Ein Cyberangriff soll Kühlsteuerungen in Supermärkten in ganz Europa manipuliert haben, sodass Kühlschränke und Tiefkühltruhen in den Abtaumodus gezwungen und einige Solltemperaturen auf 50 °C (122 °F) angehoben worden sein sollen. Die Lebensmittel sollen verdorben sein, bevor die Mitarbeitenden die Veränderungen bemerkten; einige Geräte sollen etwa sechs Stunden lang erhöhte Temperaturen gehalten haben.
Der größte Teil der gemeldeten Störungen ereignete sich in Frankreich. Laut einer Schätzung von BFM TV, die SecurityWeek zitiert, waren im Land mehr als 300 Supermarktfilialen betroffen. Diese Zahl beschreibt Standorte, die von dem Vorfall betroffen waren, nicht eine bestätigte Anzahl einzelner Opfer oder Standorte, an denen Lebensmittelverluste nachgewiesen wurden.
Auch in Belgien, Deutschland, den Niederlanden, Polen, Portugal und Spanien wurden Betroffene gemeldet. Zu den genannten Handelsketten gehören Auchan, Carrefour, E.Leclerc, Intermarché – im Besitz der Groupement Mousquetaire – und Monoprix.
Angreifer sollen Einstellungen über Nacht verändert haben
Der Sicherheitsforscher Lukasz Olejnik sagte, die Angreifer hätten die Kühlsteuerungen aus der Ferne übernommen, das Abtauen eingeleitet und einen Sollwert von 50 °C konfiguriert. Mitarbeitende, die am folgenden Morgen die Tiefkühltruhen öffneten, sollen laut Berichten statt gekühlter Lagerung warme Luft vorgefunden haben.
Die Steuerungen wurden dem dänischen Hersteller Danfoss zugeordnet. Die Berichte belegen jedoch nicht, welches Danfoss-Modell kompromittiert wurde, und liefern keine ausreichenden Belege, um den Vorfall mit einer bestimmten Schwachstelle in Verbindung zu bringen.
Die betrieblichen Auswirkungen gingen über eine kurzfristige Störung der Geräte hinaus. Kühlanlagen konservieren verderbliche Ware, daher können schon wenige Stunden bei abnormalen Temperaturen dazu führen, dass Märkte Produkte entsorgen müssen. BFM TV schätzte, dass die Verluste Millionen Euro erreichen könnten. Dabei handelt es sich aber um eine Schätzung und nicht um eine bestätigte Gesamtsumme.
Dominique Schelcher, CEO von Cooperative U, bestätigte auf X, dass mehrere Filialen der Gruppe betroffen waren. Cooperative U betreibt die Marken Hyper U, Super U, U Express und Utile. Schelcher sagte, Teams und Kältetechnik-Spezialisten seien mobilisiert worden, um den Betrieb wiederherzustellen, und eine umfassende Untersuchung sei nötig.
Schwachstellen in Danfoss AK-SM 800A bleiben ein eigenständiger, unbestätigter Hinweis
Das Cybersicherheitsunternehmen Claroty hatte etwa zwei Monate vor dem Angriff Schwachstellen in der Verwaltungsplattform Danfoss AK-SM 800A offengelegt. Zu den gemeldeten Schwächen gehörten eine Umgehung der Authentifizierung, die Remote-Ausführung beliebigen Codes und die Möglichkeit, beliebige Konfigurationsdirektiven einzuschleusen.
Claroty identifizierte zudem Tausende Verwaltungsoberflächen der AK-SM 800A, die öffentlich über das Internet erreichbar waren. Da die Plattform Kühlgeräte zentral verwaltet, könnte die Kontrolle über ihre Oberfläche einem Angreifer erlauben, Betriebsparameter zu ändern, mit Folgen für verbundene Systeme oder Standorte.
Allerdings ist nicht bestätigt, dass die betroffenen Steuerungen beim Supermarkt-Angriff AK-SM-800A-Geräte waren. Ebenso bleibt unklar, ob die Angreifer eine der von Claroty offengelegten Schwachstellen ausgenutzt haben. Zeitliche Nähe und technische Ähnlichkeiten belegen daher keinen direkten Zusammenhang.
Für die AK-SM 800A empfahl Claroty den Kunden, auf die Firmware R4.3.1 zu aktualisieren, die die entsprechenden Patches enthält.
Was Betreiber von Kühlanlagen prüfen sollten
Organisationen, die Danfoss AK-SM 800A einsetzen, sollten die installierte Firmware überprüfen und gegebenenfalls R4.3.1 einspielen. Betreiber sollten außerdem Verwaltungsoberflächen identifizieren, die aus dem Internet erreichbar sind, und Kühlkonfigurationen auf unerklärte Änderungen prüfen, etwa unerwartete Abtauzyklen oder ungewöhnliche Solltemperaturen.
Das Monitoring sollte sowohl den physischen Prozess als auch die Verwaltungssoftware berücksichtigen. Bei diesem Vorfall ermöglichte die gemeldete Verzögerung von sechs Stunden bis zur Entdeckung, dass veränderte Einstellungen zu verdorbener Ware und finanziellen Schäden führten. Alarme bei anhaltenden Temperaturabweichungen und bei nicht autorisierten Konfigurationsänderungen können dabei helfen, schnell zu reagieren, bevor die Kompromittierung einer Steuerung zu einem Problem für die Lebensmittelsicherheit und die Geschäftskontinuität wird.
