Hơn 100 cửa hàng châu Âu bị tấn công, hệ thống làm lạnh nóng lên

Hơn 100 cửa hàng tại nhiều nước châu Âu bị gián đoạn hoạt động làm lạnh sau khi các bộ điều khiển tủ lạnh và tủ đông kết nối Internet bị can thiệp. Một số thiết bị bị đặt ở mức nhiệt lên tới 50°C, khiến thực phẩm hư hỏng; các nhà điều tra chưa xác định liệu đợt tấn công mới có liên quan đến sự cố tại Pháp trước đó hay không.

Tủ lạnh trong siêu thị

Các doanh nghiệp bị ảnh hưởng gồm chuỗi bán lẻ lớn và những cửa hàng thịt nhỏ tại Bỉ, Estonia, Ireland, Luxembourg, Hà Lan và Thụy Điển. Sự cố cũng được ghi nhận tại Phần Lan, Italy và Bồ Đào Nha. Chưa có nhóm nào nhận trách nhiệm.

Bộ điều khiển làm lạnh bị truy cập từ Internet

Theo Stephan Moelans, giám đốc điều hành công ty làm lạnh Sabcobel của Bỉ, kẻ tấn công đã buộc bộ bay hơi của các thiết bị chuyển sang chế độ xả đá. Cách thức này tương tự sự cố ở Pháp, nơi hàng loạt thiết bị làm lạnh bị buộc chuyển sang chế độ xả đá.

Đợt tấn công đầu tiên xảy ra trong đêm từ ngày 11 đến 12 tháng 10, ảnh hưởng khoảng 700 siêu thị tại Pháp, trong đó có các cửa hàng Intermarché, Carrefour, Coopérative U và Monoprix. Thực phẩm bị hư hỏng, và các vụ tấn công được cho là đã gây ra hỏa hoạn.

Đội ứng cứu sự cố CERT-FR thuộc cơ quan an ninh mạng ANSSI của Pháp ban đầu liên hệ các vụ xâm nhập với bộ điều khiển dòng AK-SM và AK-SC của Danfoss. Một ngày sau, cảnh báo được mở rộng sang các hệ thống Copeland và Dixell XWEB. Danfoss cho biết phần lớn thiết bị bị xâm nhập là sản phẩm cũ, không còn được hãng cập nhật.

Các sự cố mới có dấu hiệu sử dụng phương thức tương tự. Đài NOS của Hà Lan đưa tin những thiết bị bị nhắm tới, theo thông tin hiện có, do Danfoss và Copeland sản xuất. Một nhà cung cấp thiết bị làm lạnh tại Estonia cho biết các thiết bị bị tấn công ở nước này là những mẫu Danfoss đời cũ.

Moelans nói rằng chỉ cập nhật phần mềm là chưa đủ để khắc phục hoàn toàn điểm yếu; thiết bị bị ảnh hưởng còn cần được chỉnh sửa trực tiếp.

Ngày 13 tháng 10, Danfoss đã khuyến nghị khách hàng ngắt kết nối hệ thống khỏi Internet và chỉ kết nối lại qua mạng an toàn. Một người phát ngôn của hãng nói với NOS rằng phần lớn cửa hàng đã hành động, nhưng vẫn còn một số ít chưa làm theo.

Nhà nghiên cứu an ninh Kevin Beaumont cho biết những người ông trao đổi xác nhận mọi tủ đông bị ảnh hưởng hôm thứ Hai đều có giao diện quản lý truy cập được từ Internet. Nhiều thiết bị đã hết vòng đời hỗ trợ và không có bản vá để khắc phục.

Nhiều thiết bị cũ chưa được vá

Công ty an ninh mạng Lupovis cho biết với SecurityWeek rằng từ ngày 20 đến 30 tháng 10, họ ghi nhận hoạt động đáng ngờ nhắm vào các cảm biến theo dõi bộ điều khiển làm lạnh Danfoss AK-SM, trong đó có cảm biến tại một số khu vực bị ảnh hưởng. Phần lớn lần thử đăng nhập sử dụng thông tin đăng nhập mặc định được Danfoss công khai trong tài liệu; một số lần khác dường như nhằm nhận diện các thành phần cụ thể của bộ điều khiển.

Giám đốc điều hành Lupovis Xavier Bellekens cho biết hoạt động đạt đỉnh ngày 26 tháng 10, và công ty chưa từng thấy hành vi này trên các cảm biến trước ngày 20 tháng 10. Tất cả lần thử xác thực đều bị cảm biến từ chối. Ông nhận định thời điểm diễn ra hoạt động là đáng chú ý.

