Belçika süpermarketlerinde siber saldırı: İnternete bağlı soğutma sistemleri gıdayı çöpe attı

Belçika'daki onlarca süpermarketteki soğutma sistemlerine yönelik bir siber saldırı, mağazaları yaklaşık 100.000 € değerinde gıdayı çöpe atmaya zorladı. Yaklaşık 40 Delhaize süpermarketi, en az 15 Carrefour mağazası, beş Spar şubesi ve kasaplık grubu De Laet en Van Haver etkilendi.

Belçika medyası, buzdolabı sıcaklıklarının 70°C'ye kadar çıktığını bildirdi. Delhaize sözcüsü Euronews'e, şirketin "birçok mağazadaki soğutma sistemlerini etkileyen bir BT olayını tespit ettiğini" söyledi. İsveçli zincir ICA'nın bazı mağazalarında da sorunlar bildirildi.

Saldırı, 12 Ekim'de yüzlerce Fransız süpermarketinin soğutma sistemlerinin kurcalandığı benzer bir olayın ardından gerçekleşti. Peki bir kişi mağazada bulunmadan bir süpermarket buzdolabı veya dondurucusunun kontrolünü nasıl ele geçirebiliyor?

Buzdolapları neden internete bağlı? Büyük süpermarketlerdeki soğutma sistemleri, mağazadaki her soğutucu ve dondurucunun sıcaklığını, buz çözme döngülerini ve alarmları yöneten merkezi yönetim birimleriyle çalıştırılıyor.

Ekim ayında siber güvenlik şirketi Forescout (kaynak İngilizce) tarafından yayımlanan araştırmaya göre, bu ünitelerin internete bağlanması uzun süredir desteklenen bir seçenek. Bu bağlantı, soğutma yüklenicilerinin her mağazaya teknisyen göndermek yerine arızaları uzaktan teşhis etmesine ve ayarları uzaktan değiştirmesine olanak tanıyor.

Avrupa'daki başlıca tedarikçilerden Danfoss, soğutma kontrollerinin internete bağlanmasının, arızaların uzaktan giderilebilmesi sayesinde gereksiz mühendis çağrılarını genelde yüzde 15 ila 30 azaltığını belirtiyor. Şirket ayrıca uzaktan izlemenin, süpermarketlerin gıda güvenliği kuralları uyarınca tutmak zorunda oldukları sıcaklık kayıtlarını otomatik olarak saklamasını sağladığını, böylece personelin her dolabı günde dört kez elle kontrol etmek zorunda kalmadığını söylüyor.

Üreticilerin kendi kurulum kılavuzları, örneğin mağazanın yönlendiricisinin internet trafiğini soğutma kontrolörüne yönlendirecek şekilde ayarlanması gibi, sistemlerin dışarıdan erişilebilir hale getirilmesini ayrıntılı biçimde anlatıyor. Forescout'a göre sorun şu ki, sorumluluk çoğu zaman bölünmüş durumda.

Bir yüklenici yazılımı yönetebilir, mağaza ekipmanın sahibi olabilir ve BT departmanı internet bağlantısını işletiyor olabilir. Roller açıkça tanımlanmadığı sürece, araştırmacıların yazdığına göre "hiçbir tarafın açığa çıkmış hizmete tam bir bakışı olmayabileceği" anlamına geliyor.

Donanımın bir kısmı da eski. Dahil olan Danfoss kontrolörlerinden biri Mayıs 2021'den bu yana destek dışı, yani artık güvenlik güncellemeleri alamıyor ve bu da onu dış bir cihazdan gelebilecek ihlallere açık hale getiriyor.

Riskin boyutu nedir? İnternete bağlı cihazları tarayan Shodan adlı arama motorunu kullanan Forescout, 99 ülke ve bölgede 6.017 internet adresinde 12.976 açıkta kalmış soğutma yönetim hizmeti buldu. Bunların çoğu iki ürün ailesine aitti: Copeland ve Dixell'in XWEB sistemleri (7.075) ile Danfoss'un StoreView'u (4.697).Danfoss hizmetlerinin yüzde 80'i, bilinen güvenlik açıklarını gideren sürümden daha eski bir bellenimle çalışıyordu.

Bu rakamlar, saldırıya uğramış değil, internete açıkta olan sistemleri sayıyor. Risk süpermarketlerle sınırlı değil. Aynı sistemler gıda işleme tesislerinde, şarap mahzenlerinde, meyve depolarında, çiftliklerde ve hastanelerdeki soğutma ekipmanlarında da kullanılıyor.

Saldırganların sofistike kötü amaçlı yazılımlara ihtiyacı yok. Sisteme girdikten sonra normal işlevleri kullanarak sıcaklıkları değiştirebilir, buz çözme döngülerini tetikleyebilir veya alarmları kapatabilirler. Forescout, bu tür değişikliklerin rutin faaliyet gibi görünebileceğine dikkat çekiyor.

Ne yapılabilir? Forescout'un başlıca önerisi, soğutma yönetim sistemlerini açık internete kapatmak ve yüklenicilere yalnızca güvenli uzaktan erişim araçları üzerinden erişim vermek. Ayrıca işletmecilere artık güvenlik güncellemesi almayan ekipmanları değiştirmelerini, ortak yüklenici parolalarını kaldırıp çok faktörlü kimlik doğrulama ile bireysel oturum açma bilgilerine geçmelerini ve güvenli bilgileri kimin değiştirdiğine dair kayıt tutmalarını tavsiye ediyor.