Hackeri na diaľku vyradili chladenie v stovkách francúzskych supermarketov a spôsobili škody za milióny eur. Ako sa chrániť pred útokmi na OT a IoT zariadenia?
Kybernetický útok vo Francúzsku ukázal, že následky hackerských útokov nemusia byť len únik dát alebo zašifrované servery. V noci na 12. októbra útočníci na diaľku zmenili nastavenia chladiacich zariadení vo veľkom počte supermarketov. Obchody museli vyhodiť veľké množstvo čerstvých a mrazených potravín. Vyšetrovanie prevzala francúzska národná agentúra pre kybernetickú bezpečnosť ANSSI.
Čo sa stalo
Podľa francúzskych médií útočníci v nočných hodinách na diaľku spustili nútené odmrazovanie chladničiek a mrazničiek. Teploty nastavili až na 50 °C. Personál zistil problém až ráno pri otvorení predajní, keď už bol tovar znehodnotený.
Útok zasiahol približne 150 predajní reťazcov U, Intermarché a E.Leclerc. Agentúra Reuters uvádza aj 80 predajní siete Carrefour a zhruba päť percent obchodov Monoprix. Len dva supermarkety v alsaskom meste Haguenau vyčíslili stratu tovaru na 270-tisíc eur. Celkové škody vo Francúzsku sa podľa odhadov môžu vyšplhať na milióny eur. Vyšetrovanie nariadil priamo premiér Sébastien Lecornu.
Slabé miesto: diaľkovo ovládané riadiace systémy
Chladenie v supermarketoch zvyčajne riadi centrálny panel, ktorý ovláda všetky chladiace zariadenia v predajni a je dostupný na diaľku cez internet. Útok podľa všetkého smeroval na riadiaci softvér dánskej spoločnosti Danfoss, ktorá tieto systémy vyrába a spravuje. ANSSI v ňom podľa dostupných informácií identifikovala bezpečnostnú zraniteľnosť.
Danfoss potvrdil incidenty na obmedzenom počte systémov. Podľa spoločnosti išlo o zariadenia so zastaraným softvérom, ktorý mali prevádzkovatelia aktualizovať. Tento prípad je typický pre prevádzkové technológie (OT) a IoT zariadenia. Po inštalácii roky fungujú bez povšimnutia, nikto ich neaktualizuje a sú vystavené do internetu kvôli pohodliu servisu.
Útok na dodávateľa = útok na celý reťazec
Jedna zraniteľnosť v jednom produkte jedného dodávateľa zasiahla naraz niekoľko konkurenčných obchodných reťazcov. Riziko dodávateľského reťazca preto nemožno riešiť len zmluvou. Organizácia musí vedieť, aké technológie tretích strán prevádzkuje, kto k nim má vzdialený prístup a kto zodpovedá za ich aktualizácie.
Incident zároveň ukazuje, že kybernetická bezpečnosť nie je len otázka IT oddelenia. Útok nezasiahol žiadne dáta, no spôsobil priamu materiálnu škodu, prerušenie prevádzky a reputačné problémy. Ide o kategóriu rizík, ktorú mnohé firmy pri hodnotení hrozieb stále podceňujú.
Čo to znamená pre prax
Každá organizácia, ktorá prevádzkuje diaľkovo ovládané technológie, by mala tieto kroky považovať za základ:
- Zmapovať všetky OT a IoT zariadenia vrátane chladenia, vzduchotechniky, prístupových systémov či kamier.
- Overiť, ktoré z nich sú dostupné z internetu.
- Zabezpečiť pravidelné aktualizácie firmvéru a softvéru.
- Oddeliť prevádzkové technológie od kancelárskej siete.
- Vzdialený prístup servisných firiem obmedziť na zabezpečené kanály s viacfaktorovou autentifikáciou.
Z pohľadu regulácie platí, že smernica NIS2 kladie dôraz práve na riadenie rizík dodávateľského reťazca a na zabezpečenie dostupnosti služieb, nielen na ochranu dát. Výroba, spracovanie a distribúcia potravín patria medzi sektory, na ktoré sa NIS2 vzťahuje. Podobný incident by tak pre dotknuté subjekty znamenal aj povinnosť ho riadne vyhodnotiť a nahlásiť.
