Tủ lạnh 350 siêu thị Pháp bị nung tới 50°C, 4.500 bộ điều khiển Danfoss vẫn lộ trên mạng

Kẻ tấn công đã chiếm quyền điều khiển từ xa các tủ lạnh và tủ đông tại ít nhất 350 siêu thị ở Pháp trong đêm, chuyển chúng sang chế độ xả đá và để nhiệt độ tăng lên tới 50°C (122°F). Tại Intermarché, tủ lạnh ở khoảng 150 cửa hàng duy trì mức nhiệt đó suốt sáu giờ, khiến toàn bộ hàng hóa bên trong phải bị tiêu hủy. Lối xâm nhập nằm ở thiết bị điều khiển toàn bộ các dãy tủ lạnh trong một cửa hàng: bộ điều khiển Danfoss do các nhà thầu điện lạnh quản lý qua internet.

Với người mua sắm, sự việc đồng nghĩa với những dãy tủ đông đóng cửa và cảnh nhân viên ở trung tâm Paris đổ từng xe đầy thịt đã rã đông cùng kem tan chảy vào những thùng rác khổng lồ. Nhưng vấn đề không chỉ dừng lại ở nước Pháp. Dùng công cụ tìm kiếm Shodan, Reuters phát hiện ít nhất 4.500 giao diện Danfoss vẫn hiển thị trên mạng sau vụ tấn công; công ty quét mạng của Pháp Onyphe cho biết chỉ một số rất ít dường như đang chạy phần mềm mới nhất.

Carrefour ghi nhận 80 siêu thị bị ảnh hưởng, còn Monoprix cho biết khoảng 5% trong tổng số gần 490 cửa hàng tại Pháp gặp sự cố. Coopérative U cũng bị tấn công, dù Tổng giám đốc Dominique Schelcher nói rằng chuỗi lạnh tại phần lớn cửa hàng bị ảnh hưởng vẫn được duy trì nhờ nhân viên và các nhà thầu phản ứng nhanh chóng. E.Leclerc cho biết một trong những nhà cung cấp dịch vụ điện lạnh của họ đã bị tấn công. Văn phòng công tố Paris thông báo có thiệt hại về thực phẩm và một số thiết bị bắt đầu bốc cháy. Thierry Cotillard, người đứng đầu Les Mousquetaires, công ty mẹ của Intermarché, nói với BFMTV rằng thiệt hại trên toàn quốc chỉ trong một ngày sẽ lên tới “hàng chục triệu euro”.

Danfoss cho biết nhiều thiết bị bị tấn công đã “hết vòng đời và không còn nhận được các bản cập nhật phần mềm hoặc bảo mật”, trong khi những thiết bị khác “đang chạy phần mềm nhúng lỗi thời”. Công ty nêu tên hai mẫu cũ là AK-SM 800 và AK-SC 355, cả hai đã ngừng sản xuất từ nhiều năm trước; một số bộ điều khiển AK-SM 800A hiện hành nhưng dùng phần mềm nhúng cũ cũng bị ảnh hưởng. Cơ quan An ninh mạng quốc gia Pháp (ANSSI) cũng nêu tên phần mềm của Copeland và thương hiệu Dixell thuộc công ty này trong số các hệ thống bị tác động. Copeland thừa nhận có “lỗ hổng” và cho biết: “Hiện chúng tôi đang phối hợp với các khách hàng bị ảnh hưởng để giảm thiểu rủi ro.”

Hệ thống làm lạnh siêu thị được kết nối mạng vì một lý do rất thực tế: nhà thầu có thể điều chỉnh nhiệt độ, xóa cảnh báo và thay đổi chu kỳ xả đá mà không cần đến tận cửa hàng. CERT-FR, đội ứng cứu khẩn cấp của chính phủ, đã yêu cầu tất cả đơn vị vận hành bộ điều khiển Danfoss AK-SM và AK-SC ngắt kết nối thiết bị hoặc giới hạn thật chặt những ai có thể truy cập. Theo AFP, Vincent Strubel, Giám đốc ANSSI, gọi đây là bước đi cấp bách.

