgift nådde 50°C. Intermarchés ägare Les Mousquetaires säger att de drabbade butikerna var tvungna att slänga alla berörda varor, och dess chef räknar med förluster på tiotals miljoner euro. Även Carrefour, Coopérative U, Monoprix och E.Leclerc drabbades, även om vissa kedjor säger att personalens snabba reaktioner räddade större delen av deras varulager.

Vägen in var den fjärrstyrda styrenhet som sköter butikens kylning, främst modellerna Danfoss AK-SM och AK-SC som kylentreprenörer administrerar via internet. Danfoss säger att de flesta är äldre enheter som inte längre får uppdateringar. Frankrikes CERT-FR har sedan dess lagt till enheterna Copeland xWeb och Dixell xWeb i sin varning. Myndigheten varnar också för att en fabriksåterställning av utrustning som inte längre stöds är meningslös, eftersom enheten helt enkelt kommer att komprometteras igen. Ingen har tagit på sig ansvaret, och det är i nuläget fortfarande inte bekräftat hur angriparna tog sig in.

Hackare riktar dock in sig på just sådan bortglömd hårdvara med en administrationssida som ligger öppet på internet, förmodligen installerad för flera år sedan av en entreprenör som aldrig tänkte på den igen. Forskare på Claroty varnade i augusti för tusentals exponerade Danfoss-gränssnitt, och Danfoss har självt noterat liknande attacker mot stormarknader i Ryssland och Israel redan 2022.

Kopplingen till livsmedelsförsörjningen gör dock intrånget till ett verkligt hot, eftersom stormarknader arbetar med små marginaler och snabb lageromsättning, och förstörd mat inte kan ersättas över en natt. Att slå till mot butiker i en fiendes huvudstad leder till exempel till tomma hyllor, och Reuters citerar en analytiker som säger att fall också har förekommit i Spanien, Portugal, Polen, Tyskland och Belgien.

Än så länge framstår sådana hackarattacker mot samhällsinfrastruktur mer som ett koncepttest där kapaciteten och reaktionen prövas. År 2021 tog sig en angripare in i vattenverket i Oldsmar i Florida och försökte höja luthalterna, och det var bara en operatör som såg markören röra sig som stoppade det. År 2015 slogs elförsörjningen i Ukraina ut för omkring 230 000 kunder. Även Colonial Pipeline och köttproducenten JBS stannade sedan helt till följd av utpressningsprogram, och USA:s östkust drabbades av bränslebrist.

Grundproblemet i samtliga fall verkar vara exponerade, dåligt skyddade system där enkla åtgärder ofta förbises. Cyberanalytiker föreslår att styrenheter kopplas bort från det öppna internet, att fjärråtkomst läggs bakom en VPN och att föråldrad uppkopplad utrustning byts ut i stället för att man hoppas på det bästa, även om den fortfarande fungerar bra.