Betroffen waren Kühlregler von Danfoss sowie Systeme vom Typ Dixell und Copeland XWEB. Wie sich der Angreifer Zugang verschaffte, ist bislang nicht geklärt. Bekannt ist jedoch, dass die im Zentrum der Kampagne stehenden Danfoss-Regler über aus dem Internet erreichbare Webserver verfügten. Viele davon ließen sich mit Standardzugangsdaten öffnen: als Benutzername „admin", als Passwort das jeweils aktuelle Datum.
CERT-FR veröffentlichte eine Warnmeldung mit Empfehlungen für betroffene Supermärkte – darunter das Ändern von Standardpasswörtern, das Zurücksetzen kompromittierter Geräte auf Werkseinstellungen und das Einspielen aktueller Firmware. Zum letzten Punkt erklärte Danfoss gegenüber der Nachrichtenagentur AFP, dass bei vielen der Angriffe Altprodukte betroffen waren, für die es keine Updates mehr gibt.
CERT-FR bestätigte, dass bei den französischen Kompromittierungen Danfoss-Controller der Reihen AK-SM und AK-SC sowie Copeland- und Dixell-XWEB-Systeme involviert waren. Chris St. Myers, Director von SentinelLABS, sieht darin weniger ein Problem der Marktkonzentration als ein verbreitetes Expositionsmuster: „Diese Technologien sind in vielen Einzelhandelsumgebungen im Einsatz, oft mit ähnlichen Anforderungen und Konfigurationen für den Fernzugriff", sagt er. „Das eröffnet Angreifern die Möglichkeit, dieselben Techniken bei ansonsten völlig unabhängigen Organisationen wiederzuverwenden."
Ähnlich argumentiert Thomas Plank, CEO des Industriesicherheitsanbieters Tributech: „Konzentriert ist das Setup. Über Ketten und Länder hinweg ist es dasselbe Modell: Fernwartungscontroller, die aus dem Internet erreichbar sind, oft mit Firmware außerhalb des Supports, betreut von einer kleinen Zahl von Dienstleistern, die hunderte Filialen von einem Ort aus verwalten." Wenn alle dasselbe riskante Muster über dieselben wenigen Kanäle fahren, erreiche ein einziger Einstiegsweg viele Händler zugleich – grenzüberschreitend und über Nacht. Genau deshalb wirke der Vorfall wie eine Kampagne und nicht wie eine Serie unglücklicher Einzelfälle.
Anfang November traf ein vergleichbarer Angriff Kühl- und Gefriersysteme in Filialen weiterer Länder: Belgien, Estland, Deutschland, Irland, Luxemburg, Niederlande, Polen, Portugal, Spanien und Schweden. Etwa zeitgleich nahmen Angreifer die Kühlung von drei Blutbanken des französischen Blutspendedienstes ins Visier; der Angriff wurde gestoppt, bevor Blutplasma Schaden nahm.
Dass ein Cyberangriff derart unmittelbar auf die Lebensmittelversorgung durchschlägt, ist höchst ungewöhnlich und nahezu beispiellos. Angriffe auf Lieferketten insgesamt haben in den vergangenen Jahren jedoch zugenommen – vom Angriff auf die Colonial Pipeline im Jahr 2021 über das jüngste iranische Vorgehen gegen Treibstoff-Überwachungssysteme in den USA bis zum Vorfall bei Change Healthcare 2024.
Piotr Buliński, CTO des IoT-Geräteverwaltungsanbieters Qbee, verweist auf die schiere Masse unbeaufsichtigter Systeme: Eine Supermarktkette betreibe tausende kleine OT-Systeme für Kühlung, Lüftung und Klimatisierung sowie Gebäudeleittechnik. „Jedes einzelne ist ,nur ein paar Controller’, also behandelt es niemand als kritische Infrastruktur", sagt er. „Fallen sie aber aus, ist der Schaden sofort da und physisch."
Das Aktualisieren von OT-Systemen ist für sich genommen schwierig, weil dafür meist Ausfallzeiten nötig sind. Ein großer Teil der Technik, die industrielle Prozesse trägt, ist für einen Dauerbetrieb über Jahre, teils Jahrzehnte ausgelegt. Zugleich zählen zu den Betreibern oft Organisationen ohne eigenes Sicherheitspersonal – Kommunen etwa oder eben Supermärkte. Trotz spezialisierter Anbieter, die sich dieser Probleme angenommen haben, tun sich viele Organisationen weiterhin schwer damit, OT abzusichern.
St. Myers zufolge hat OT im Einzelhandel historisch weniger Sicherheitsaufmerksamkeit erfahren als klassische Industrieumgebungen, obwohl dieselben Grundrisiken bestehen. Ein Grund dürfte sein, dass Kühl-, Lüftungs- und Gebäudeleittechnik „häufig außerhalb der klassischen IT-Sicherheitsorganisation ausgerollt und gewartet" werde, obwohl es sich um OT handele.
Plank schlägt als Gegenmaßnahme vor, Befehle direkt auf Geräteebene gegen technische Grenzwerte zu prüfen: „Kein Gefriergerät sollte jemals einen Befehl auf 50 °C annehmen, egal wer ihn sendet und über welchen Kanal er eintrifft." Er spielt damit auf die extremen Temperaturen an, die betroffene Geräte während der Angriffe erreichten.
Für Organisationen außerhalb des unmittelbar betroffenen Kreises lassen sich mehrere Lehren ziehen: keine Standardpasswörter verwenden, erfassen, wo und wie industrielle Technik aus dem Internet erreichbar ist, diese Erreichbarkeit nach Möglichkeit entfernen und sämtliche Zugangspunkte absichern.
Rafe Pilling, Senior Director Threat Research bei Sophos, sieht den Vorfall als Warnsignal für den Einzelhandel: „Industrielle Systeme, von der Energieerzeugung über die Wasserwirtschaft bis zur Lebensmittelkühlung, müssen abgesichert werden – und dürfen zumindest nicht über das Internet für böswillige Hacker erreichbar sein."