Zamrażarki powinny być najbardziej nudną częścią sklepu spożywczego. W tym tygodniu stały się tematem bezpieczeństwa. Systemy chłodnicze w sieciach sklepów spożywczych w sześciu europejskich krajach zaczęły działać nieprawidłowo, a w niektórych przypadkach temperatura w zamrażarkach wzrosła do 122°F (50°C), zmuszając sklepy do wyrzucenia żywności. Incydent jest podejrzewanym cyberatakiem na zamrażarki supermarketów i odnowił obawy dotyczące podatnego na zagrożenia przestarzałego oprogramowania działającego w świecie fizycznym.

Przypisanie winy wciąż określane jest jako podejrzewane, więc warto zachować ostrożność co do tego, co jest znane, a co nie. Jasny jest natomiast schemat: oprogramowanie kontrolujące fizyczne urządzenia zawiodło w sposób, który wygląda na celowy, a konsekwencje mierzono w zepsutych zapasach, a nie w skradzionych danych.

Co stało się z zamrażarkami supermarketów

Według doniesień systemy chłodnicze w sieciach sklepów spożywczych w sześciu krajach przestały działać normalnie. W niektórych przypadkach temperatura w zamrażarkach wzrosła do 122°F. Sklepy musiały wyrzucić żywność, której nie można już było bezpiecznie sprzedać.

Relacje dotyczące francuskiej części incydentu opisują hakerów przejmujących kontrolę nad oprogramowaniem regulującym pracę agregatów chłodniczych i zmuszających niektóre z nich do nagrzewania się przez noc. Niektóre raporty podają liczbę dotkniętych francuskich urządzeń w setkach. Danfoss, producent urządzeń chłodniczych, miał podobno powiedzieć AFP, że większość dotkniętych urządzeń to produkty „przestarzałe", które „nie otrzymują już aktualizacji oprogramowania ani zabezpieczeń". Nie zweryfikowaliśmy niezależnie tych liczb, a śledztwo wydaje się być w toku.

Szkody w tym przypadku były głównie finansowe i operacyjne: utracone zapasy, zakłócone działanie sklepów i personel zajmujący się sprzątaniem. Ale ten sam rodzaj dostępu mógłby w zasadzie dotyczyć każdego systemu kontrolującego ciepło, zimno, wodę lub energię.

Dlaczego przestarzałe oprogramowanie umożliwia cyberatak na zamrażarki supermarketów

Sterowniki chłodnicze należą do kategorii zwanej technologią operacyjną (OT). W przeciwieństwie do laptopa czy telefonu, urządzenia te są zbudowane tak, aby działać przez wiele lat przy minimalnej uwadze. Są instalowane, podłączane do sieci, aby technicy mogli je monitorować, a następnie w dużej mierze zapominane.

Taka konstrukcja tworzy kilka znanych słabości:

  • Brak kolejnych aktualizacji. Gdy producent przestaje wydawać poprawki bezpieczeństwa dla produktu, każda później wykryta luka pozostaje otwarta na stałe. Zaraportowane oświadczenie Danfoss wskazuje bezpośrednio na ten problem.
  • Zdalne zarządzanie z założenia. Scentralizowane systemy pozwalają technikom diagnozować problemy i wprowadzać zmiany bez wizyty w każdym sklepie. Ta wygoda daje również atakującemu jedno miejsce do celu, jeśli system jest osiągalny z internetu lub słabo chroniony.
  • Długa żywotność. Sprzęt kupiony dekadę temu może nadal doskonale działać jako zamrażarka, będąc jednocześnie niemożliwym do obrony jako komputer sieciowy.
  • Bezpieczeństwo ponad ochroną. Systemy te były często projektowane tak, aby działać niezawodnie, a nie aby stawiać opór zdeterminowanemu intruzowi.

Nic z tego nie jest unikalne dla supermarketów. Szpitale, fabryki i systemy zarządzania budynkami dzielą ten sam kompromis między czasem działania a łataniem.

