Nikt nie ma pewności, kto i dlaczego. Celem nie są już tylko markety

W ostatnich dniach w Europie doszło do kilku groźnych incydentów związanych z bezpieczeństwem urządzeń. Awarie lodówek wywołane w zeszłym tygodniu we Francji były najpewniej jedynie elementem większej kampanii cyberprzestępców. W poniedziałek 2 listopada ta fala dotarła do innych państw Europy. W tym do Polski. W markecie Auchan na olsztyńskim osiedlu Nagórki od rana nie działały lodówki. Awarię potwierdzili w rozmowie z WP Finanse pracownicy sklepu.

Według relacji personelu temperatura w urządzeniach dochodziła do 30 stopni Celsjusza, a mięso i wędliny w większości trafiły do utylizacji. Rzeczniczka Auchan Polska Marta Moleń potwierdziła nieprawidłowości w systemach sterowania chłodzeniem w trzech sklepach sieci, w Olsztynie, Poczesnej pod Częstochową i Sosnowcu. W wypowiedzi dla serwisu Niebezpiecznik sieć przyznała, że puste chłodziarki to skutek ataków hakerskich.

Tego samego dnia problemy z chłodzeniem zgłosiły sieci handlowe w kilku krajach Europy, m.in. irlandzka SuperValu, szwedzkie ICA i Coop oraz Ahold Delhaize w Belgii i Luksemburgu. W części sklepów temperatura w zamrażarkach sięgała 50 stopni Celsjusza. Incydenty zgłaszano także z Estonii, Holandii, Finlandii i Włoch. To już druga fala takich cyberataków. W połowie października przestępcy przejęli kontrolę nad urządzeniami chłodniczymi setek francuskich sklepów, m.in. Intermarché i Carrefour. Straty według szacunków branży sięgnęły dziesiątek milionów euro.

Wicepremier i minister cyfryzacji Krzysztof Gawkowski przekazał money.pl, że w Polsce zidentyfikowano dotąd 140 lodówek podatnych na tego typu ataki. Większość firm, które z nich korzystają, odłączyła je od internetu. Według danych firmy Forescout, na które powołała się "Rzeczpospolita", Polska odpowiada za ok. 6 proc. z 13 tys. publicznie dostępnych interfejsów systemów chłodniczych na świecie. Daje jej to piąte miejsce, za Francją, USA, Hiszpanią i Belgią.

Odpowiedzialność za ataki przypisały sobie dwie prorosyjskie grupy, Z-Pentest i NoName057(16). Jak podała duńska telewizja TV 2, ogłosiły one na Telegramie, że przejęły hasła pracowników i klientów firmy Danfoss, duńskiego producenta termostatów. Duńska agencja ds. bezpieczeństwa społecznego i gotowości oceniła, że na tym etapie jest za wcześnie, by to potwierdzić. Danfoss przekazał z kolei, że nic nie wskazuje na naruszenie jego wewnętrznej infrastruktury informatycznej.

Niebezpiecznik podkreśla, że wciąż nie wiadomo, kto naprawdę stoi za atakami ani po co je przeprowadza. Zdaniem autorów serwisu nie wywołują one paniki, bo ich skala jest mimo wszystko niewielka, a wpływ na ludność znikomy. Ich głównym skutkiem jest zmarnowana żywność.

Przyzwyczailiśmy się myśleć o cyberprzestępcach jako o ludziach, którym chodzi przede wszystkim o pieniądze. Tymczasem cyberprzestrzeń jest również narzędziem sabotażu, destabilizacji i wywoływania niepokoju społecznego. Atakujący nie zawsze musi chcieć zarobić, czasem motywacją jest ideologia lub zakłócenie działania instytucji albo podważenie zaufania do państwa – mówi w rozmowie z money.pl Łukasz Tymek, ekspert ds. cyberbezpieczeństwa OT w ABB w Polsce.

– Nie wiemy, jakie motywy stały za ostatnimi incydentami we Francji, ale pokazują one, jak poważne mogą być konsekwencje ingerencji w pozornie zwykłe urządzenia techniczne. Dlatego cyberbezpieczeństwo nie może ograniczać się do ochrony danych i pieniędzy. Powinno obejmować również bezpieczeństwo procesów fizycznych, od których zależy funkcjonowanie społeczeństwa – podkreśla.

Ataki nie ograniczają się do handlu. W nocy z 1 na 2 listopada hakerzy włamali się do systemów firmy Coolworld, która obsługuje chłodnictwo francuskiej służby krwi Établissement français du sang. Jej placówki w regionie Burgundia-Franche-Comté przechowują m.in. mrożone osocze. Nastawy urządzeń zmieniono z ok. minus 30 na 110 stopni Celsjusza. Wzrost temperatury zauważył nocny technik, a personel przeniósł zagrożone produkty w bezpieczne miejsce. Francuskie ministerstwo zdrowia zapewniło, że incydent wykryto na czas.

– Jeszcze kilka tygodni temu cyberataki na instalacje chłodnicze supermarketów oznaczały przede wszystkim straty finansowe sieci handlowych i niedogodności dla klientów. Dziś podobne zagrożenia dotykają systemów przechowywania produktów wykorzystywanych do ratowania ludzkiego życia. Technologia bywa bardzo podobna, metody ataku też, ale potencjalne konsekwencje społeczne są nieporównywalnie większe – zauważa Tymek.

– Pytanie nie brzmi już tylko, co będzie następne, ale czy wyciągamy wnioski z kolejnych incydentów. Bo nie chodzi już wyłącznie o ochronę danych, ale także o kluczową infrastrukturę naszego codziennego życia. Tego typu systemy funkcjonują bowiem również w aptekach, bankach tkanek i szpitalach – dodaje ekspert ABB.

