Invasores alteraram remotamente as configurações de controladores de refrigeração em supermercados da Bélgica, da Suécia, da Estônia e de outros países europeus durante a madrugada de segunda-feira, 2 de novembro, aquecendo geladeiras e freezers.
Nenhuma rede de supermercados informou mais de algumas dezenas de lojas afetadas, e algumas precisaram descartar alimentos resfriados e congelados ou retirá-los das prateleiras. A Danfoss, fabricante dinamarquesa de controladores de refrigeração, disse que seus produtos estiveram envolvidos, assim como ocorreu três semanas antes, quando invasores atingiram centenas de supermercados franceses.
Até a noite de segunda-feira, ninguém havia reivindicado os ataques, e não se sabia se eles estavam ligados à ofensiva na França.
Os controladores de refrigeração são computadores que comandam as geladeiras e os freezers de uma loja. Eles podem estar conectados à internet, o que permite que técnicos de manutenção em refrigeração os monitorem e corrijam falhas remotamente.
Na Bélgica, invasores colocaram unidades de resfriamento no modo de descongelamento, afirmou Stephan Moelans, diretor-executivo da empresa de manutenção em refrigeração Sabcobel, em entrevista à imprensa belga. O modo de descongelamento serve para eliminar o gelo, mas, nesses ataques, fez as unidades esquentarem em vez de manter os alimentos frios. A Sabcobel administra os sistemas de refrigeração da rede de supermercados Delhaize.
Em outros casos, a temperatura foi elevada. Uma loja da ICA em Sjöbo, no sul da Suécia, informou que suas geladeiras e freezers tinham sido ajustados para 50°C e que a equipe estava descartando os produtos afetados.
Em um supermercado Selver na Estônia, um freezer foi configurado para 50°C, disse Jann Mutso, diretor-executivo da fornecedora de refrigeração Kitman Coldtech. A temperatura subiu apenas cerca de 2 a 3°C, e o problema foi resolvido em cerca de 10 minutos, sem que nenhum produto fosse danificado.
A página de alertas de segurança da Danfoss não listava nenhum aviso sobre os ataques quando o The Hacker News verificou, em 3 de novembro. As orientações mais detalhadas para os operadores continuam sendo as do alerta de outubro do CERT-FR (centro de resposta a incidentes de cibersegurança da agência nacional de cibersegurança da França).
Quais empresas afirmam ter sido atingidas
Cada empresa descreveu o incidente com suas próprias palavras, e nem todas o chamaram de ataque cibernético.
No açougue De Laet & Van Haver, em Hove, ao sul de Antuérpia, as geladeiras foram ajustadas para até 18°C, afirmou o proprietário Luc De Laet à Reuters. Ele estimou que cerca de 15 mil euros em carne foram perdidos.
Nas 13 lojas SuperValu, da Musgrave, produtos resfriados e congelados foram retirados de venda como medida de precaução. Na segunda-feira à tarde, a empresa informou que o incidente havia sido resolvido e que a reposição dos produtos estava em andamento.
O que as empresas dizem sobre os equipamentos e a porta de entrada
Vários dos sistemas atingidos foram fabricados pela Danfoss. Todas as lojas afetadas da ICA estavam conectadas a um sistema externo de controle de refrigeração fornecido pela Danfoss, afirmou um porta-voz da ICA à agência AFP. Na Estônia, os invasores acessaram o computador de controle de um sistema Danfoss mais antigo, disse Mutso.
A Danfoss não é citada em todos os casos. O comunicado da Musgrave não informou o fabricante do modelo afetado.
Um açougueiro belga afetado disse à emissora holandesa NOS que equipamentos de um segundo fabricante, a Copeland, também foram atacados na Bélgica. A Copeland não deu uma resposta clara à emissora sobre os ataques.
Os sistemas holandeses atingidos não estavam em uma rede segura e ainda usavam senhas padrão, afirmou um porta-voz da Danfoss à NOS. A maioria das lojas do país havia tomado medidas após o ataque na França, mas algumas não tinham feito isso, e foram justamente essas as atingidas.
A Danfoss também disse à emissora belga VTM que a fragilidade está sobretudo em softwares desatualizados e que os clientes que não haviam feito atualizações foram afetados, segundo a Euronews.
