Около 700 французских супермаркетов пострадали после атаки на системы управления холодильным оборудованием в ночь на 11 октября. Взломы холодильных систем привели к длительной разморозке витрин и морозильников, порче продуктов, поломкам оборудования и, по сообщениям, даже к нескольким возгораниям; ущерб оценили в миллионы евро. Для российского ритейла и интеграторов это не экзотическая история про европейские магазины, а наглядный сценарий риска для любой распределённой OT-инфраструктуры.
Как сообщает Dark Reading, атакующие получили возможность вмешаться в работу контроллеров Danfoss, а также систем Dixell и Copeland XWEB. Кто именно стоит за инцидентом и каким способом был получен первоначальный доступ, публично не раскрыто. Но одна деталь звучит почти как пародия на старые чек-листы ИБ: часть контроллеров Danfoss была доступна из интернета, а заводская учётная запись использовала логин admin и пароль в виде текущей даты.
Проблема оказалась масштабной не потому, что один злоумышленник добрался до центрального офиса конкретной сети. В ритейле холодильные установки, HVAC и системы управления зданием нередко обслуживаются удалённо и по похожим схемам. Одни и те же модели контроллеров, повторяющиеся настройки доступа, устаревшая прошивка и подрядчики, которые ведут сотни объектов, превращают независимые магазины в очень связную цель. Найдя рабочий приём один раз, атакующий может применять его снова — уже в другой сети, городе или стране.
Французский CERT рекомендовал пострадавшим организациям сменить стандартные пароли, сбросить скомпрометированное оборудование к заводским настройкам и обновить прошивки. На бумаге это базовая гигиена. На практике обновление OT — это не привычный патч-менеджмент для серверного парка: остановка контроллера может влиять на температуру хранения, логистику, сервисные контракты и работу магазина. Производитель Danfoss сообщил AFP, что во многих эпизодах фигурировало устаревшее оборудование, которое больше не получает обновлений. Здесь «поставить последнюю версию» уже не план, а невыполнимое требование.
В начале ноября похожие инциденты затронули магазины в Бельгии, Эстонии, Германии, Ирландии, Люксембурге, Нидерландах, Польше, Португалии, Испании и Швеции. Примерно в тот же период атакующие попытались воздействовать на холодильное оборудование трёх банков крови французского Национального учреждения крови. Там атаку удалось остановить до того, как пострадала плазма. Разница между списанной партией продуктов и нарушением хранения медицинских материалов — хороший аргумент против привычки относить инженерные системы к «не ИТ».
Эксперты, опрошенные изданием, указывают не столько на концентрацию рынка, сколько на концентрацию небезопасных практик. По словам директора SentinelLABS Криса Сент-Майерса, контроллеры Danfoss AK-SM и AK-SC, а также Copeland и Dixell XWEB часто развёрнуты в разных розничных средах с близкими требованиями к удалённому доступу и сходными конфигурациями. CEO компании Tributech Томас Планк описывает ту же проблему жёстче: один и тот же рискованный шаблон — интернет-доступные контроллеры, неподдерживаемая прошивка и небольшой круг обслуживающих подрядчиков — открывает дорогу сразу к множеству ритейлеров.
Для разработчиков и ИБ-команд вывод не сводится к смене пароля на оборудовании. Сначала нужна инвентаризация: какие устройства реально доступны извне, кто имеет к ним доступ, через какие каналы идут команды и какие из этих устройств больше нельзя обновить. Затем — сегментация сети, отказ от прямого доступа из интернета там, где он не нужен, и отдельный контроль учётных записей подрядчиков. Взломы холодильных систем также показывают ценность проверок на уровне самого устройства: морозильник не должен принимать команду на нагрев до 50 °C независимо от того, пришла она через легитимный канал или через украденную учётную запись.
Ритейл десятилетиями воспринимал такие контроллеры как небольшой хозяйственный слой между кассами и товаром. Но тысячи «маленьких» устройств в сети — это уже распределённая промышленная система, где ошибка конфигурации быстро становится физическим ущербом. Следующий серьёзный вопрос для отрасли — кто возьмёт на себя стоимость замены неподдерживаемой OT-техники до того, как очередной пароль по умолчанию превратится в проблему всей цепочки поставок.
