Bu hafta başında Fransa genelindeki yaklaşık 700 süpermarkette soğutma sistemlerine yönelik kitlesel bir saldırı gerçekleşti. Sistemler aniden arızalandı, sayısız ton bozulabilir ürün zarar gördü ve bazı mağazalarda yangın çıktı. Uzmanlara göre temel siber güvenlik önlemleri bu saldırıyı engellerdi.
Fransız yetkililer, mağaza genelinde çalışan buzdolabı ve dondurucu filolarından oluşan sistemlerin hacklendiğini söylüyor. Daha açık anlatımla, teknisyenlerin uzaktan yönetmesini sağlayan internete bağlı kontrol cihazları ele geçirildi. Kimliği belirsiz saldırganlar daha sonra çözücüyü, dolapların sıcaklığının 50°C’ye kadar yükseldiği süre boyunca çalışır halde bıraktı. Kitlesel ihlal fark edildiğinde gıda bozulmuş, bazı durumlarda elektrik sistemleri yanmıştı.
Olmaması gereken saldırılar
Birden fazla güvenlik uyarısı ve kamuya açık araştırma raporu, olayda hacklendiği bildirilen üç kontrol cihazı modelinin de kritik açıklar içerdiğini gösteriyor. Bu cihazları Danimarka merkezli Danfoss ile ABD merkezli Dixell ve ana şirketi Copeland satıyor. Açıklar, saldırganların cihazlara yönetici haklarıyla uzaktan giriş yapmasına izin veriyor. Yakın zamana kadar Danfoss kontrol cihazları her gün değişen bir kimlik bilgisi kullanıyordu. Şifre, tarihe dayalı olarak herkese açık olan firmware tarafından üretiliyor. Kodu analiz eden bir saldırgan, güncellemesi yapılmamış her cihazda aynısını yapabiliyor. Günlük şifreler yüzlerce ya da binlerce mağazadaki modellerde aynı.
Son birkaç ayda kapatılan Copeland/Dixell kontrol cihazlarındaki bir dizi kritik açık da benzer uzaktan erişim sağlıyor.
Etkilenen mağazalar muhtemelen cihazları eski firmware ile çalıştırmanın yanı sıra bunları VPN arkasına almamış ve girişe izin verilen IP adresleri için kısıtlı bir liste oluşturmamış. Bu korumalar standart ancak sık sık uygulanmıyor. Bu başarısızlık, muhtemelen yüzlerce milyon euroya mal olan kitlesel bir hacke yol açtı. İspanya, Portekiz, Polonya, Almanya ve Belçika’nın da etkilendiği bildiriliyor.
Pen Test Partners’taki araştırmacılar çarşamba günü, “Sonucu değiştirecek iki şey olurdu” dedi. “Siber hijyen erişimi engellerdi: kontrol cihazını genel internetten alın, uzaktan erişimi VPN ve IP izin listesi arkasına koyun, üçüncü taraf ekipmanı yüklenicinin kendi bağlantısında bırakmak yerine kontrollü, sahiplenilmiş ve belgelenmiş şekilde ağa alın, bilinen ve varsayılan kimlik bilgilerini değiştirin ve güncel sürüme yama yapın.”
Güvenlik firması Claroty’den araştırmacılar, bu yaygın sağduyu adımlarını görmezden gelmenin tehlikesini geçen ekimde uyardı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı da şubatta aynı uyarıyı yaptı.
Gönderilen bir e-postada Copeland, “kullanımdan kaldırılmış, yaşam döngüsünün sonundaki bir nesil kontrol cihazında tespit edilen bir güvenlik açığını” kabul etti ve benzer olayların önüne geçmek için müşterilerle çalıştığını söyledi. Danfoss temsilcileri sorulara hemen yanıt vermedi. CNN, şirketin de kullanımdan kaldırılmış modelleri işaret ettiğini aktardı.
Şimdiye kadar saldırının arkasındaki taraf sessiz kaldı. Bu durum, amacın kitlesel çaplı vandalizm olma ihtimalini güçlendiriyor. Bir diğer olasılık ise kıta çapında bir aksama yaratmayı amaçlayan bir devlet aktörü ya da başka bir uluslararası aktör.
Olay, çoğu şirkette finans ve güvenlik departmanları arasındaki gerilimi gözler önüne seriyor. Bazı şirketler somut fayda ya da tasarruf olmadığı sürece yeni ekipmana büyük para harcamaktan çekiniyor. Yıkıcı bir hackten sonra yatırımın neden gerekli olduğunu ancak o zaman anlıyorlar. Etkilenen süpermarket zincirlerinin yöneticileri muhtemelen bu acı dersi öğrenecek. Daha belirsiz olan şey, bu ibretlik hikâyenin diğer şirketleri etkileyip etkilemeyeceği.
