Uma invasão em massa de sistemas de refrigeração em cerca de 700 supermercados na França causou a interrupção de geladeiras e congeladores, elevando as temperaturas internas de alguns deles a 50 graus Celsius, o que provocou a deterioração de quantidades não especificadas de alimentos e incêndios em alguns sistemas elétricos.
Os atacantes visaram unidades de controle conectadas à internet que permitem aos técnicos administrar remotamente os sistemas de refrigeração das lojas. Depois de invadi-las, eles ativaram as funções de degelo por longos períodos, fazendo as temperaturas subirem em vez de manter a cadeia refrigerada. Também foram relatados impactos relacionados ao incidente na Espanha, em Portugal, na Polônia, na Alemanha e na Bélgica.
Vulnerabilidades conhecidas em dispositivos antigos
Segundo relatórios de pesquisa e alertas de segurança públicos, os dispositivos afetados incluíam modelos da dinamarquesa Danfoss e da Dixell, além da empresa controladora Copeland, dos Estados Unidos. Até pouco tempo, modelos de unidades Danfoss utilizavam uma senha diária gerada com base na data dentro do firmware disponível para análise. Como a senha era idêntica entre modelos presentes em centenas ou milhares de lojas, era possível reproduzi-la nos dispositivos que não haviam recebido uma atualização recente.
As unidades da Copeland e da Dixell também apresentavam vulnerabilidades críticas corrigidas nos últimos meses, que permitiam acesso remoto com privilégios semelhantes aos dos administradores. Isso indica que o problema não estava na existência de acesso remoto em si, mas na operação de dispositivos antigos enquanto permaneciam acessíveis pela internet pública.
O que poderia ter sido evitado na prática?
Pesquisadores da Pen Test Partners afirmaram que medidas básicas poderiam ter mudado o resultado do incidente, incluindo remover as unidades de controle da internet pública, colocar o acesso remoto atrás de uma rede VPN e de uma lista de endereços IP permitidos, alterar as credenciais conhecidas ou padrão e atualizar o software para versões atuais.
Os pesquisadores também enfatizaram a necessidade de inserir equipamentos de terceiros na rede da organização de forma documentada e sob seu controle, em vez de deixá-los conectados por meio de uma conexão pertencente a um contratado externo. A Claroty havia alertado sobre os riscos de ignorar essas medidas em outubro passado, enquanto a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, CISA, emitiu um alerta semelhante em fevereiro.
A entidade responsável e as lições em aberto
A entidade por trás do ataque não reivindicou a responsabilidade, portanto suas motivações permanecem indefinidas entre uma sabotagem em larga escala e a possibilidade de uma entidade internacional ou governamental ter realizado uma operação de interrupção transfronteiriça. A Copeland reconheceu a existência de uma vulnerabilidade em uma geração descontinuada e sem suporte de unidades de controle e afirmou que está trabalhando com os clientes para evitar incidentes semelhantes. A Danfoss não respondeu imediatamente às perguntas da Ars Technica, embora modelos descontinuados também tenham sido mencionados na discussão.
A importância do incidente está em mostrar como um pequeno dispositivo industrial, se administrado com software antigo e acesso exposto, pode se transformar em um ponto de impacto operacional direto sobre o estoque e a segurança das instalações. No entanto, a fonte não determina o número de dispositivos invadidos nem o valor final das perdas, e até o momento também não comprova a identidade ou a motivação do atacante.