Ten sam wątek porusza Niebezpiecznik. Według serwisu ataki dotyczą sterowników firmy Danfoss, a ich początki sięgają końca wakacji, gdy celem stały się bazy armii amerykańskiej. Później fala przetoczyła się przez Europę. Serwis odnotowuje doniesienia, że ofiarą padły nie tylko sklepowe chłodziarki, lecz także urządzenia do przechowywania krwi i osocza i stawia pytanie, czy nie jest to już atak na infrastrukturę krytyczną. Gawkowski zwraca natomiast uwagę, że podobny sprzęt wykorzystują nie tylko supermarkety, lecz także prywatne firmy.

– Ostatnie ataki na urządzenia "smart" (IoT) unaoczniają przeciętnemu człowiekowi coś, co dla ekspertów jest oczywiste od wielu lat – coraz więcej urządzeń jest podłączonych do sieci, choć ich pierwotne funkcje wcale tego nie wymagają. Lodówki, pralki, czajniki czy oświetlenie są podłączane do Internetu dla wygody czy też optymalizacji działania. Przyjemnie jest przecież przyjechać w zimie do nagrzanego wcześniej domu – mówi w rozmowie z money.pl Robert Ługowski, Cybersecurity Architect w Safesqr.

Niebezpiecznik przypomina, że na wgranie poprawek bezpieczeństwa było sporo czasu, bo ok. roku. Serwis nie wyklucza jednak, że ataki z bieżącego tygodnia wykorzystują nową podatność, którą ktoś znalazł w kodzie sterownika po pierwszej fali ataków sprzed dwóch tygodni. Autorzy stawiają hipotezę, że luk w kodzie mogły szukać modele sztucznej inteligencji, a agenci AI wymknęli się spod kontroli bez wiedzy swojego operatora. Zastrzegają, że brzmi to mało prawdopodobnie, ale ostatni miesiąc mocno zmienił w cyberbezpieczeństwie granice tego, co prawdopodobne.

– Każde takie urządzenie powinno być jednak traktowane z podobną uwagą co sprzęt w klasycznie rozumianym IT. Na swoje komputery wgrywamy przecież poprawki bezpieczeństwa, zmieniamy hasła i używamy odcisków palca do odblokowania telefonów – dlaczego więc nie zadbać o urządzenie IoT, które niezabezpieczone i wykorzystane przez atakującego może doprowadzić do niepożądanego przez nas zdarzenia, np. zablokowania dostępu do pomieszczenia, wywołania pożaru itp.? – pyta Ługowski.

Zalecenia instytucji publicznych idą w podobnym kierunku. CERT Polska rekomenduje ograniczenie bezpośredniego dostępu do urządzeń z internetu i zmianę domyślnych haseł, a Główny Inspektorat Sanitarny zaleca przedsiębiorcom regularne, niezależne pomiary temperatury przechowywanej żywności. Gawkowski zaznacza, że firmy nie mogą polegać wyłącznie na zapewnieniach dostawców sprzętu, a każde naruszenie bezpieczeństwa należy zgłaszać do CERT Polska.

– W wielu organizacjach może powstawać niebezpieczna luka odpowiedzialności: dział IT chroni komputery i sieci, a instalacjami technicznymi zajmują się służby utrzymania obiektu lub zewnętrzni serwisanci. Tymczasem współczesne urządzenia techniczne są coraz częściej podłączone do sieci i stają się częścią tego samego krajobrazu cyberzagrożeń. Nie można oczekiwać, że informatyk odpowiedzialny za komputery, drukarki i serwery będzie jednocześnie ekspertem od bezpieczeństwa automatyki przemysłowej – wskazuje Łukasz Tymek.

– To zupełnie inna dziedzina, wymagająca dodatkowych kompetencji. Co więcej, nawet dobrze zabezpieczona organizacja może ponieść konsekwencje słabości u zewnętrznego dostawcy. Cyberbezpieczeństwo OT nie jest więc kolejnym zadaniem dla informatyka, lecz wspólną odpowiedzialnością zarządzających, specjalistów IT, służb technicznych i dostawców technologii – dodaje.

Według Niebezpiecznika najlepiej wyszli na tym ci, którzy niezależnie od instalowania poprawek ukryli tego typu infrastrukturę za VPN, czyli wirtualną siecią prywatną. Serwis podkreśla, że tak należało postępować od zawsze. Radzi też, by nie podłączać do internetu urządzeń przechowujących żywność czy osocze, a jeśli jest to konieczne, chronić je VPN-em.

– Sporo do zrobienia mają również producenci sprzętu IoT – powinni zapewnić regularne aktualizacje, ale również budować świadomość użytkowników o konieczności instalacji uaktualnień. Unijne rozporządzenie CRA nakazuje zapewnienie przez producenta aktualizacji przez 5 lat, jednak wchodzi w pełni w życie dopiero pod koniec 2027 r. – zaznacza ekspert Safesqr.

– Finalnie, wyposaży ono użytkowników w możliwości zadbania o własne bezpieczeństwo. Podmioty profesjonalnie zajmujące się cyberbezpieczeństwem i duże organizacje przywitają te możliwości z otwartymi rękami, lecz użytkownik końcowy, niezależnie od tego, czy jest to przysłowiowy Kowalski czy sklep osiedlowy, musi również być świadomy ryzyka płynącego z wykorzystania urządzeń "smart". Takie ataki będą się powtarzać i powinniśmy zarówno indywidualnie, jak i jako społeczeństwo przygotować się na ich wystąpienie i nauczyć się radzić sobie z ich skutkami – mówi Ługowski.