Главное в материале

  • Атаки 2–3 ноября затронули супермаркеты девяти стран ЕС и банки крови во Франции через уязвимости контроллеров Danfoss AK-SM
  • Lupovis зафиксировала 276+ попыток разведки от 91 злоумышленника с 20 по 30 октября
  • ENISA не назвала инциденты кибератакой; версии о виновных расходятся — от государственного игрока до подростков

Что произошло

2 и 3 ноября были атакованы холодильные системы супермаркетов в девяти европейских странах, а также несколько банков крови во Франции. Злоумышленники воспользовались слабой защитой и уязвимостями в менеджере холодильных систем AK-SM производителя Danfoss: холодильники и морозильники переводились в режим оттайки, в отдельных случаях температура поднималась до 50 градусов Цельсия. Магазинам пришлось выбрасывать испорченные продукты. По данным Euronews, доступ часто получали через страницы входа в открытом интернете, используя уже устранённые уязвимости и заводские пароли вроде «Supervisor» и «12345».

Разведка перед атакой и версии о виновных

Компания Lupovis, использующая сеть «ловушек» (honeypots), сообщает, что с 20 по 30 октября зафиксировала волну разведки: более 276 попыток от 91 злоумышленника, совпадающих по компонентам контроллеров Danfoss, с пиком 26 октября. Датчики компании в Южной Америке, Африке, Северной Америке и Азии аналогичной активности не зафиксировали — только в Европе. Гендиректор компании Ксавьер Беллекенс указывает на использование «bulletproof-хостинга», ранее применявшегося российскими группами, и на способность координировать атаку в течение 24 часов: по его словам, это «выглядит как хорошо спланированная операция», и «вполне может быть Россия». При этом сама компания подчёркивает, что расположение серверов не указывает на национальность пользователей. Технологический редактор The Grocer Джордж Нотт предостерегает от поспешных выводов: без требования выкупа или заявления об ответственности виновными «могут быть кто угодно — от спонсируемого государством актёра до компании подростков, делающих это ради забавы».

Оценки инцидента расходятся

Национальные агентства кибербезопасности по-разному описали произошедшее: Бельгия, Люксембург, Италия, Португалия и Эстония назвали это «кибератакой», Швеция и Ирландия — «киберинцидентом». Агентство ЕС по кибербезопасности ENISA в совместном заявлении также воздержалось от того, чтобы прямо называть инциденты кибератакой.

Почему системы остались уязвимыми и что дальше

По мнению Беллекенса, многие системы можно было бы защитить, разместив их в VPN вместо прямого подключения к интернету. Эксперты указывают, что риск выходит за пределы розницы: те же небольшие подключённые контроллеры управляют дверями, камерами, сигнализацией и вентиляцией в зданиях, а также системами логистики, здравоохранения и дата-центров. Гендиректор Acre Security Кумар Сокка считает, что проблема не в отсутствии регулирования — директива ЕС NIS2 уже требует управлять такими рисками, — а в том, что организации ограничивают её применение классическими ИТ-системами, оставляя оборудование зданий службам эксплуатации. Основатель Exein Джанни Куццо предупреждает, что ИИ сокращает время между обнаружением уязвимости и созданием рабочей атаки, и призывает, чтобы устройства умели самостоятельно блокировать несвойственное им поведение, а не полагались только на обновления.