Che cosa succede se qualcuno, da casa sua, decide di spegnere il freddo in un supermercato? In Francia lo hanno scoperto la mattina di lunedì 12 ottobre. Durante la notte i banchi frigo e i congelatori di centinaia di punti vendita si sono messi a scaldare. Su alcuni display la temperatura impostata era di 50 °C.
Cosa è successo
Le insegne coinvolte sono Intermarché, Netto, Super U, E.Leclerc e Monoprix. Sul numero di negozi colpiti le fonti non concordano. All'AFP i distributori hanno parlato di almeno 300 negozi Intermarché/Netto, meno di un centinaio del gruppo U e una trentina di Monoprix. Altre testate parlano invece di circa 150 Intermarché. Non sono stati rubati dati e nessuno ha chiesto soldi. Il danno è la merce: carne, latticini e surgelati finiti nella spazzatura. Solo a Haguenau, in Alsazia, due negozi stimano perdite per circa 270.000 euro. La procura di Parigi ha aperto un'indagine.
Il trucco dello sbrinamento
I banchi frigo sono gestiti da controller della danese Danfoss. Un controller è una piccola centralina che regola temperature, allarmi e cicli dell'impianto. Tra questi cicli c'è lo sbrinamento, che scalda brevemente le serpentine per sciogliere il ghiaccio. Secondo le ricostruzioni, gli attaccanti hanno allungato questa funzione e alzato la temperatura obiettivo. Così il frigo ha fatto da solo il lavoro di sabotaggio, senza bisogno di malware sofisticati.
Centraline vecchie e raggiungibili da internet
Danfoss ammette che la maggior parte dei sistemi colpiti sono modelli AK-SM800 e AK-SC355, fuori supporto e senza più aggiornamenti di sicurezza. Gli AK-SM800A coinvolti, invece, avevano un firmware vecchio per cui la patch esiste già. Ad agosto i ricercatori di Claroty avevano segnalato tre vulnerabilità su questi controller, una delle quali permette di saltare l'autenticazione, e contato circa 2.765 interfacce di gestione esposte su internet. Non è ancora provato che l'attacco sia passato da lì. Il punto però è chiaro: un impianto industriale collegato alla rete e mai aggiornato è una porta aperta. Nel gergo si parla di OT (Operational Technology), cioè i sistemi che muovono cose fisiche: frigoriferi, caldaie, nastri, valvole. Per ora il costruttore sta aggiornando i dispositivi e, dove possibile, staccandoli dall'accesso diretto a internet.
💬 Il mio commento
Il frigo del banco salumi nessuno lo considera un computer. Eppure lo è: ha una centralina, un firmware, un'interfaccia web e spesso un collegamento verso l'esterno, messo lì anni fa dal manutentore per controllare gli allarmi senza dover correre in negozio di notte. È una comodità vera, non lo nego. Il guaio è che quella porta resta aperta per chiunque, non solo per chi l'ha installata.
Quando analizzo le reti delle aziende capita spesso: l'IT presidia server e PC, mentre gli impianti come refrigerazione, climatizzazione, videosorveglianza e quadri elettrici finiscono in una terra di nessuno. Li ha installati un fornitore esterno, le password non le ha nessuno e nessuno sa se sono aggiornati. Come siano entrati in Francia ancora non lo so, e per ora non lo sa con certezza nessuno: lo dirà l'indagine. So però che, per manomettere un apparato esposto e fermo da anni, non serve un genio. Mi colpisce anche l'assenza del riscatto: senza una richiesta di soldi non c'è nemmeno una trattativa, resta solo il danno. Chi pensa alla sicurezza solo in termini di dati rubati qui rischia di farsi trovare scoperto.
Secondo me, la cosa più sensata da fare adesso è chiedere a chi gestisce i vostri impianti, per iscritto, l'elenco di ogni dispositivo raggiungibile da remoto e il modo in cui ci si collega. Se la risposta è «direttamente da internet, con la password di sempre», è il primo punto da sistemare: aggiornare il firmware e mettere l'accesso dietro una VPN.