Công ty phân tích dữ liệu Internet Censys tìm thấy hơn 1.000 giao diện Danfoss StoreView có thể truy cập trực tuyến trên toàn cầu. Theo Censys, Pháp vẫn đứng đầu về số giao diện StoreView lộ ra Internet, tiếp theo là Bỉ và Mỹ. Số giao diện tại Pháp giảm mạnh, từ 1.825 trước các vụ tấn công tháng 10 xuống còn 220 trong phân tích mới nhất của công ty.

Dựa trên ngày xây dựng phần sụn, Censys ước tính 41% thiết bị tại Pháp còn trực tuyến đang chạy phiên bản đã được vá. Công ty ghi nhận 138 giao diện lộ ra Internet ở Bỉ, 51 ở Hà Lan và 50 ở Thụy Điển; tỷ lệ thiết bị có vẻ đã được vá lần lượt là 68%, 37% và 58%. Luxembourg, Ireland và Estonia chỉ có một số ít giao diện bị phát hiện. Censys không cho biết liệu có thiết bị đã được vá nào nằm trong số các thiết bị bị xâm nhập hôm thứ Hai hay không.

Bỉ ghi nhận nhiều cửa hàng bị ảnh hưởng

Bỉ dường như là nước chịu tác động nặng nhất. Delhaize cho biết sự cố công nghệ thông tin làm gián đoạn hệ thống làm lạnh tại vài chục cửa hàng. Carrefour ghi nhận 15 địa điểm bị ảnh hưởng trong tổng số hơn 700 cửa hàng, còn Colruyt cho biết năm cửa hàng Spar nhượng quyền bị tấn công.

Một cửa hàng IKEA tại Mons cũng bị ảnh hưởng; văn phòng công tố liên bang Bỉ đã mở cuộc điều tra.

Tại Luxembourg, bốn cửa hàng Delhaize gặp sự cố. Ở Ireland, SuperValu phải thu hồi các sản phẩm đông lạnh và cần bảo quản lạnh tại 13 cửa hàng có sử dụng một mẫu thiết bị làm lạnh cụ thể.

Nhà bán lẻ ICA của Thụy Điển xác nhận một số ít cửa hàng bị ảnh hưởng, trong khi Coop báo cáo sự cố tại một vài địa điểm. Một quản lý cửa hàng ICA cho biết họ phải loại bỏ lượng lớn thực phẩm.

Tại Hà Lan, Danfoss cho biết hệ thống của ít nhất 17 doanh nghiệp bị tấn công, chủ yếu là cửa hàng thịt và cửa hàng tạp hóa nhỏ. Nhà bán lẻ Kesko của Phần Lan ghi nhận một số cửa hàng nhỏ bị gián đoạn nhiệt độ. Ở Italy, đơn vị vận hành một số siêu thị mang thương hiệu Coop tại Sicily đã báo cho cơ quan an ninh mạng quốc gia; tại Bồ Đào Nha, tập đoàn Mosqueteiros xác nhận sự cố ở bảy cửa hàng Intermarché.

Ủy viên Nông nghiệp Liên minh châu Âu Christophe Hansen gọi các vụ tấn công là nỗ lực có chủ đích nhằm phá vỡ chuỗi cung ứng thực phẩm và làm suy giảm lòng tin của người tiêu dùng. Ông nói an ninh lương thực của khối hiện chưa bị đe dọa, nhưng thừa nhận lượng thực phẩm phải bỏ đi và thiệt hại đối với doanh nghiệp.

Góc nhìn

Các vụ việc cho thấy thiết bị vận hành hạ tầng thiết yếu có thể trở thành mục tiêu khi giao diện quản lý bị mở ra Internet, đặc biệt nếu thiết bị đã cũ hoặc vẫn dùng thông tin đăng nhập mặc định. Ngắt kết nối trực tiếp và chỉ truy cập qua mạng an toàn là những biện pháp được Danfoss khuyến nghị, nhưng với một số thiết bị, khắc phục còn đòi hỏi chỉnh sửa phần cứng.

Với doanh nghiệp sử dụng thiết bị công nghiệp kết nối mạng, việc kiểm kê thiết bị, xác định tình trạng hỗ trợ và rà soát khả năng truy cập từ bên ngoài là phần quan trọng trong quản lý rủi ro. Một sự cố mạng có thể nhanh chóng kéo theo tổn thất vật chất và gián đoạn hoạt động, như các cửa hàng phải loại bỏ thực phẩm trong đợt tấn công này.