Tấn công hệ thống làm lạnh siêu thị Pháp lan rộng sang thiết bị Copeland và Dixell

Cuộc tấn công mạng làm tê liệt hệ thống làm lạnh tại hàng trăm siêu thị Pháp trong tuần này đã lan rộng hơn dự kiến, khi cơ quan an ninh mạng quốc gia ANSSI xác nhận thiết bị của Copeland và thương hiệu Dixell cũng nằm trong tầm ngắm của tin tặc.

Hệ thống tủ lạnh làm lạnh trong siêu thị bị ảnh hưởng bởi tấn công mạng

Phạm vi ảnh hưởng mở rộng

Theo ANSSI, bộ phận ứng cứu sự cố CERT-FR lần đầu đưa ra cảnh báo vào ngày 12/10 về hàng loạt sự cố xâm nhập liên quan đến các bộ điều khiển làm lạnh dòng Danfoss AK-SM và AK-SC. Chỉ một ngày sau, cơ quan này đã cập nhật cảnh báo để bao gồm cả các hệ thống Copeland XWEB và Dixell XWEB.

Ban đầu Copeland từ chối xác nhận phát hiện của cơ quan chức năng, nhưng sau đó đã thừa nhận tồn tại một lỗ hổng bảo mật. Công ty cho biết: "Chúng tôi đang phối hợp với các khách hàng bị ảnh hưởng để giảm thiểu rủi ro."

Đáng chú ý, vào mùa hè năm nay, hãng bảo mật Claroty từng công bố chi tiết các lỗ hổng trong bộ điều khiển Danfoss AK-SM 800A, cùng 23 lỗ hổng khác trong bộ điều khiển Copeland XWEB Pro. Copeland đã vá các lỗ hổng này thông qua một bản cập nhật firmware.

Tuy nhiên, hiện vẫn chưa rõ tin tặc đã xâm nhập bằng cách nào. Cảnh báo của CERT-FR không liên kết các sự cố với bất kỳ lỗ hổng cụ thể nào, và cả Danfoss lẫn giới chức Pháp đều chưa gắn cuộc tấn công với những lỗ hổng mà Claroty đã công bố.

Thiết bị hết vòng đời là điểm yếu chí mạng

Danfoss cho biết phần lớn thiết bị bị ảnh hưởng là các hệ thống AK-SM 800 và AK-SC 355 đời cũ, đã hết vòng đời hỗ trợ và không còn được vá lỗi. Hãng đã ngừng hỗ trợ dòng AK-SM 800 từ tháng 5/2021, trong khi AK-SC 355 bị khai tử từ năm 2016. Một số bộ điều khiển AK-SM 800A hiện hành nhưng chạy firmware lỗi thời cũng nằm trong số bị ảnh hưởng.

CERT-FR khuyến nghị các đơn vị vận hành những bộ điều khiển này phải ngắt kết nối internet và chỉ khôi phục truy cập từ xa thông qua VPN bảo mật hoặc mạng được bảo vệ. Cơ quan này nhấn mạnh việc lọc kết nối theo địa chỉ IP chỉ là biện pháp tạm thời trong tình huống khẩn cấp.

Đối với các thiết bị hết vòng đời đã bị xâm nhập, việc khôi phục cài đặt gốc là chưa đủ, vì thiết bị vẫn còn lỗ hổng và nhiều khả năng sẽ tiếp tục bị tấn công nếu vẫn phơi nhiễm ra internet.

Hàng trăm siêu thị Pháp lao đao

Các chuỗi siêu thị xác nhận bị ảnh hưởng bao gồm Carrefour, Coopérative U, E.Leclerc, Intermarché và Monoprix. Bộ trưởng Tài chính Pháp Roland Lescure cho biết khoảng 700 trong tổng số gần 10.000 siêu thị trên toàn quốc bị ảnh hưởng, cao hơn nhiều so với con số 300-350 được báo cáo ban đầu.

