Fransa Ulusal Bilgi Sistemleri Güvenlik Ajansı (ANSSI), yüzlerce büyük mağazanın soğutma sistemlerini devre dışı bırakan siber saldırının, Copeland ve onun Dixell markasına ait kontrol ünitelerinin yanı sıra ilk uyarının odağındaki Danfoss sistemlerini de kapsadığını açıkladı. Fransa Maliye Bakanı Roland Lescure'e göre ülkedeki yaklaşık 10 bin mağazanın yaklaşık 700'ü etkilendi.
Etkilenen sistemlerin kapsamı genişliyor
ANSSI'ye bağlı Bilgisayar Acil Durum Müdahale Merkezi CERT-FR, 12 Ekim'de Danfoss AK-SM ve AK-SC kontrol ünitelerini hedef alan ihlaller konusunda uyarıda bulundu. Merkez ertesi gün uyarısını güncelleyerek Copeland XWEB ve Dixell XWEB sistemlerini de kapsama aldı. Copeland daha sonra bir güvenlik açığının varlığını doğruladı ve riskleri azaltmak için etkilenen müşterilerle birlikte çalıştığını belirtti.
Claroty şirketi yaz aylarında Danfoss AK-SM 800A'da kusurların yanı sıra Copeland XWEB Pro ünitesinde 23 güvenlik açığı tespit etmişti; Copeland bu kusurları gidermek üzere bir cihaz yazılımı güncellemesi yayımladı. Ancak CERT-FR, Fransız makamları ve Danfoss, mevcut saldırıları bu güvenlik açıklarından herhangi biriyle açıkça ilişkilendirmedi.
Eski cihazlar ve operasyonel kayıplar
Danfoss, etkilenen cihazların çoğunun kullanım ömrünün sonuna ulaşmış ve artık güvenlik güncellemeleri almayan eski AK-SM 800 ve AK-SC 355 üniteleri olduğunu belirtti. Şirket AK-SM 800 desteğini Mayıs 2021'de, AK-SC 355 desteğini ise 2016'da sonlandırdı. Eski yazılım sürümleriyle çalışan bazı daha yeni AK-SM 800A üniteleri de etkilendi.
Etkilenen mağazalar arasında Carrefour, Coopérative U, E.Leclerc, Intermarché ve Monoprix zincirleri yer aldı. Intermarché'nin sahibi Les Mousquetaires, yaklaşık 150 mağazanın etkilendiğini ve soğutma ünitelerinin sıcaklığının altı saat boyunca 50 santigrat dereceye ulaşması nedeniyle bu mağazalardaki tüm gıda ürünlerinin imha edildiğini söyledi. Carrefour 80 mağazanın etkilendiğini bildirirken Coopérative U, 80 mağazanın hedef alındığını ve daha az sayıda mağazanın ürünleri imha etmek zorunda kaldığını açıkladı. Alsace bölgesindeki iki mağazanın toplam kaybı 270 bin avroya ulaştı.
Raporlara göre saldırganlar buz çözme döngülerini bir saatten sekiz saate uzatarak uyarıların gecikmesine neden oldu. Paris Savcılığı gıda kayıplarının yanı sıra yangınlardan da söz etti ve siber suçlar birimi soruşturma başlattı.
Uygulamada ne değişiyor?
CERT-FR, etkilenen kontrol ünitelerinin işletmecilerine bu üniteleri internetten ayırmalarını ve uzaktan erişimi yalnızca korumalı bir ağ veya güvenli bir VPN üzerinden yeniden etkinleştirmelerini tavsiye etti. Ajans, iletişimi IP adresleriyle sınırlandırmanın yalnızca geçici bir acil durum çözümü olduğunu değerlendirdi. Kullanım ömrünün sonuna ulaşan cihazlarda fabrika ayarlarına sıfırlama işlemi yeterli olmayacak; çünkü bu cihazlar internete yeniden açıldıklarında savunmasız kalmaya devam edecek.
Censys, 11 Ekim'de internete açık yaklaşık 3 bin Danfoss StoreView kontrol paneli tespit etti; bunların 1.800'den fazlası Fransa'daydı. 14 Ekim'e gelindiğinde Fransa'daki sayı 537'ye düşerken, ülke dışındaki sayı önceki seviyesine yakın kaldı. Güncellenmiş ve güncellenmemiş sürümler benzer oranlarda ortadan kayboldu; bu da çok sayıda işletmecinin cihazları güncellemek yerine bağlantısını kestiğine işaret ediyor.
Yanıtlanmamış sorular
Hiçbir kuruluş saldırının sorumluluğunu üstlenmedi ve fidye talebi ortaya çıkmadı; saldırganların erişimi nasıl elde ettiği de netleşmedi. Sekoia, İspanya, Portekiz, Polonya, Almanya ve Belçika'daki mağazaların da etkilendiğini, ancak ek ayrıntı bulunmadığını belirtti. Olay, tedarikçi kuruluşlar tarafından yönetilen kritik operasyonel sistemler konusunda sorumluluk meselesini de gündeme getiriyor. Les Mousquetaires, soğutma sistemlerinin Danfoss tarafından yönetildiğini ve şikâyette bulunma sorumluluğunun tedarikçiye ait olduğunu söyledi.