フランス国家情報システムセキュリティ庁（ANSSI）は、数百の大型店舗の冷却システムを停止させたサイバー攻撃が、Copelandおよび同社ブランドDixellの制御ユニットに加え、最初の警告の中心となったDanfossのシステムにも及んだと発表した。フランスの財務相Roland Lescureによると、国内約1万店舗のうち約700店舗が被害を受けた。
影響を受けたシステムの範囲が拡大
ANSSI傘下のコンピューター緊急対応センターCERT-FRは、10月12日、Danfoss AK-SMおよびAK-SCの制御ユニットを標的とした侵入について警告した。翌日、同センターは警告を更新し、Copeland XWEBおよびDixell XWEBのシステムを対象に加えた。Copelandはその後、脆弱性の存在を確認し、リスク軽減のため影響を受けた顧客と協力していると述べた。
Clarotyは夏の間に、Danfoss AK-SM 800Aの欠陥に加え、Copeland XWEB Proユニットの23件の脆弱性を明らかにし、Copelandはこれらの欠陥に対処するファームウェア更新を公開していた。しかし、CERT-FR、フランス当局、Danfossはいずれも、今回の攻撃をこれらの脆弱性のいずれかと明確には結び付けていない。
旧式の機器と運用上の損失
Danfossによると、影響を受けた機器の大半は旧式のAK-SM 800およびAK-SC 355ユニットで、運用寿命の終了に達しており、セキュリティ更新を受けられなくなっていた。同社は2021年5月にAK-SM 800のサポートを終了し、AK-SC 355については2016年に終了した。また、旧バージョンのソフトウェアを使用していた一部の新しいAK-SM 800Aユニットも影響を受けた。
被害を受けた店舗には、Carrefour、Coopérative U、E.Leclerc、Intermarché、Monoprixの各チェーンが含まれる。Intermarchéの所有者であるLes Mousquetairesは、約150店舗が被害を受け、冷却ユニットの温度が6時間にわたり50度に達したため、店内の全食品を廃棄することになったと述べた。Carrefourは80店舗が被害を受けたとし、Coopérative Uは80店舗が標的となったものの、商品の廃棄を余儀なくされた店舗はそれより少なかったと述べた。アルザス地域の2店舗では、合計27万ユーロの損失が記録された。
報道によると、攻撃者は霜取りサイクルを1時間から8時間に延長し、警告の遅延を引き起こした。また、パリ検察当局は食品の損失に加えて火災についても言及し、サイバー犯罪部門が捜査を開始した。
実務上、何が変わるのか
CERT-FRは、影響を受けた制御ユニットの運用者に対し、機器をインターネットから切断し、安全なネットワークまたは安全なVPN経由以外ではリモートアクセスを再開しないよう推奨した。同庁は、通信をIPアドレスに制限することは一時的な緊急措置にすぎないとした。寿命の終了に達した機器については、インターネット上で再び公開されれば依然として危険にさらされるため、工場出荷時設定へのリセットだけでは不十分となる。
Censysは10月11日、インターネット上に公開されたDanfoss StoreViewの管理パネルを約3,000件確認し、そのうち1,800件超がフランスにあった。10月14日までに、フランス国内の件数は537件まで減少した一方、国外の件数は以前の水準に近いままだった。更新済みのバージョンと未更新のバージョンはほぼ同じ割合で消失しており、多くの運用者が機器を更新する代わりに切断したことを示している。
依然として残る疑問
攻撃について責任を主張する組織はなく、身代金要求も確認されておらず、攻撃者がどのようにアクセスを得たのかも明らかになっていない。Sekoiaは、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーの店舗も影響を受けたと指摘したが、追加の詳細は示さなかった。この事件は、供給業者が管理する重要な運用システムの責任問題も浮き彫りにしている。Les Mousquetairesは、冷却システムはDanfossによって管理されており、苦情を申し立てる責任は供給業者にあると述べた。