Hiện vẫn chưa ai có thể khẳng định kẻ tấn công đã xâm nhập bằng cách nào, hay động cơ của chúng là gì. Chưa nhóm nào nhận trách nhiệm và cũng không có yêu cầu tiền chuộc, khiến các điều tra viên bối rối, theo một nguồn tin được Reuters dẫn lời. CERT-FR chưa nêu lỗ hổng, phiên bản phần mềm nhúng hay dấu hiệu xâm nhập cụ thể nào để các đơn vị vận hành kiểm tra; những lỗ hổng mà công ty an ninh mạng Claroty công bố trong mẫu AK-SM 800A cũng chưa được xác định là có liên quan đến vụ tấn công. Các chủ sở hữu những mẫu cũ nhất không có bản vá nào để cài đặt, nên giải pháp thực sự là thay thiết bị mới, mua qua chính những nhà thầu từng lắp đặt các hộp điều khiển cũ. “Đây là vấn đề về những nguyên tắc cơ bản của vệ sinh an ninh mạng,” Ken Munro của Pen Test Partners nói. “Làm sai là sẽ có một đống thực phẩm rã đông bốc mùi.” Ông nói thêm rằng kẻ tấn công chỉ cần đẩy vào một cánh cửa vốn đã mở toang, và thủ phạm rất có thể chỉ là “mấy đứa trẻ nghịch phá”.

Có thể Pháp không phải nước duy nhất bị ảnh hưởng. Félix Aimé, nhà phân tích tình báo mối đe dọa tại Sekoia, nói với Reuters rằng Tây Ban Nha, Bồ Đào Nha, Ba Lan, Đức và Bỉ cũng gặp sự cố, nhưng không cung cấp chi tiết; ANSSI đang liên hệ với các cơ quan ở những nơi khác tại châu Âu. Cùng thời điểm đó, một sự cố riêng khiến các dịch vụ mua hàng tạp hóa trực tuyến của nhà bán lẻ Hà Lan Ahold Delhaize ngừng hoạt động, nhưng Trung tâm An ninh mạng Hà Lan (NCSC) không thấy mối liên hệ giữa hai vụ việc. Trước đây cũng từng có những sự cố tương tự: tủ lạnh tại khoảng một chục cửa hàng cung ứng của quân đội Mỹ bị gián đoạn theo cách tương tự vào cuối tháng 8, còn bản tin khách hàng của chính Danfoss ghi nhận các vụ tấn công nhằm vào 16 siêu thị ở Nga và 40 cửa hàng tại Israel trong năm 2022.

Vụ tấn công bắt đầu vào đêm Chủ nhật, ngày 11 tháng 10, và CERT-FR phát cảnh báo vào ngày hôm sau. Danfoss tuyên bố mẫu AK-SM 800 hết vòng đời vào tháng 5 năm 2021 và ngừng sản xuất AK-SC 355 vào năm 2016, trong khi Claroty công bố nghiên cứu về mẫu mới hơn vào ngày 9 tháng 8. Bộ phận chống tội phạm mạng thuộc Văn phòng Công tố Paris đã mở cuộc điều tra do cơ quan chống tội phạm mạng OFAC phụ trách, nhằm thống kê số nạn nhân và xác định thiệt hại nào liên quan đến vụ tấn công. Liên đoàn bán lẻ Pháp FCD đã yêu cầu Danfoss “minh bạch hoàn toàn”. Cho đến khi các điều tra viên tìm ra lối xâm nhập, biện pháp rẻ nhất trong danh sách của CERT-FR không cần đến bản vá nào: ngắt bộ điều khiển khỏi internet.

Thẻ: Pelé, Cher, bảo mật IoT, tấn công mạng, ANSSI, Carrefour