El que ha està passant amb les neveres no és cap ciència oculta, al contrati, tot és... massa senzill per qui vol fer mal.
Tot comença amb una cerca a Shodan. En pocs minuts tens una llista de milers de controladors de refrigeració de supermercats accessibles des d’internet.
Sense VPN. Molts sense suport des de fa anys.
El 12 d’octubre. Centenars de supermercats francesos es lleven amb les neveres a 50 °C. Menjar a les escombraries i pèrdues milionàries.
El CERT-FR alerta que s’han compromès controladors Danfoss, Copeland i Dixell exposats a internet.
El 2 de novembre, tres setmanes després. Més de 100 botigues a Bèlgica, Suècia, Estònia, Irlanda, Luxemburg, els Països Baixos, Finlàndia i Portugal.
Mateix mètode. Mateix tipus d’equips.
Com ho fan? No apaguen les neveres. Les posen en desglaç continu: el sistema escalfa per fondre el gel i no s’atura mai.
Ho fan de matinada. Quan obre la botiga, el mal ja està fet. I pot semblar una avaria.
No cal cap codi complex, les vulnerabilitats son conegudes. Danfoss reconeix que la majoria d’equips afectats a França eren models retirats el 2016 i el 2021.
No hi ha actalitzuacions ni n’hi haurà. Equips de 10-15 anys gestionant un servei essencial, bé.
Per què estan connectats a internet? Perquè els mantenidors externs hi puguin entrar en remot sense desplaçar-se. Comoditat i estalvi.
Així doncs la porta del tècnic és també la porta de l’atacant.
L’esquema és fer un cens d’objectius exposats, una eina que automatitza l’accés, es guarda en un calaix i un llença simultàniament a l’hora escollida.
Amb tants objectius alhora segurament hi ha traces a alguna banda de proves prèvies per part dels atacants.
Tenint en compte que ningú no ha demanat cap rescat, i no consta cap robatori de dades ni hi ha atribució.
Estem davant d'un sabotatge contra la cadena alimentària sense benefici econòmic aparent. I com que és molt barat, darrera hi pot haver tot tipus d'actors.
El més greu: el CERT-FR va avisar el 12 d’octubre, i Danfoss diu que va avisar clients a mitjans d'octubre.
La segona onada va arribar 21 dies després, contra equips que seguien exposats.
Això ja no és ignorància. És inacció.
I aquí? ja s'han localitzat centenars d’equips de fred i climatització exposats. L’INCIBE diu que encara no pot determinar l’abast.
Que estiguin exposats no vol dir que estiguin compromesos o siguin vulnerables, veurem.
Al final estem davant del mateix de sempre, quan protegir surt més car que arriscar-se, s’arrisca. Després menjar llençat, prestatges buits i un servei essencial més fràgil.
Si una nevera pot ser utilitzada com una arma, deixar-la oberta a internet no pot sortir gratis.