Co to oznacza dla Ciebie

Większość czytelników nie prowadzi sieci sklepów spożywczych, ale wielu prowadzi mniejsze wersje tego samego setupu. Dom lub mała firma może mieć router, kamerę sieciową, inteligentny termostat, podłączoną lodówkę, dysk NAS lub terminal POS. Każde z nich to mały komputer podłączony do internetu, a wiele z nich zostało kupionych lata temu i nigdy nie aktualizowanych.

Lekcja z incydentu z zamrażarkami nie polega na tym, że Twoje urządzenie kuchenne zaraz ugotuje Twoje jedzenie. Chodzi o to, że urządzenia wystawione na działanie internetu z przestarzałym oprogramowaniem są realnym sposobem na dostanie się do sieci, a skutki mogą wykraczać poza dane, sięgając fizycznych operacji. Dla małej kawiarni, restauracji lub sklepu z chłodnią podłączoną do zdalnej usługi monitorowania scenariusz nie jest naciągany. Zepsute zapasy bolą małą firmę znacznie bardziej niż dużą sieć.

Twój router ma tu największe znaczenie. Jest bramą dla każdego innego urządzenia. Jeśli jest stary, niezałatany lub zarządzany domyślnym hasłem, wszystko za nim dziedziczy to ryzyko.

Jak zabezpieczyć podłączone urządzenia i routery

Nie potrzebujesz specjalistycznych narzędzi, aby zmniejszyć swoją ekspozycję. Krótki audyt wiele zmienia:

  1. Wypisz, co jest podłączone. Sprawdź listę urządzeń w routerze i zanotuj wszystko, czego nie rozpoznajesz lub czego już nie używasz. Odłącz to, czego nie potrzebujesz.
  2. Zaktualizuj firmware. Zainstaluj najnowsze aktualizacje na routerze i każdym podłączonym urządzeniu. Włącz automatyczne aktualizacje tam, gdzie są oferowane.
  3. Sprawdź status końca wsparcia. Sprawdź, czy producent nadal wspiera każde urządzenie. Jeśli produkt nie otrzymuje już aktualizacji bezpieczeństwa, zaplanuj jego wymianę lub przynajmniej odizolowanie go.
  4. Zmień domyślne dane uwierzytelniające. Zastąp fabryczne nazwy użytkownika i hasła unikalnymi, silnymi, i używaj menedżera haseł do ich śledzenia.
  5. Wyłącz nieużywany zdalny dostęp. Wyłącz zdalną administrację, przekierowanie portów i UPnP na routerze, chyba że masz konkretny powód, aby je zachować.
  6. Segmentuj swoją sieć. Umieść inteligentne urządzenia, kamery i sprzęt w sieci gościnnej lub oddzielnej, z dala od laptopów i plików roboczych. Jeśli jedno urządzenie zostanie przejęte, szkody pozostaną ograniczone.
  7. W przypadku małych firm zadawaj dostawcom bezpośrednie pytania. Jeśli dostawca zdalnie zarządza Twoją chłodnią lub innym sprzętem, zapytaj, jak zabezpieczony jest dostęp, kto może się zalogować i czy sprzęt jest nadal wspierany.

Wnioski

Cyberatak na zamrażarki supermarketów jest żywym przypomnieniem, że przestarzałe oprogramowanie nie pozostaje problemem back-office. Gdy stare, niezałatane systemy są osiągalne z internetu, atak może zamienić się w roztopione zapasy i puste półki. Te same zasady dotyczą domu i małego sklepu: wiedz, co jest podłączone, utrzymuj to w aktualności, wycofuj to, czego nie można już załatać, i oddziel ryzykowne urządzenia od reszty swojej sieci. Znajdź godzinę w tym tygodniu na audyt routera i podłączonych urządzeń. To małe zadanie w porównaniu z kosztem wyrzucenia pełnej zamrażarki jedzenia, czy gorzej.