Frigoriferi a 50 gradi in 350 supermercati francesi, e 4.500 centraline Danfoss restano online

Nella notte, gli aggressori hanno preso il controllo da remoto dei frigoriferi e dei congelatori di almeno 350 supermercati francesi, li hanno impostati sulla modalità di sbrinamento e hanno lasciato che la temperatura salisse fino a 50 °C. In circa 150 punti vendita Intermarché, i frigoriferi sono rimasti a quella temperatura per sei ore e tutti i prodotti al loro interno sono stati buttati. Il punto d’accesso era il dispositivo che gestisce tutte le corsie refrigerate di un negozio: una centralina Danfoss, controllata via internet dai tecnici della refrigerazione.

Per i clienti, questo si è tradotto in corsie dei surgelati chiuse e dipendenti, nel centro di Parigi, intenti a rovesciare carrelli pieni di carne scongelata e gelato sciolto in enormi cassonetti. Ma il problema riguarda ben più della sola Francia. Interrogando il motore di ricerca Shodan, Reuters ha individuato almeno 4.500 interfacce Danfoss ancora visibili online dopo l’attacco; la società francese di scansione Onyphe ha dichiarato che solo una piccola minoranza sembrava utilizzare il software più recente.

Carrefour ha registrato 80 supermercati colpiti, mentre per Monoprix si è trattato di circa il 5% dei suoi circa 490 negozi francesi. È stata presa di mira anche Coopérative U, ma il suo amministratore delegato, Dominique Schelcher, ha affermato che nella maggior parte dei punti vendita interessati la catena del freddo ha retto, grazie alla rapidità d’intervento del personale e dei tecnici. E.Leclerc ha dichiarato che è stato attaccato uno dei suoi fornitori di servizi di refrigerazione. La procura di Parigi ha segnalato perdite di prodotti alimentari e apparecchiature che hanno iniziato a prendere fuoco. Thierry Cotillard, alla guida della società madre di Intermarché, Les Mousquetaires, ha detto a BFMTV che i danni ammonteranno a «decine di milioni di euro in tutto il Paese, in un solo giorno».

Danfoss afferma che molte delle unità colpite erano «giunte a fine vita e non ricevevano più aggiornamenti software o di sicurezza», mentre altre «utilizzavano firmware obsoleto». L’azienda ha indicato due modelli più datati, AK-SM 800 e AK-SC 355, entrambi ritirati da anni; sono state colpite anche alcune centraline AK-SM 800A ancora in produzione, ma dotate di firmware vecchio. Anche l’agenzia nazionale francese per la cybersicurezza, ANSSI, ha indicato tra i sistemi interessati software di Copeland e del suo marchio Dixell. Copeland ha riconosciuto la «vulnerabilità» e dichiarato: «Stiamo collaborando con i clienti coinvolti per mitigare il rischio».

I sistemi di refrigerazione dei supermercati sono connessi a internet per una ragione pratica: così un tecnico può regolare la temperatura, disattivare gli allarmi e modificare i cicli di sbrinamento senza doversi recare in negozio. CERT-FR, la squadra di pronto intervento informatico del governo, ha chiesto a tutti gli operatori di centraline Danfoss AK-SM e AK-SC di scollegarle dalla rete o di limitare rigorosamente gli accessi. Secondo AFP, il direttore di ANSSI, Vincent Strubel, ha definito urgente questo intervento.

Per ora nessuno sa dire come siano riusciti a entrare gli aggressori, né perché. Nessun gruppo ha rivendicato l’attacco e non è stato chiesto alcun riscatto: un elemento che, secondo una fonte citata da Reuters, ha lasciato perplessi gli investigatori. CERT-FR non ha indicato vulnerabilità, versioni del firmware o segnali di compromissione da verificare; inoltre, i difetti documentati dalla società di sicurezza Claroty nel modello AK-SM 800A non sono stati collegati all’attacco. Per i proprietari dei modelli più vecchi non esiste alcuna patch da installare: la vera soluzione è sostituire l’hardware, acquistandolo dagli stessi tecnici che avevano installato le vecchie centraline. «È una questione di igiene informatica di base», ha dichiarato Ken Munro di Pen Test Partners. «Se si sbaglia, ci si ritrova con un disastro maleodorante di cibo scongelato». Ha aggiunto che gli aggressori hanno trovato una porta spalancata e che i responsabili potrebbero tranquillamente essere «ragazzi che si divertono a fare pasticci».

La Francia potrebbe non essere l’unico Paese coinvolto. Félix Aimé, analista di threat intelligence presso Sekoia, ha detto a Reuters che sarebbero stati colpiti anche Spagna, Portogallo, Polonia, Germania e Belgio, senza fornire dettagli. ANSSI è in contatto con le agenzie di altri Paesi europei. Nello stesso periodo, un incidente distinto ha mandato offline i servizi di spesa online del rivenditore olandese Ahold Delhaize, ma il centro olandese per la cybersicurezza, NCSC, non rileva alcun legame. Non è la prima volta: a fine agosto, i frigoriferi di circa una dozzina di negozi delle basi militari statunitensi sono stati bloccati in modo simile; inoltre, la newsletter per i clienti di Danfoss dà conto di attacchi a 16 supermercati russi e 40 negozi israeliani nel 2022.

L’attacco è iniziato nella notte di domenica 11 ottobre e CERT-FR ha pubblicato il proprio avviso il giorno seguente. Danfoss ha dichiarato fuori produzione il modello AK-SM 800 nel maggio 2021 e ha ritirato gradualmente l’AK-SC 355 nel 2016, mentre Claroty ha pubblicato la propria analisi sul modello più recente il 9 agosto. La sezione per la criminalità informatica della procura di Parigi ha aperto un’indagine, affidata all’ufficio per la lotta alla criminalità informatica OFAC, per quantificare il numero delle vittime e ricondurre ogni perdita all’attacco. La federazione francese del commercio al dettaglio FCD ha chiesto a Danfoss «piena trasparenza». In attesa che gli investigatori scoprano come sono entrati gli aggressori, la soluzione più economica tra quelle indicate da CERT-FR non richiede alcuna patch: scollegare la centralina da internet.

Tag: Pelé, Cher, sicurezza IoT, attacco informatico, ANSSI, Carrefour