프랑스 슈퍼마켓에 대한 사이버 공격으로 인해 약 700개 매장의 냉장 시스템이 쓸모없게 되었습니다. 데이터 도난이나 몸값 요구는 없었습니다. 공격자는 냉장고와 냉동고를 관리하는 컨트롤러에 침입하여 강제로 해동하고 부패하기 쉬운 제품이 손실될 때까지 장비를 섭씨 50도 정도에 유지했으며 여러 경우에는 전기 설비에 화재가 발생했습니다.
프랑스 당국은 벡터를 확인했습니다. 목표는 압축기가 아니라 기술자가 매장의 전체 냉동 설비를 원격으로 관리할 수 있도록 인터넷에 연결된 컨트롤러였습니다. 공격은 영향을 받은 네트워크 전체에서 동시에 이루어졌기 때문에 상품이 이미 복구 불가능한 상태에서 발견된 것입니다.
작업의 핵심
- 약점은 냉장고가 아니었다. 물리적 장비는 여전히 작동하고 있었습니다. 떨어진 것은 시설 전체의 추위를 통제하는 원격 관리 시스템이었다.
- 마감된 청구서 없이 타격. 약 700개의 슈퍼마켓에서 상품이 분실되고 전기 손상이 여러 번 발생했으며 체인에서 공식적으로 손실 수치를 공개하지 않았습니다.
- 세 가지 모델과 동일한 패턴. 확인된 드라이버는 덴마크 Danfoss, Dixell 및 미국 모회사인 Copeland의 드라이버로, 공공 보안 공지에 심각한 취약점이 포함되어 있습니다.
누구도 감사하지 않는 링크: 원격 콜드 관리
공공 안전 권고는 세 가지 모델 모두에서 동일한 문제를 설명합니다. 심각한 취약점으로 인해 관리자 권한으로 원격 로그인이 허용됨. 당신은 필요하지 않습니다 악용하다 이국적이거나 국가 자원을 가진 그룹이 아닙니다. 장치를 아는 것만으로도 충분합니다. 펌웨어 그리고 날짜.
댄포스(Danfoss) 사례가 가장 예시적입니다. 최근까지 해당 컨트롤러는 자체에 포함된 알고리즘에 의해 날짜로부터 생성된 매일 변경되는 자격 증명을 사용했습니다. 펌웨어공개적으로 이용 가능합니다. 해당 코드를 분석하는 데 몇 시간을 소비하는 사람은 최근 업데이트를 받지 않은 컴퓨터에서 암호를 재현할 수 있습니다. 실패를 체계적으로 만드는 세부 사항은 또 다른 것입니다. 일일 비밀번호는 수백 또는 수천 개의 매장에 배포된 모델에서 동일합니다.. 열쇠가 보였다.
해당 키를 사용하면 공격자는 상점별로 이동할 필요가 없습니다. 이는 제상을 대규모로 활성화하고 온도가 상승하며 제품이 손실되고 전기 위험이 나타납니다. 이것이 성가신 사건이 물질적 피해를 입은 사고와 다른 점입니다.
청구서는 폐기된 제품, 전기 수리, 콜드체인을 복구하는 동안 손실된 현금 일수 등 세 가지 항목으로 나뉩니다. 영향을 받은 체인 중 어느 것도 아직 타격을 정량화하지 못했습니다.. 에피소드의 규모는 공격의 정교함이 아닌 매장 수로 측정됩니다. 더 이상 필요한 것은 없습니다.
실패는 추위에 있는 것이 아니라 원격으로 주문할 수 있는 사람에게 있었습니다. 예측 가능한 자격 증명은 동시에 700개 매장의 라인을 끄기에 충분합니다.
Danfoss, Dixell 및 Copeland: 패치 책임자
불편한 질문은 기술적인 것이 아니라 계약적인 질문입니다. 드라이버는 통합업체, 설치업체 및 유지 관리 계약을 통해 매장을 방문하며, 해당 체인은 업데이트 책임을 희석시킵니다. 펌웨어. 덴마크 제조업체는 장비에 대한 보안 가이드를 유지 관리하지만 업데이트는 이를 실행하는 설치에 액세스할 수 있는 사람에 따라 달라집니다.
설치된 공원이 당신에게 불리하게 작용합니다. 상업용 냉동 시스템은 오랜 주기에 걸쳐 그 자체로 비용을 지불하며, 많은 컨트롤러는 제조 후 10년 이상 작동 상태를 유지합니다. 이는 디지털 비즈니스의 일부가 아니며 실패할 때까지 손익계산서에 표시되지 않기 때문에 먹이 사슬의 기술 갱신 계획에 거의 포함되지 않는 장비입니다. 산업용 연결 장치의 보안은 기업 사이버 보안에서 자금 조달이 가장 어려운 부분으로 남아 있습니다..
보류 중인 계정.
누구도 서명하고 싶지 않은 법안: NIS2, 보험 및 공원 설치
유럽 NIS2 지침에는 사이버 보안 수준을 높이는 데 필요한 부문 간의 식품 생산, 변형 및 유통이 포함되어 있으며 이러한 요구 사항을 공급망으로 확장합니다. 즉, 컨트롤러 공급업체 및 계약된 유지 관리에 대한 것입니다. 스페인에서는 이러한 의무가 수천 개의 매장과 이를 공급하는 물류 운영업체가 있는 체인에 적용되는데, 지금까지 전자 결제나 고객 충성도보다 관심을 덜 끌었던 경계입니다. 이러한 유형의 장치에 대한 자세한 내용은 사물 인터넷에 대한 Wikipedia 항목을 참조하세요.
여기서 스페인 시장과의 유사점이 나타납니다. IBEX 35의 대규모 유통 체인 및 디지털 서비스 회사(Telefónica Tech 및 Indra 포함)는 수년간 성장 비즈니스로 산업용 사이버 보안을 판매해 왔습니다. 프랑스 에피소드는 그들에게 가능한 최고의 비즈니스 사례를 제공하는 동시에 아직 해결되지 않은 사항을 폭로합니다. 운영 환경에 대한 대부분의 공격은 바이러스 백신으로 탐지되지 않지만 인벤토리를 통해 탐지됩니다.. 어떤 장치가 연결되어 있는지, 어떤 자격 증명을 사용하는지, 누가 접근할 수 있는지 알아보세요.
보험사들은 이미 그런 방향으로 움직이고 있다. 손상 및 비즈니스 중단 정책은 운영 체제에 대한 최소한의 제어를 요구하고 기본 자격 증명으로 인해 발생하는 청구를 배제하기 시작했습니다. 가장 효과적인 방법은 다음과 같습니다. 보험이 피할 수 있는 실패에 대한 보장을 중단하면 안전에 대한 투자는 더 이상 논의되지 않습니다..
사건의 범위와 실제 비용에 대해서는 여전히 신중한 태도를 취하고 있습니다. 사용 가능한 데이터에 따르면 체인이나 지역별로 공식적인 분류 없이 약 700개의 슈퍼마켓과 백만 달러의 손실이 발생했습니다. 다음 이정표는 패치 캠페인이 아니라 업데이트 일정에 대한 Danfoss, Dixell 및 Copeland의 대응과 영향을 받은 체인이 규제 기관에 사건을 문서화하는 방식이 될 것입니다. 기술자가 수천 개의 매장을 방문해야 업데이트가 다시 이루어지면 문제는 해결되지 않고 다음 날짜를 기다리게 됩니다.
