Týká se vás to?
- Týká se přímo: obchodů a potravinářských provozů, jejichž řídicí jednotky chlazení jsou dostupné z internetu. Ve Francii kybernetická agentura hlásila kompromitované moduly pro dálkovou správu od firem Danfoss a Copeland.
- Podle nás poučení sahá dál: týká se každé firmy, která má do internetu otevřenou službu chráněnou jen přihlášením – administraci webu, NAS, vzdálenou plochu, kamery nebo zařízení, které spravuje dodavatel.
- Netýká se vás, pokud: nic vašeho, včetně zařízení dodavatelů, není z internetu dostupné jinak než přes VPN nebo z pevných IP adres.
Co udělat
- Sepište, co je dostupné z internetu: přesměrování portů na firewallu nebo routeru a každé zařízení, ke kterému se dodavatel připojuje na dálku.
- Cokoli, co chrání jen heslo, přesuňte za VPN nebo povolte přístup jen z konkrétních IP adres. U řídicích jednotek chlazení francouzský CERT-FR doporučil odpojit je od internetu nebo přístup k nim přísně filtrovat.
- Konkrétně u chlazení: zeptejte se montážní firmy, jakou řídicí jednotku máte. Danfoss AK-SM 800 a AK-SC 355 bezpečnostní aktualizace nedostávají; Danfoss doporučuje přejít na současnou generaci. U AK-SM 800A si nechte potvrdit, že je nainstalovaná loňská oprava.
- Známkou tohoto útoku byly jednotky přepnuté do odmrazování nebo teploty, které personál nedokázal vrátit; montážní firmy pak jednotky odpojily od sítě. Estonská servisní firma uvedla, že reakce do 10 minut omezila škody.
Co víme – a co ne
- Zasažené řetězce jsou mimo jiné Delhaize, Carrefour a Spar v Belgii a ICA a Coop ve Švédsku; v Irsku firma Musgrave stáhla chlazené a mražené potraviny z 13 prodejen SuperValu.
- Výzkumníci Claroty loni ukázali, že modely Danfoss AK-SM 800 a AK-SC 355 s ukončenou podporou mají přihlášení s uživatelským jménem „admin“ a denním kódem odvozeným z data nastaveného v zařízení. Po francouzském útoku napočítala agentura Reuters online nejméně 4 500 rozhraní Danfoss.
- V Estonsku podle servisní firmy Kitman Coldtech útočníci pronikli do starší řídicí jednotky Danfoss. Zda belgické a švédské obchody používají stejné zařízení, potvrzeno není; Sabcobel uvádí, že postup je přesně stejný jako ve Francii.
- K útokům se nikdo nepřihlásil a o žádném požadavku na výkupné se neví.
- ICA uvádí, že připojení zasažených prodejen vede mimo její centrální síť.
Proč na tom záleží
Přihlašovací stránku, která je vidět z internetu, najde každý, kdo ji hledá; bez druhého faktoru pak útočníka zastavuje už jen heslo. U starých modelů Danfoss je to kód odvozený z data. Mrazáky jsou extrémní případ; stejná kontrola platí pro každou administraci, kterou provozujete.