Hűtők ellen indították a támadást: európai szupermarketekben tonnányi élelmiszer ment kárba

Október közepén Európa két nagy élelmiszer-kiskereskedelmi piacán egymástól független incidensek mutatták meg, mennyire sérülékeny a modern ellátási lánc digitális rétege. Franciaországban a támadók közvetlenül a hűtőberendezések távoli vezérlőit vették célba, Hollandiában pedig az Albert Heijn anyavállalatának, az Ahold Delhaizének infrastruktúráját érte káros tevékenység. A hatóságok eddig nem találtak bizonyítékot arra, hogy a két eset összefüggene.

Franciaország: kényszerű olvasztás a polcokon

A francia kormányzati CERT-FR október 12-én adott ki riasztást a távoli hűtőtelepítési vezérlők elleni támadásokról. Az érintett eszközök között a Danfoss AK-SM és AK-SC sorozatú, valamint a Copeland és Dixell xweb felügyeleti rendszerei szerepelnek. A támadók távolról kényszerített olvasztási ciklusokat indítottak, emiatt egyes üzletekben a hűtők és fagyasztók hőmérséklete akár az 50 °C-ot is elérte.

A francia pénzügyminiszter, Roland Lescure a parlamentben mintegy 700, az ország összesen nagyjából 10 ezer szupermarketjének mintegy 7 százalékát érintő incidensről beszélt. A Reuters legalább 350 áruházat említett. Az érintett láncok között szerepel az Intermarché, a Carrefour, a Monoprix, a Coopérative U és az E.Leclerc is. Több üzletben az összes friss és fagyasztott árut meg kellett semmisíteni; egyes helyszíneken tűz is keletkezett. Az Intermarché vezérigazgatója a BFM TV-nek arról beszélt, hogy az országos kár egyetlen nap alatt „tízmillió euró nagyságrendű” lehet.

A párizsi ügyészség nagyszabású vizsgálatot indított, Sebastien Lecornu miniszterelnök pedig a francia kiberbiztonsági hatóságot (ANSSI) bízta meg a feltárással. Eddig senki nem vállalta a támadás felelősségét. A CERT-FR szerint a vezérlők internetre való kitettsége ellentmond a jó gyakorlatnak, és az eszközöket VPN-en vagy védett hálózaton keresztül kellene elérni.

Hollandia: leállt a logisztika, nyitva maradtak az üzletek

Párhuzamosan, de ettől elkülönülő eseményként az Ahold Delhaize október 12-én gyanús tevékenységet észlelt IT-környezetében. A vizsgálat megerősítette, hogy harmadik felek rosszindulatú cselekményéről van szó. A vállalat óvintézkedésként több rendszert lekapcsolt, köztük az európai és amerikai márkái weboldalait és mobilalkalmazásait is.

Az Albert Heijn üzletei végig nyitva tartottak, a pénztárgépek működtek, de több elosztóközpont leállt, és Hágában, Rotterdamban, Utrechtben vagy Amszterdamben hiány alakult ki a gyümölcs- és zöldségosztályokon. Az online rendelés és a házhozszállítás napokra leállt; a cég október 19-én tett hivatalos rendőrségi feljelentést, a holland rendőrség pedig október 23-án indított büntetőeljárást. Eddig nincs bizonyíték arra, hogy vásárlói vagy partneradatokat lopott volna el valaki. Az Albert Heijn weboldala és alkalmazása már újra elérhető, a teljes körű házhozszállítás október 23-án indult újra.

Technikai háttér: IoT-biztonság a lánc gyenge pontja

A francia incidens nem a kasszarendszereket, hanem az OT-világ peremén működő, interneten elérhető hűtővezérlőket célozta. A Danfoss közleménye szerint sok érintett egység már elérte az élettartam végét, nem kap biztonsági frissítést, vagy elavult firmware-t futtat. A Reuters a Shodan szolgáltatás alapján több ezer, nyilvánosan elérhető Danfoss-felületet talált – a francia Onyphe szerint a legfrissebb szoftververzió csak az eszközök kis részén fut.

A szakértők emlékeztetnek: az ilyen rendszerek gyenge védelme nem feltétlenül „filmes” nulladik napi támadást igényel. A Claroty már augusztusban részletezte a Danfoss AK-SM 800A vezérlő korábbi, azóta javított hibáit. A CERT-FR azonnali lépésként az internetes kitettség megszüntetését, a firmware frissítését és az alapértelmezett jelszavak cseréjét javasolja.

Mit jelent ez a gyakorlatban?

Magyarországon közvetlen ellátási válságról nincs szó, de a két eset ugyanazt a tanulságot hordozza: a kiskereskedelem már nemcsak ERP- és webshop-rendszerektől függ, hanem a hűtőláncok IoT-eszközeitől is. Ha ezek kiesnek, a rövid szavatosságú áruk percek alatt selejtezhetők, miközben a logisztikai rendszerek leállása napokig üres polcokat hagyhat.

A hazai üzletláncoknak és beszállítóiknak érdemes átgondolniuk:

• van-e interneten kitett hűtő- vagy klímavezérlő a hálózatukban;
• a karbantartó partnerek milyen távoli hozzáféréssel dolgoznak;
• van-e választerv, ha egyszerre esik ki a készletkezelés, a szállítás és az OT-rendszerek.

Az EU-s kiberbiztonsági szabályozás (NIS2) egyre több élelmiszer-ipari és logisztikai szereplőt von be a jelentési és védelmi kötelezettségek körébe. A francia és holland esetek azt mutatják: a digitális ellenállóképesség ma már nem IT-osztályi luxus, hanem az élelmiszer-biztonság és a üzletmenet-folytonosság kérdése.

Források: CERT-FR, Ahold Delhaize, Reuters / NBC News, Agrárszektor.