Hack van supermarktkoelkasten richt zich op slimme controllers en bedreigt de voedselvoorzieningsketen

In wat alleen kan worden omschreven als een ernstige nieuwe bedreiging voor de voedselvoorzieningsketen, hebben kwaadwillenden de slimme temperatuurregelaars van een grote supermarktketen in Frankrijk gehackt, waarna al het voedsel moest worden weggegooid.

De verliezen door voedselverspilling liepen op tot tientallen miljoenen euro's, maar het zijn niet de financiële gevolgen die de Franse cyberdefensieautoriteiten in de hoogste staat van paraatheid hebben gebracht.

In de nacht van 11 oktober namen aanvallers de koelregelaars van honderden Franse supermarkten over en zetten ze koelkasten en vriezers in de ontdooistand, waarbij de temperaturen naar verluidt opliepen tot 50°C. Les Mousquetaires, de eigenaar van Intermarché, zegt dat getroffen winkels alle betrokken producten moesten weggooien, en de topman verwacht verliezen van tientallen miljoenen euro's. Ook Carrefour, Coopérative U, Monoprix en E.Leclerc werden getroffen, al zeggen sommige ketens dat het snelle optreden van medewerkers het grootste deel van hun voorraad heeft gered.

De aanvallers kwamen binnen via de op afstand bedienbare regelaar die de koeling van een winkel aanstuurt, voornamelijk Danfoss AK-SM- en AK-SC-modellen die koeltechnische installateurs via internet beheren. Volgens Danfoss gaat het merendeels om oudere hardware die geen updates meer krijgt. Het Franse CERT-FR heeft inmiddels ook Copeland xWeb- en Dixell xWeb-apparaten aan zijn waarschuwing toegevoegd. Het waarschuwt ook dat het zinloos is om niet meer ondersteunde apparatuur terug te zetten naar de fabrieksinstellingen, omdat het apparaat simpelweg opnieuw zal worden gehackt. Niemand heeft de verantwoordelijkheid opgeëist en het is op dit moment nog niet bevestigd hoe de aanvallers zijn binnengedrongen.

Hackers richten zich echter juist op zulke vergeten hardware met een beheerpagina die via het openbare internet toegankelijk is, waarschijnlijk jaren geleden geïnstalleerd door een installateur die er daarna nooit meer aan heeft gedacht. Onderzoekers van Claroty waarschuwden in augustus voor duizenden onbeveiligd toegankelijke Danfoss-interfaces, en Danfoss zelf heeft gewezen op soortgelijke aanvallen op supermarkten in Rusland en Israël in 2022.

De gevolgen voor de voedselvoorziening maken de hack echter tot een reële bedreiging, omdat supermarkten met krappe marges en een strakke voorraadrotatie werken en bedorven voedsel niet van de ene op de andere dag kan worden vervangen. Een aanval op winkels in de hoofdstad van een vijandig land zal bijvoorbeeld tot lege schappen leiden, en Reuters citeert een analist die zegt dat er ook gevallen waren in Spanje, Portugal, Polen, Duitsland en België.

Voorlopig lijken zulke hackaanvallen op openbare infrastructuur meer op een haalbaarheidstest waarmee de mogelijkheden en de reactie worden getest. In 2021 drong een aanvaller binnen bij de waterzuiveringsinstallatie van Oldsmar in Florida en probeerde hij het looggehalte te verhogen. Alleen doordat een medewerker de cursor zag bewegen, kon dit worden voorkomen. In 2015 viel in Oekraïne de stroom uit voor ongeveer 230.000 klanten. Ook Colonial Pipeline en vleesverwerker JBS kwamen destijds door ransomware tot stilstand, en de Amerikaanse oostkust kreeg te maken met brandstoftekorten.

De boosdoener lijkt in alle gevallen te bestaan uit blootgestelde, slecht beveiligde systemen waarvoor eenvoudige oplossingen bestaan die vaak over het hoofd worden gezien. Cyberanalisten adviseren om regelaars van het openbare internet te halen, externe toegang achter een VPN te plaatsen en verouderde verbonden apparatuur te vervangen in plaats van er maar het beste van te hopen, ook als die nog prima werkt.