Tại Intermarché, khoảng 150 cửa hàng bị ảnh hưởng. Các thiết bị làm lạnh tại đây hoạt động ở nhiệt độ lên tới 50 độ C trong sáu giờ, khiến toàn bộ thực phẩm phải bỏ đi. Carrefour cho biết 80 cửa hàng của họ bị tác động.

Ông Dominique Schelcher, CEO của Coopérative U, cho biết 80 cửa hàng của tập đoàn này bị nhắm mục tiêu, nhưng chỉ một số ít phải tiêu hủy sản phẩm. Hai siêu thị tại vùng Alsace báo cáo tổng thiệt hại lên tới 270.000 euro (khoảng 300.000 USD).

Văn phòng công tố Paris, đơn vị đã mở cuộc điều tra về tội phạm mạng, cho biết cuộc tấn công còn gây ra hỏa hoạn bên cạnh thiệt hại về thực phẩm. Theo tờ Le Monde, tin tặc đã kéo dài chu kỳ xả tuyết từ một giờ lên tới tám giờ, khiến các cảnh báo bị trễ.

Chuyên gia phân tích an ninh mạng điều tra sự cố

Điều tra vẫn bế tắc

Theo Reuters, các điều tra viên đang lúng túng trước việc không có nhóm nào nhận trách nhiệm, cũng không có yêu cầu tiền chuộc. Chuyên gia Félix Aimé của Sekoia nói với Reuters rằng các cửa hàng tại Tây Ban Nha, Bồ Đào Nha, Ba Lan, Đức và Bỉ cũng bị ảnh hưởng, nhưng không cung cấp chi tiết. Cơ quan an ninh mạng Hà Lan NCSC cho rằng cuộc tấn công nhắm vào Ahold Delhaize không liên quan đến sự cố này.

Công ty giám sát internet Censys đếm được gần 3.000 bảng điều khiển Danfoss StoreView phơi nhiễm trên internet vào ngày 11/10, trong đó hơn 1.800 đặt tại Pháp. Đến ngày 14/10, con số tại Pháp giảm xuống còn 537, trong khi số lượng ở nơi khác gần như không đổi. Đáng chú ý, cả phiên bản đã vá lẫn chưa vá đều biến mất với tốc độ tương đương, cho thấy các đơn vị vận hành đang ngắt kết nối thiết bị thay vì cập nhật chúng.

Cuộc tấn công cũng làm dấy lên câu hỏi về trách nhiệm pháp lý. Les Mousquetaires cho rằng hệ thống làm lạnh do Danfoss quản lý, và do đó nhà cung cấp phải là bên khiếu nại với cơ quan chức năng.

SecurityWeek

Bài học cho Việt Nam

Sự cố này là lời cảnh tỉnh cho các doanh nghiệp bán lẻ và chuỗi cung ứng lạnh tại Việt Nam, nơi nhiều hệ thống OT/IoT như bộ điều khiển làm lạnh, điều hòa công nghiệp vẫn phơi nhiễm ra internet để tiện cho việc giám sát từ xa.

• Không phơi nhiễm thiết bị OT ra internet: Chỉ truy cập qua VPN hoặc mạng riêng được bảo vệ.
• Kiểm kê thiết bị hết vòng đời: Các thiết bị không còn được nhà sản xuất vá lỗi cần được cách ly hoặc thay thế.
• Phân tách mạng IT và OT: Hạn chế tối đa đường di chuyển ngang của tin tặc từ mạng văn phòng sang hệ thống vận hành.
• Xây dựng kế hoạch ứng phó sự cố: Bao gồm cả quy trình xử lý khi hệ thống lạnh bị tê liệt và thiệt hại thực phẩm.

Với các chuỗi siêu thị lớn tại Việt Nam đang đẩy mạnh số hóa và tự động hóa kho lạnh, việc rà soát lại toàn bộ hệ thống điều khiển công nghiệp là bước đi cấp thiết trước khi một sự cố tương tự xảy ra.