La Agencia Nacional Francesa para la Seguridad de los Sistemas de Información (ANSSI) anunció que el ciberataque que interrumpió los sistemas de refrigeración de cientos de grandes comercios afectó a unidades de control de Copeland y su marca Dixell, además de sistemas Danfoss, que habían sido el foco de la primera alerta. Según el ministro de Finanzas francés, Roland Lescure, unos 700 comercios de un total aproximado de 10.000 en el país resultaron afectados.
Se amplía el alcance de los sistemas afectados
El centro de respuesta ante emergencias informáticas de la ANSSI, CERT-FR, advirtió el 12 de octubre de intrusiones que afectaron a las unidades de control Danfoss AK-SM y AK-SC. Al día siguiente, el centro actualizó su alerta para incluir los sistemas Copeland XWEB y Dixell XWEB. Posteriormente, Copeland confirmó la existencia de una vulnerabilidad y afirmó que trabaja con los clientes afectados para mitigar los riesgos.
Durante el verano, la empresa Claroty había revelado fallos en Danfoss AK-SM 800A, además de 23 vulnerabilidades en la unidad Copeland XWEB Pro, y Copeland publicó una actualización del firmware para corregir esos fallos. Sin embargo, CERT-FR, las autoridades francesas y Danfoss no vincularon explícitamente los ataques actuales con ninguna de esas vulnerabilidades.
Dispositivos antiguos y pérdidas operativas
Danfoss afirmó que la mayoría de los dispositivos afectados son unidades AK-SM 800 y AK-SC 355 antiguas que llegaron al final de su vida operativa y ya no reciben actualizaciones de seguridad. La empresa dejó de dar soporte a AK-SM 800 en mayo de 2021, mientras que AK-SC 355 fue retirado en 2016. También resultaron afectadas algunas unidades AK-SM 800A más recientes que funcionaban con versiones antiguas del software.
Entre los comercios afectados se encontraban las cadenas Carrefour, Coopérative U, E.Leclerc, Intermarché y Monoprix. Les Mousquetaires, propietaria de Intermarché, afirmó que unos 150 comercios resultaron afectados después de que la temperatura de las unidades de refrigeración alcanzara los 50 grados Celsius durante seis horas, lo que obligó a desechar todos los productos alimentarios que contenían. Carrefour informó de que 80 comercios resultaron afectados, mientras que Coopérative U afirmó que 80 comercios fueron objetivo, aunque un número menor tuvo que destruir sus productos. Dos comercios de la región de Alsacia registraron pérdidas conjuntas de 270.000 euros.
Según varios informes, los atacantes ampliaron los ciclos de desescarche de una hora a ocho horas, lo que retrasó las alertas. La Fiscalía de París también mencionó incendios, además de pérdidas de alimentos, y abrió una investigación a través de la unidad de ciberdelincuencia.
¿Qué cambia en la práctica?
CERT-FR recomendó a los operadores de las unidades de control afectadas desconectarlas de Internet y no restablecer el acceso remoto salvo a través de una red protegida o una VPN segura. La agencia consideró que restringir las comunicaciones a direcciones IP es únicamente una solución de emergencia temporal. En cuanto a los dispositivos que han llegado al final de su vida útil, restablecer la configuración de fábrica no será suficiente, ya que seguirán expuestos si vuelven a estar accesibles desde Internet.
Censys detectó cerca de 3.000 paneles de control Danfoss StoreView expuestos en Internet el 11 de octubre, más de 1.800 de ellos en Francia. Para el 14 de octubre, la cifra en Francia había descendido a 537, mientras que fuera del país se mantuvo cerca de su nivel anterior. Las versiones actualizadas y no actualizadas desaparecieron a ritmos similares, lo que indica que muchos operadores desconectaron los dispositivos en lugar de actualizarlos.
Preguntas aún abiertas
Ninguna entidad ha reivindicado el ataque, no apareció ninguna petición de rescate y tampoco está claro cómo obtuvieron acceso los atacantes. La empresa Sekoia señaló que se vieron afectados comercios de España, Portugal, Polonia, Alemania y Bélgica, sin aportar detalles adicionales. El incidente también plantea la cuestión de la responsabilidad sobre sistemas operativos sensibles gestionados por proveedores, ya que Les Mousquetaires afirmó que los sistemas de refrigeración eran gestionados por Danfoss y que correspondía al proveedor presentar la denuncia.