Cyberaanval verstoort koeling bij Franse supermarkten

Cyberaanvallers verstoorden in de nacht van 11 op 12 oktober koelinstallaties bij honderden Franse winkels; Intermarché en Coopérative U moesten verse en diepvriesvoorraad weggooien, terwijl Le Parisien de aanval op Danfoss-regelingen bevestigde.

Voor een Nederlandse supermarkt, voedselproducent of koelmagazijn raakt zo’n incident de voorraad en verkoop, ook als kassa’s en kantoorsoftware blijven werken. Een digitale instelling kan een fysiek proces ontregelen. De bedrijfscontinuïteit hangt dan af van lokale temperatuurcontrole, beslissingen over productveiligheid en een werkwijze om door te werken zolang de regeling niet vertrouwd kan worden.

De software bestuurt een fysiek proces

De aanval trof regelsoftware voor commerciële koeling. Dat is operationele technologie: software en apparaten die een proces in de fysieke wereld bewaken en aansturen. De functie die werd misbruikt hoort bij de automatische ontdooicyclus van vriescellen en koelvitrines. Daardoor veranderde een cyberincident op afstand in weggegooide producten op de winkelvloer.

BFMTV meldde dat oudere Danfoss-softwareversies vóór versie 4 zijn doelwit waren en de ontdooistand continu werd aangestuurd met 50 °C als instelwaarde. Dat getal beschrijft de instelling van de regeling, niet een gemeten temperatuur van elk product. BFMTV meldt ook dat de installaties uren konden verwarmen voordat medewerkers de schade zagen.

Voor voedselbedrijven bepaalt zo’n verschil welke voorraad nog veilig te verkopen is. Intermarché zei tegen AFP dat winkels de betrokken verse en diepvriesproducten moesten afvoeren. La Dépêche du Midi raamt de verliezen bij twee winkels in de Elzas samen op 270.000 euro, een lokaal bedrag en geen landelijk totaal.

De telling hangt af van de winkelgroep

De aantallen zijn niet één op één te vergelijken. AFP meldde na navraag bij de winkelketens dat 150 tot 200 Intermarché-winkels en bijna 100 vestigingen van Coopérative U waren getroffen. BFMTV citeerde later Les Mousquetaires met 300 getroffen winkels voor Intermarché en Netto samen, en minder dan 100 winkels van Coopérative U. De tweede telling omvat dus een extra winkelmerk; geen van beide berichten geeft één gecontroleerd landelijk totaal.

Ook de status van andere ketens verschilde per melding. BFMTV noemde E.Leclerc als getroffen, terwijl AFP schreef dat Leclerc de informatie bij navraag nog niet direct had bevestigd. De Parijse aanklager opende volgens AFP een onderzoek naar de aanvallen en de gemelde voedselverliezen. La Voix du Nord meldt dat Intermarché waarschuwde dat bestaande verzekeringen mogelijk geen dekking bieden voor dit type winkelincident.

Dezelfde koudeketen, een andere kwetsbare schakel

In juli raakte een andere stap van de voedselketen ontregeld: een aanval op koel- en vrieslogistiekbedrijf Nichirei onderbrak de aanvoer naar KFC, Kura Sushi en Glico in Japan. Daar zat de storing bij een logistieke leverancier tussen de producent en het verkooppunt. In Frankrijk lijkt juist de regeling van de koeling zelf te zijn veranderd.

Bij OT kan een software-update een draaiend fysiek proces stilleggen, waardoor patchbeleid en bedrijfscontinuïteit samen moeten worden gepland. Dat spanningsveld is bekend bij machines die lang meegaan en niet zonder voorbereiding kunnen worden bijgewerkt. Een eigen onderzoek van Claroty uit augustus beschreef meerdere kwetsbaarheden in de webbeheerinterface van de Danfoss AK-SM 800A-regelaar; Danfoss bracht daarvoor nieuwe firmware uit. De Franse berichtgeving noemt geen exact controllermodel, dus de eerdere bevindingen bewijzen niet dat die regelaar of kwetsbaarheden bij deze aanval zijn gebruikt.

De softwarefout is nog geen bevestigde ingang

BFMTV meldde dat ANSSI een kwetsbaarheid in software van een Deense leverancier had gevonden en contact had opgenomen met de maker. Het artikel koppelt die vondst niet expliciet aan de aanvalsvector. Het noemt geen kwetsbaarheidsnummer, getroffen productfamilie of route waarlangs aanvallers toegang kregen. De geconstateerde softwarefout en het misbruik van oudere versies zijn dus twee feiten die nog niet aantonen hoe de inbraak precies verliep.

Het NCSC adviseert om OT en kantoor-IT te scheiden, externe OT-componenten apart te segmenteren en verbindingen tussen zones te begrenzen. Voor beheer op afstand raadt het NCSC een jump host aan in plaats van een directe internetverbinding met de besturing. Ook hoort OT thuis in het incidentplan en in de jaarlijkse oefening, naast de IT-systemen.

Voor Nederlandse winkels en koelhuizen begint de voorbereiding daarom met een lijst van regelaars, softwareversies en partijen die op afstand kunnen inloggen. Voeg daar een lokale temperatuurmeting, een besluit over het blokkeren van voorraad en een herstelprocedure aan toe. De aanvallen op Nichirei en de Franse winkels laten samen zien dat continuïteit afhangt van zowel de logistieke route als de software die fysieke voorwaarden bewaakt.