Hackers atacam sistemas de refrigeração de supermercados na Europa; investigação revela quase 13 000 controlos expostos online em 99 países, de supermercados a hospitais e explorações agrícolas, muitos com software desatualizado
Um ciberataque atingiu os sistemas de refrigeração de dezenas de supermercados belgas, obrigando as lojas a deitar fora alimentos no valor de cerca de 100 000 €.
PUBLICIDADE
PUBLICIDADE
Cerca de 40 supermercados Delhaize foram afetados, bem como pelo menos 15 lojas Carrefour, cinco estabelecimentos Spar e o grupo de talhos De Laet en Van Haver. Segundo os meios de comunicação belgas, as temperaturas dos frigoríficos chegaram a atingir 70 ºC.
Um porta-voz da Delhaize disse à Euronews que a empresa tinha “identificado um incidente informático que afeta os sistemas de refrigeração em várias dezenas de lojas”.
Foram igualmente registados problemas em várias lojas da cadeia sueca ICA. O ataque surge na sequência de um incidente semelhante em 12 de outubro, quando centenas de supermercados franceses viram os seus sistemas de refrigeração ser manipulados.
Então, como é que alguém consegue assumir o controlo de um frigorífico ou de um congelador de supermercado sem estar na loja?
Porque estão os frigoríficos ligados à internet?
Os grandes sistemas de refrigeração dos supermercados são geridos por unidades de gestão centrais que controlam as temperaturas, os ciclos de descongelação e os alarmes de cada equipamento de frio e de cada congelador da loja.
Ligar estas unidades à internet é há muito uma opção suportada, de acordo com investigação publicada em outubro pela empresa de cibersegurança Forescout (fonte em inglês). Permite aos empreiteiros de refrigeração diagnosticar avarias e ajustar parâmetros remotamente, em vez de enviarem um técnico a cada loja.
A Danfoss, um dos principais fornecedores na Europa, afirma que ligar os controlos de refrigeração à internet reduz normalmente entre 15% e 30% as deslocações desnecessárias de técnicos, porque as avarias podem ser resolvidas à distância.
A empresa acrescenta que a monitorização remota permite aos supermercados manter automaticamente os registos de temperatura exigidos pelas regras de segurança alimentar, em vez de os funcionários terem de verificar manualmente cada vitrina até quatro vezes por dia.
Os próprios manuais de instalação dos fabricantes descrevem como tornar os sistemas acessíveis a partir do exterior, por exemplo configurando o router da loja para encaminhar o tráfego da internet para o controlador de refrigeração.
O problema, segundo a Forescout, é que a responsabilidade está muitas vezes fragmentada. Um empreiteiro pode gerir o software, a loja pode ser proprietária do equipamento e o departamento de TI pode administrar a ligação à internet. Se os papéis não forem claramente definidos, “nenhuma das partes poderá ter uma visão completa do serviço exposto”, escreveram os investigadores.
Alguns dos equipamentos também são antigos. Um dos controladores Danfoss envolvidos deixou de ter suporte em maio de 2021, pelo que já não recebe atualizações de segurança, ficando exposto a uma intrusão a partir de um dispositivo externo.
Qual é a dimensão do risco?
Recorrendo ao Shodan, um motor de busca que indexa dispositivos ligados à internet, a Forescout encontrou 12 976 serviços de gestão de refrigeração expostos em 6 017 endereços de internet, em 99 países e territórios.
A maioria pertencia a duas famílias de produtos: os sistemas XWEB da Copeland e da Dixell (7 075) e o StoreView da Danfoss (4 697).
Entre os serviços da Danfoss, 80% executavam firmware mais antigo do que a versão que corrige falhas de segurança conhecidas. Os números referem-se a sistemas expostos, não a sistemas que tenham sido pirateados.
O risco vai além dos supermercados. Os mesmos sistemas são utilizados na indústria de transformação de alimentos, adegas, armazéns de fruta, explorações agrícolas e equipamentos de refrigeração hospitalar.
Os atacantes não precisam de malware sofisticado. Uma vez dentro da rede, podem usar as funções normais do sistema para alterar temperaturas, desencadear ciclos de descongelação ou desligar alarmes. A Forescout nota que estas alterações podem parecer atividade rotineira.
O que pode ser feito?
A principal recomendação da Forescout é retirar os sistemas de gestão de refrigeração da internet aberta e dar aos empreiteiros acesso apenas através de ferramentas de acesso remoto seguro.
A empresa também insta os operadores a substituir equipamentos que já não recebem atualizações de segurança, eliminar palavras-passe partilhadas entre empreiteiros em favor de credenciais individuais com autenticação multifator e manter registos de quem altera informação sensível.