A Agência Nacional Francesa de Segurança dos Sistemas de Informação (ANSSI) anunciou que o ciberataque que interrompeu os sistemas de refrigeração de centenas de grandes lojas incluiu unidades de controle da Copeland e de sua marca Dixell, além dos sistemas Danfoss, que foram o foco do alerta inicial. Segundo o ministro das Finanças francês, Roland Lescure, cerca de 700 lojas foram afetadas, de um total de aproximadamente 10 mil lojas no país.
Ampliação do alcance dos sistemas afetados
O Centro de Resposta a Emergências Computacionais da ANSSI, CERT-FR, alertou em 12 de outubro sobre invasões que atingiram as unidades de controle Danfoss AK-SM e AK-SC. No dia seguinte, o centro atualizou seu alerta para incluir os sistemas Copeland XWEB e Dixell XWEB. Posteriormente, a Copeland confirmou a existência de uma vulnerabilidade, afirmando que trabalhava com os clientes afetados para reduzir os riscos.
Durante o verão, a empresa Claroty havia revelado falhas no Danfoss AK-SM 800A, além de 23 vulnerabilidades na unidade Copeland XWEB Pro, e a Copeland havia lançado uma atualização do firmware para corrigir essas falhas. No entanto, o CERT-FR, as autoridades francesas e a Danfoss não relacionaram explicitamente os ataques atuais a nenhuma dessas vulnerabilidades.
Dispositivos antigos e perdas operacionais
A Danfoss afirmou que a maioria dos dispositivos afetados são unidades AK-SM 800 e AK-SC 355 antigas, que chegaram ao fim de sua vida útil operacional e já não recebem atualizações de segurança. A empresa encerrou o suporte ao AK-SM 800 em maio de 2021, enquanto o AK-SC 355 foi descontinuado em 2016. Algumas unidades AK-SM 800A mais recentes, que operavam com versões antigas do software, também foram afetadas.
As lojas afetadas incluíram as redes Carrefour, Coopérative U, E.Leclerc, Intermarché e Monoprix. A Les Mousquetaires, proprietária da Intermarché, afirmou que cerca de 150 lojas foram afetadas depois que a temperatura das unidades de refrigeração chegou a 50 graus Celsius durante seis horas, levando ao descarte de todos os alimentos armazenados nelas. A Carrefour informou que 80 lojas foram afetadas, enquanto a Coopérative U disse que 80 lojas foram alvo do ataque, com um número menor delas tendo de descartar os produtos. Duas lojas na região da Alsácia registraram perdas conjuntas de 270 mil euros.
Relatórios indicaram que os invasores estenderam os ciclos de degelo de uma hora para oito horas, atrasando os alertas. A promotoria de Paris também mencionou incêndios, além das perdas de alimentos, e abriu uma investigação por meio da unidade de crimes cibernéticos.
O que muda na prática?
O CERT-FR recomendou que os operadores das unidades de controle afetadas as desconectassem da internet e que o acesso remoto só fosse reativado por meio de uma rede protegida ou de uma VPN segura. A agência considerou que restringir as comunicações a endereços IP seria apenas uma solução emergencial temporária. Quanto aos dispositivos que chegaram ao fim de sua vida útil, uma restauração das configurações de fábrica não será suficiente, pois eles continuarão vulneráveis se forem novamente expostos à internet.
A Censys identificou cerca de 3.000 painéis de controle Danfoss StoreView expostos na internet em 11 de outubro, entre eles mais de 1.800 na França. Até 14 de outubro, o número na França havia caído para 537, enquanto o número fora do país permanecia próximo do nível anterior. As versões atualizadas e não atualizadas desapareceram em proporções semelhantes, o que indica que muitos operadores desconectaram os dispositivos em vez de atualizá-los.
Questões ainda em aberto
Nenhuma entidade reivindicou a responsabilidade pelo ataque, não houve pedido de resgate e também não ficou claro como os invasores obtiveram acesso. A empresa Sekoia indicou que lojas na Espanha, em Portugal, na Polônia, na Alemanha e na Bélgica também foram afetadas, sem fornecer detalhes adicionais. O incidente também levanta a questão da responsabilidade por sistemas operacionais sensíveis administrados por fornecedores, já que a Les Mousquetaires afirmou que os sistemas de refrigeração eram administrados pela Danfoss e que cabia ao fornecedor apresentar a denúncia.