A Sabcobel conhece cerca de 20 unidades afetadas entre as centenas que administra na Bélgica. Nos casos belgas, os invasores acessaram os sistemas de supermercados individuais, e não os das empresas de manutenção, afirmou Moelans à imprensa belga. A Sabcobel havia orientado as lojas a proteger suas conexões de internet, e muitas, mas não todas, fizeram isso.
Mutso afirmou que controladores antigos, que não haviam sido atualizados, estavam sendo visados. A Selver disse que a loja atingida era a última que ainda não havia sido migrada para um novo sistema. A ICA informou à NBC News que seus próprios sistemas não foram afetados e que as lojas atingidas usavam um fornecedor externo e estavam conectadas a uma rede fora da rede central da empresa.
O Centro de Cibersegurança da Bélgica informou aos jornalistas, na segunda-feira, que não tinha mais informações. O Centro Nacional de Cibersegurança da Suécia não disse, em seu aviso, como os invasores conseguiram entrar.
O que os operadores podem fazer
O alerta do CERT-FR abrange os controladores das séries AK-SM e AK-SC, da Danfoss, além dos modelos xweb, da Copeland, e xweb, da Dixell. O alerta afirma que as campanhas de ataque contra esses dispositivos provavelmente ainda estão em andamento. Quando o The Hacker News verificou, em 3 de novembro, o alerta havia sido atualizado pela última vez em 16 de outubro.
Para dispositivos que não foram comprometidos, as etapas são:
- Certifique-se de que os dispositivos não possam ser acessados pela internet, inclusive qualquer dispositivo com endereço IP (identificador numérico na rede) público. Verifique seu contrato de seguro antes de cortar a transmissão de dados para a empresa de manutenção em refrigeração.
- Revise toda a configuração, especialmente os cronogramas de descongelamento.
- Restabeleça o acesso somente por meio de uma rede privada virtual (VPN) segura ou de uma rede protegida. Em caso de emergência, é possível filtrar os endereços IP dos técnicos em um firewall (sistema de filtragem de tráfego), mas essa não deve ser uma solução permanente.
- Siga as boas práticas do fabricante, como atualizar o firmware (software interno do equipamento). Nos dispositivos Danfoss, configure o nível de segurança como Strict e confirme que as senhas padrão foram alteradas.
Para um dispositivo que foi comprometido, há mais duas etapas: reiniciar o equipamento Danfoss ou restaurá-lo para as configurações de fábrica e, em seguida, reconfigurá-lo antes de colocá-lo de volta em operação.
Equipamentos em fim de vida, que não recebem mais correções de segurança, têm grande probabilidade de serem comprometidos se permanecerem conectados à internet, alerta o CERT-FR. Uma restauração de fábrica sozinha deixa esses equipamentos vulneráveis a novos ataques. Em outubro, a Danfoss afirmou que a maioria das unidades atingidas na França eram modelos antigos que a empresa não atualiza mais, como o AK-SM 800 e o AK-SC 355.
Em 13 de outubro, a Danfoss orientou clientes holandeses a desconectar seus sistemas da internet e reconectá-los apenas por meio de uma rede segura. A empresa também vinha trabalhando com os clientes para implementar correções.
O Centro Nacional de Cibersegurança da Suécia orientou as organizações a listar quais dispositivos estão conectados à internet, decidir se cada um precisa estar conectado e manter atualizados e protegidos com múltiplas camadas de segurança aqueles que permanecerem conectados.
Moelans afirmou que uma atualização de software sozinha não é suficiente, porque as instalações precisam de mudanças físicas que custam dinheiro. A solução mais simples é uma conexão segura de internet para o gerenciamento das geladeiras, adotada pela maioria dos clientes da Sabcobel após o ataque na França.
Quem está por trás
A Danfoss afirmou que os ataques holandeses eram do mesmo tipo do ocorrido na França, a Sabcobel disse que o mesmo método foi usado na Bélgica, e a Kitman afirmou que o método na Estônia era semelhante. Um método em comum não comprova que as mesmas pessoas realizaram os dois ataques.
O Centro de Cibersegurança da Bélgica afirmou na segunda-feira que não se sabe quem está por trás dos ataques e que “pode nunca ser determinado”.
O Ministério Público federal da Bélgica abriu uma investigação criminal, confirmou à emissora VRT. O Centro Nacional de Cibersegurança da Suécia afirmou na segunda-feira que acompanha os incidentes e compartilha informações com agências de outros países nórdicos e europeus.
