Alisina NawabiCopeland XWEB-koelregelaars werden bij drie Britse vleesleveranciers via een kwetsbaarheid aangevallen, zegt de Association of Independent Meat Suppliers (AIMS); ook groothandel Langridge Organic meldt dat hackers de koelbesturing binnendrongen.
Voor Nederlandse voedselproducenten, retailers en koelmagazijnen ligt de inzet ook bij leveranciers en opslaglocaties. Daar stuurt digitale koelbesturing de temperatuur en waarschuwingen aan, met gevolgen voor voorraad en levering.
De aanval raakt vleesleveranciers en een groothandel
De aanvallen op drie AIMS-leden vonden plaats in de Europese meldingsgolf van maandag 2 november. De BBC meldt dat twee bedrijven koelunits zagen ontdooien en bij een derde de temperatuur tot 100 °C opliep; de units waren leeg en er ging geen vlees verloren. Het Britse NCSC zei dat het een klein aantal gevallen kende en de nacht had gebruikt om mogelijk getroffen organisaties te waarschuwen.
Langridge Organic, een groothandel in groenten en fruit in West-Londen, meldde aan The Grocer dat zes van de tien koelruimtebesturingen waren overgenomen en automatische temperatuurmeldingen waren uitgezet. De aanvallers zetten de ruimtes op een ontdooicyclus en schakelden de berichten uit die waarschuwen wanneer een temperatuur buiten de veilige grens komt. Handmatige temperatuurcontroles voorkwamen bederf. Directeur Alex Pearce trok de internetverbinding los nadat hij zag dat een derde koelunit naar ontdooien sprong.
De kwetsbare XWEB-software had al een update
AIMS vertelde Recorded Future News dat de drie vleesleveranciers waren aangevallen via kwetsbare Copeland XWEB-koelregelaars. Een Copeland-woordvoerder bevestigde dat bepaalde XWEB-bewakingssystemen door de gemelde kwetsbaarheid zijn geraakt en zei dat het bedrijf klanten opnieuw op de patch en beveiligingsrichtlijnen had gewezen. Volgens een beveiligingsnotitie die AIMS met leden deelde, waren versies 1.12.1 en ouder kwetsbaar en was een firmware-update sinds augustus beschikbaar.
Claroty Team82 beschreef in augustus 23 kwetsbaarheden in XWEB Pro, waarvan 21 ernstig, en meldde dat Copeland ze met firmwareversie 1.13 had verholpen. Copeland schrijft in zijn beveiligingsbulletin dat firmware 1.13 bekende kwetsbaarheden verhelpt en adviseert XWEB Pro niet rechtstreeks op het openbare internet aan te sluiten. De aanbevelingen noemen ook gewijzigde standaardwachtwoorden en beperkte toegang tot beheerfuncties. Het bulletin meldde destijds nog geen bekende exploitatie; de latere Britse incidenten veranderen die stand van de openbare berichtgeving, maar bevestigen niet dat bij iedere locatie precies dezelfde fout is gebruikt.
Openbaar zijn het exacte model en de firmwareversie per Britse locatie niet genoemd. Er is ook geen forensische analyse die vaststelt of alle bedrijven dezelfde XWEB Pro-fout hadden of langs dezelfde route zijn benaderd.
Franse koelregelaars waren eerder al geraakt
De Britse gevallen vullen de Europese koelingsaanvallen aan die landbouwcommissaris Christophe Hansen als een poging tot verstoring van de voedselketen duidde, terwijl de technische samenhang onbekend bleef. Frankrijk meldde in oktober al compromitteringen van koelregelaars van Copeland, Dixell en Danfoss. De Franse supermarkten die voorraad moesten weggooien nadat koelinstallaties bij honderden winkels waren verstoord laten zien dat dit type digitale ingreep fysiek productverlies kan veroorzaken.
De Franse CERT noemt Copeland XWEB, Dixell XWEB en twee Danfoss-regelaarfamilies in zijn waarschuwing over gecompromitteerde koelbesturingen. De dienst zei dat beheerinterfaces vermoedelijk publiek toegankelijk waren en adviseerde firmware bij te werken en toegang via een beveiligd netwerk of VPN te beperken. Dat is voorgeschiedenis voor de Britse aanvallen, geen bewijs dat dezelfde route bij elk bedrijf is gebruikt. De Belgische waarschuwing dat koelregelaarinterfaces vermoedelijk publiek bereikbaar waren benoemde dezelfde productfamilies en maakte eveneens onderscheid tussen blootstelling en een bewezen aanvalspad.
Een Censys-scan vond op 2 november 51 publiek bereikbare Danfoss StoreView-systemen in Nederland; 37 procent leek bijgewerkte firmware te draaien. Die telling gaat over Danfoss, niet Copeland XWEB, en toont bereikbaarheid en een firmware-indicatie, geen Nederlandse slachtoffers. De scan laat zien dat ook in Nederland publiek bereikbare koelbesturingen bestaan.
Temperatuurcijfers en dader blijven onzeker
De bronnen verschillen over de ingestelde maximumtemperatuur bij Langridge. The Guardian noemt 150 graden Celsius als maximuminstelling bij Langridge; The Grocer rapporteert 150 graden Fahrenheit op basis van het bedrijf. Dat laatste is ongeveer 66 graden Celsius. De berichtgeving beschrijft een ingestelde waarde tijdens een ontdooicyclus, niet een onafhankelijk gemeten temperatuur in de opgeslagen producten.
Het NCSC zei dat de aanvallen niet door AI waren aangedreven en dat aanvallers bekende kwetsbaarheden gebruikten; een dader is niet genoemd. De Britse meldingen voegen vleesleveranciers en een groothandel toe aan de Europese berichtgeving over koelincidenten, die tot dusver vooral retailers betrof. Bij Langridge waren automatische meldingen uitgeschakeld, terwijl handmatige controles voorraadverlies voorkwamen. De koelbesturing bepaalde daarmee ook welke informatie operators tijdens de aanval kregen.
Veelgestelde vragen
Software raakt ook de operatie
Ik denk met je mee over hoe systemen en gegevens in je bedrijf moeten samenwerken, van eerste ontwerp tot een werkende oplossing. Daarna realiseer en automatiseer ik het hele traject, self-hosted waar dat kan.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
