Dopo il cyberattacco ai sistemi di refrigerazione dei supermercati francesi, il problema riguarda anche come proteggere gli impianti ancora in servizio. Un pannello accessibile da Internet permette ai tecnici di controllare temperature e allarmi senza raggiungere il punto vendita, ma può offrire agli aggressori un ingresso verso apparecchiature dalle quali dipende la conservazione degli alimenti.
L’allerta del CERT-FR, il centro francese per la risposta agli incidenti informatici, è stata aggiornata il 16 ottobre. Comprende i controllori Danfoss delle serie AK-SM e AK-SC e i sistemi Copeland XWEB e Dixell XWEB, con indicazioni per limitare il rischio di nuove compromissioni.
Quando un comando informatico danneggia prodotti e impianti
Nella notte tra l’11 e il 12 ottobre, l’attacco ha alterato il funzionamento degli impianti frigoriferi di numerosi supermercati francesi, tra cui punti vendita Intermarché e Coopérative U. Le conseguenze hanno incluso il deterioramento di prodotti freschi e surgelati, lo svuotamento dei banchi e gli interventi necessari per ripristinare il servizio.
È un esempio di attacco a un sistema cyber-fisico: un dispositivo nel quale il software controlla un processo reale. Modificare una temperatura o prolungare lo sbrinamento può interrompere la catena del freddo e rendere gli alimenti invendibili.
Vladimir Dashchenko, ricercatore di sicurezza di Kaspersky, richiama l’attenzione sulle protezioni di questi apparati: gestione delle password, autenticazione, aggiornamenti e sicurezza del software durante il suo sviluppo. Sono considerazioni generali sul settore, da distinguere dalle cause specifiche dell’attacco, ancora da ricostruire completamente.
Migliaia di interfacce raggiungibili online
Motori di ricerca specializzati come Shodan e Censys individuano servizi e dispositivi raggiungibili su Internet. Possono quindi mostrare anche interfacce di gestione di impianti industriali che gli amministratori hanno lasciato esposte per consentire la manutenzione remota.
Nella ricerca sui controllori Danfoss AK-SM 800A, gli specialisti di Claroty Team82 hanno individuato migliaia di interfacce pubblicamente accessibili. Questo dato descrive l’esposizione alla rete: non significa che ogni dispositivo individuato sia vulnerabile o sia stato violato.
Il vantaggio per un aggressore è comunque evidente: può cercare un punto debole direttamente nell’interfaccia raggiungibile dall’esterno, senza dover prima entrare nella rete interna del supermercato.
Le vulnerabilità note e ciò che resta da chiarire
La ricerca di Claroty descrive problemi che possono consentire di aggirare l’autenticazione o eseguire comandi da remoto sui sistemi interessati. Danfoss ha pubblicato un aggiornamento correttivo per la piattaforma analizzata.
Non è però accertato che quelle specifiche vulnerabilità siano state utilizzate nell’attacco francese. Occorre distinguere tra una falla documentata, un’installazione non aggiornata e il metodo effettivamente impiegato per comprometterla.
Per chi gestisce un impianto, la verifica deve quindi partire da modello, versione del software e disponibilità del supporto del produttore.
Come proteggere l’accesso dei manutentori
Le raccomandazioni aggiornate del CERT-FR indicano di rimuovere l’esposizione diretta su Internet e consentire l’accesso remoto attraverso una VPN sicura o una rete protetta. Il filtraggio degli indirizzi dei manutentori può essere una misura d’emergenza, ma non viene considerato una soluzione definitiva.
L’ente raccomanda inoltre di controllare la configurazione, in particolare gli intervalli di sbrinamento, applicare gli aggiornamenti e sostituire le password predefinite. Sono interventi da concordare con chi cura la manutenzione, verificando anche la continuità della trasmissione degli allarmi.
Perché ripristinare il dispositivo può non bastare
Un apparato compromesso richiede il ripristino del funzionamento e la correzione delle condizioni che hanno consentito l’accesso. Il CERT-FR avverte che il solo ripristino di fabbrica è insufficiente se il sistema rimane vulnerabile ed esposto.
Per i dispositivi arrivati a fine supporto, occorre valutare con il fornitore protezioni di rete e sostituzione. Al momento dell’acquisto di nuovi sistemi, durata degli aggiornamenti, gestione degli accessi e assistenza sulle vulnerabilità incidono sulla continuità del servizio quanto le funzioni di controllo dell’impianto.
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di Macitynet.
