Температура в морозильных камерах нескольких европейских супермаркетов после атак выросла до 50 °C. Кибератаки на супермаркеты затронули сети в шести странах и показали неприятно практическую вещь: взлом промышленного контроллера способен за несколько часов превратить ИБ-инцидент в списание скоропортящегося товара и операционный кризис. Для российских IT-команд это ещё один повод смотреть на холодильники, кассы и СКУД как на часть периметра, а не как на чужую хозяйственную автоматику.
Как сообщает Habr / Новости, инциденты зафиксированы в Швеции, Бельгии, Нидерландах, Эстонии, Люксембурге и Ирландии. Среди затронутых сетей названы Ahold Delhaize, Colruyt, Carrefour, ICA и Coop. В одном из магазинов ICA в Стокгольме сотрудники обнаружили, что температура во всех морозильных камерах поднялась до 50 °C. По словам менеджера по продажам Энглы Ингвалл, атака началась около двух часов ночи, а заметить последствия удалось лишь спустя несколько часов. Представитель ICA подтвердил факт инцидента и уточнил, что он затронул небольшое число магазинов.
В Бельгии Colruyt Group сообщила о проблемах с холодильным оборудованием в пяти магазинах Spar. Похожие инциденты затронули шесть магазинов Coop и 15 из 700 бельгийских Carrefour. В Ирландии оптовый поставщик Musgrave заявил, что атака повлияла на холодильные системы в 13 магазинах SuperValu; часть продукции пришлось снять с продажи. Даже при сравнительно небольшом числе пострадавших точек эффект заметен сразу: холодовая цепочка не терпит долгого расследования, а товар с нарушенными условиями хранения нельзя просто «перезагрузить» вместе с контроллером.
Серия атак стала продолжением инцидента во Франции месяцем ранее. Тогда злоумышленники удалённо меняли температурные настройки холодильного оборудования в сотнях супермаркетов, а число затронутых магазинов превысило 2 тыс. Целью были контроллеры холодильного оборудования датской Danfoss. Исследователи Pinfo установили, что 85% проверенных систем использовали ПО с известными уязвимостями; многие из них оставались открытыми для атаки не менее шести месяцев. Это не экзотическая уязвимость из презентации на конференции, а знакомая картина: оборудование работает годами, обновления планируют после сезона, а доступ к нему уже встроен в повседневную эксплуатацию.
Ответственность за последние эпизоды никто не взял. Исследователь SentinelOne Том Хегель перечислил обычные мотивы таких атак: вымогательство, политическое давление или операции с государственным участием. Отсутствие требований о выкупе, по его оценке, делает версию о саботаже более вероятной. Ретейл удобен для такого давления: в нём много распределённых контроллеров, систем управления зданием, панелей доступа и кассовой инфраструктуры, а перебой быстро становится виден покупателям и попадает в новости.
Кибератаки на супермаркеты особенно болезненны из-за экономики отрасли. Маржа продуктовой розницы невелика, а замороженная и охлаждённая продукция может стать непригодной для продажи за считанные часы. Поэтому для атакующего изменение одного параметра температуры иногда эффективнее шифрования серверов: ущерб возникает параллельно с расследованием, персонал вынужден действовать на месте, а компания не может отложить реакцию до утра. При этом физический ущерб остаётся даже после восстановления доступа к ИТ-системам.
Для разработчиков и руководителей инфраструктуры урок лежит не только в патч-менеджменте. Нужны инвентаризация OT-устройств, отдельные сегменты сети для контроллеров, минимально необходимые удалённые доступы и мониторинг изменений критичных уставок — температуры, давления, режимов работы. Важно заранее определить, кто получает тревогу ночью, кто вправе переключить объект в безопасный ручной режим и как подтвердить, что показания датчиков не были подменены. Обычный SOC, который видит подозрительный вход в VPN, но не знает допустимый диапазон температуры в морозильнике, заметит проблему слишком поздно.
Инциденты в Европе показывают, что граница между корпоративной сетью и физической инфраструктурой окончательно исчезла. Чем больше бизнеса зависит от подключённых контроллеров, тем ценнее становятся простые меры: своевременные обновления, изоляция оборудования и сценарии аварийной работы. Следующая атака может быть нацелена не на морозильники — но логика ущерба останется той же: цифровой доступ меняет физический процесс, а счёт приходит бизнесу почти мгновенно.
