Héttel a boltok elleni támadás előtt már próbálkoztak a hackerek gyári jelszavakkal

A november 2–3-i európai szupermarketeket és francia vérbankokat érintő kibertámadások nem váratlanul érkeztek: a skót Lupovis kiberbiztonsági vállalat szerint a támadások előtt legalább tíz napon át tartó felderítési hullám precedálta az eseményeket. A cég október 20. és 30. között több mint 276 behatolási kísérletet rögzített a dán Danfoss hűtésvezérlői ellen, 91 különböző forrásból – a legintenzívebb nap október 26. volt.

Tíznapos felderítés a támadások előtt

A Lupovis csalórendszerekkel (honeypotokkal) figyeli az internetre kitett ipari vezérlőket. Az október végi aktivitás a vállalat szerint rendhagyó: nem általános háttérzaj volt, hanem célzott érdeklődés a Danfoss AK-SM vezérlők iránt, kizárólag európai szenzorokon.

„Tíz napig hatalmas csúcsot látunk, amikor az ellenfelek az alapértelmezett jelszavakat és néhány ismert sebezhetőséget próbálják ki” – mondta Xavier Bellekens, a Lupovis vezérigazgatója az Euronewsnak.

A kísérletek jelentős része gyári, nyilvánosan dokumentált hitelesítő adatokkal történt: az egyik leggyakoribb kombináció a „Supervisor” felhasználónév és az „12345” jelszó volt. A támadók közvetlenül az interneten keresztül próbáltak hozzáférni a vezérlőegységekhez, VPN vagy hálózati szegmentáció nélkül.

Ötven fokra emelték a fagyasztókat

November elején legalább tíz európai országban – köztük Belgiumban, Németországban, Írországban, Hollandiában, Svédországban, Észtországban, Finnországban, Olaszországban, Luxemburgban és Portugáliában – emelkedtek drasztikusan a hűtő- és fagyasztóberendezések hőmérsékletei. A támadók a vezérlőket olvadási üzemmódba kapcsolták, egyes esetekben akár 50 Celsius-fokra.

Az érintett eszközök között a Danfoss AK-SC és AK-SM sorozat, valamint a Dixell xweb és a Copeland xweb vezérlők szerepeltek. Több lánc is megerősítette a problémát: az ír SuperValu 13 üzletét, a belga Ahold Delhaize több tucat boltját, a svéd ICA „korlátozott számú” üzletét érintette a zavar. Franciaországban több vérbank hűtőrendszere is célponttá vált, de a hatóságok szerint a vérkészletek nem vesztek el.

Ez a második hullám: október 11–12-én már mintegy 700 francia üzletben történt hasonló incidens, tízmillió eurós kárbecsléssel. Váltságdíjat senki nem követelt, felelősségvállalás sem érkezett.

Alapbeállítások és nyílt internet

A belga Központi Kiberbiztonsági Központ (CCB) november 3-án figyelmeztetést adott ki: a támadók az internetre közvetlenül kitett kezelőfelületeket, nem frissített firmware-t és változatlan gyári jelszavakat használták ki. Ajánlásaik:

• azonnali leválasztás a nyilvános internetről, csak biztonságos VPN-en keresztüli elérés;
• firmware-frissítés és minden alapértelmezett jelszó cseréje;
• a teljes konfiguráció ellenőrzése, beleértve az olvadási tartományokat is.

A Lupovis digitális nyomainak elemzése során olyan „bulletproof” tárhelyszolgáltatók bukkantak fel, amelyeket korábban orosz hackercsoportok is használtak. Bellekens szerint a művelet jól koordinált, állami szereplőre utalhat – ugyanakkor hangsúlyozta, hogy az orosz érintettségre nincs bizonyíték.

Mit jelent ez a gyakorlatban?

Magyarországot a nyilvános jelentések nem említik az érintettek között, de a támadási minta releváns minden olyan vállalkozás számára, amely internetre csatlakoztatott ipari vagy épület-automatizálási rendszereket üzemeltet – legyen az üzleti hűtés, HVAC, kamera vagy beléptető.

A szakértők figyelmeztetnek: az EU NIS2 irányelve ugyan szigorítja a hálózati biztonsági követelményeket, de a fizikai infrastruktúra vezérlői gyakran a karbantartási csapat hatáskörébe kerülnek, miközben az IT-biztonság más prioritásokkal foglalkozik. A Censys kutatása szerint világszerte több ezer Danfoss-kezelőfelület érhető el közvetlenül az internetről.

A brit Nemzeti Kiberbiztonsági Központ is figyelmeztette a kiskereskedőket: nem csak a boltok, hanem az egész élelmiszer-ellátási lánc sebezhető, ha a távoli hozzáférés nem megfelelően védett.