Secondo quanto riferito, un attacco informatico ha manipolato i controllori degli impianti di refrigerazione dei supermercati in tutta Europa, portando frigoriferi e congelatori in modalità di sbrinamento e alzando alcune temperature obiettivo fino a 50 °C (122 °F). Gli alimenti si sono deteriorati prima che il personale si accorgesse delle modifiche, e per alcune apparecchiature si parla di temperature elevate mantenute per circa sei ore.
La maggior parte dei disservizi segnalati si è verificata in Francia. Secondo una stima di BFM TV riportata da SecurityWeek, nel Paese sarebbero stati interessati più di 300 punti vendita. Il dato indica i punti vendita coinvolti nell'incidente, non il numero accertato di vittime distinte o di siti in cui sono state verificate perdite alimentari.
Secondo quanto riferito, sono stati colpiti anche Belgio, Germania, Paesi Bassi, Polonia, Portogallo e Spagna. Tra le catene citate figurano Auchan, Carrefour, E.Leclerc, Intermarché (di proprietà del Groupement Mousquetaire) e Monoprix.
Gli aggressori avrebbero modificato le impostazioni durante la notte
Il ricercatore di sicurezza Lukasz Olejnik ha affermato che gli aggressori hanno preso il controllo da remoto dei controllori della refrigerazione, hanno avviato lo sbrinamento e impostato una temperatura obiettivo di 50 °C. Secondo le notizie, i dipendenti che la mattina seguente hanno aperto i congelatori hanno trovato aria calda invece di un ambiente refrigerato.
I controllori sono stati attribuiti al produttore danese Danfoss. Le notizie non chiariscono quale modello Danfoss sia stato compromesso, né forniscono prove sufficienti per collegare l'incidente a una specifica vulnerabilità.
L'impatto operativo è andato oltre un semplice disservizio temporaneo delle apparecchiature. Gli impianti di refrigerazione conservano le scorte deperibili, quindi alcune ore a temperature anomale possono costringere i punti vendita a buttare i prodotti. BFM TV ha stimato che le perdite potrebbero arrivare a milioni di euro, ma si tratta di una stima e non di un totale confermato.
Dominique Schelcher, amministratore delegato di Cooperative U, ha confermato su X che diversi punti vendita del gruppo sono stati colpiti. Cooperative U gestisce le insegne Hyper U, Super U, U Express e Utile. Schelcher ha detto che squadre e specialisti della refrigerazione erano stati mobilitati per ripristinare le attività e che sarebbe stata necessaria un'indagine completa.
Le falle di Danfoss AK-SM 800A restano una pista separata e non confermata
La società di cybersicurezza Claroty aveva divulgato vulnerabilità nella piattaforma di gestione Danfoss AK-SM 800A circa due mesi prima dell'attacco. Le debolezze segnalate includevano il bypass dell'autenticazione, l'esecuzione remota di codice arbitrario e la possibilità di iniettare direttive di configurazione arbitrarie.
Claroty ha inoltre individuato migliaia di interfacce di gestione AK-SM 800A esposte su internet. Poiché la piattaforma gestisce centralmente le apparecchiature di refrigerazione, il controllo della sua interfaccia potrebbe consentire a un aggressore di modificare i parametri operativi, con conseguenze sui sistemi o sui siti collegati.
Tuttavia, non è stato confermato che i controllori coinvolti nell'attacco ai supermercati siano dispositivi AK-SM 800A. Resta inoltre poco chiaro se gli aggressori abbiano sfruttato una delle falle segnalate da Claroty. Tempistica e somiglianze tecniche non dimostrano quindi un collegamento diretto.
Per l'AK-SM 800A in particolare, Claroty ha consigliato ai clienti di aggiornare il firmware alla versione R4.3.1, che contiene le patch pertinenti.
Cosa devono verificare gli operatori dei sistemi di refrigerazione
Le organizzazioni che usano il Danfoss AK-SM 800A dovrebbero verificare il firmware installato e applicare R4.3.1 dove pertinente. Gli operatori dovrebbero inoltre individuare le interfacce di gestione raggiungibili da internet e controllare le configurazioni della refrigerazione alla ricerca di modifiche non spiegate, come cicli di sbrinamento inattesi o temperature obiettivo anomale.
Il monitoraggio deve tenere conto del processo fisico oltre che del software di gestione. In questo incidente, il ritardo di sei ore segnalato prima della scoperta ha permesso che le impostazioni alterate si traducessero in merci deteriorate e danni economici. Gli avvisi per scostamenti di temperatura prolungati e per modifiche non autorizzate alla configurazione possono aiutare il personale a intervenire prima che la compromissione di un controllore diventi un problema di sicurezza alimentare e di continuità operativa.
