欧州のスーパー冷凍庫が再びサイバー攻撃、フランスでは最大700店舗が被害
Supermarket freezers across Europe hit by second suspected cyber-attack
スウェーデン、ベルギー、ルクセンブルクのスーパーで夜間に冷蔵・冷凍庫の温度が上昇する事態が発生。CoopやICA、Ahold Delhaizeなどが影響を受け、フランスで700店舗もの冷却装置が乗っ取られ最大130,000ユーロ超の食品ロスを出した攻撃との類似が疑われている。ネット接続された冷凍システムの脆弱性が改めて浮き彫りになった。
ハッカーは数千台の冷凍庫や冷蔵庫、冷蔵陳列棚の設定を遠隔で上書きし、-27Cもの低温から50C超まで押し上げた。
HNでの議論
386- chromaton
前回の攻撃に関するスレッドで述べたように、私は2008年から2009年頃に密接に関連する分野で働いていました。
この議論で繰り返し出てくるのは「なぜ冷蔵庫の温度をノブで設定して放っておけないのか？」という点です。
問題は、これらの冷蔵ケースが家庭用冷蔵庫ほど単純ではないことです。簡単な例として、多くのシステムではデッドバンド（コンプレッサーが切れる正確な低温と、再び入る高温）を制御できます。また、霜取りサイクル、コンプレッサー圧力など、他にも多くのものを制御できます（ずっと前にこの仕事をしていたので、詳細はすべて覚えていません）。
例えば、これらのマニュアルをいくつか見てください: https://www.hillphoenix.com/resource/installation-manuals-2/... 私が見る限り、これらのマニュアルは冷蔵ケースのみを扱っており、外側のコンプレッサーや熱交換器は扱っていません。これらは対処すべき別の層です。
これは非専門家のスーパーマーケット従業員がうまく扱えるものではありません。これらすべての設定の目的は、エネルギー使用量、メンテナンスコスト、顧客体験などを中心に最適化することです。たとえ1店舗あたり年間500ドルしか節約できなくても、1000店舗のチェーン全体では本当に積み重なることがわかります。
だからこそこの機器はリモートアクセス可能なのです。家庭用冷蔵庫とは異なり、最大限に活用するにははるかに多くの知識が必要です。もちろん、それは貧弱なセキュリティ実装を正当化するものではありません […]
- fritzo
ハッカーたちに感謝を。冷凍庫に警告の一発を撃ち込んでくれたおかげで、我々は注意を払い、新生児集中治療室や信号機、航空管制官を守ることができるのだから。
- bedstefar
Redditの伝聞に基づく推測ですが、これは地方の店舗が実質的にコンシューマーグレードのインターネットルーターをモバイルブロードバンドネットワークに接続していることと関係があるのではないかと思います。
スウェーデンメディアの報道の多くは、これまでに被害を受けたのは4Gアップリンクの店舗だけだと強調しています。これは残念だと思います。なぜなら、これらの店舗が5Gで接続されていたとしても実際に違いはなかっただろうからです。
推測ですが、私は冷凍庫のICSシステムがコンシューマールーターのNAT-PMPを介して偶然に世界に公開されたのだと思います。スカンジナビアでは特定のAPNを設定することでモバイル接続のCG-NATをバイパスできるので、これらの制御システムは単にShodanで見つけられたのだと推測します。
これはまた、最近のフランスの侵害の後にこれが発見されなかった理由も説明します。どうやら「適切な」アップリンクを持つ店舗はすべて準拠していたので、準拠していない店舗への侵入方法は誰も考えなかったのです。なぜなら「彼らは接続すらしていないのだから、攻撃者がどうやって入るというのか？」と思われていたからです。
- hackingonempty
1995年当時、これはあまりにもあり得ない話だったので、当時転送されていたウイルス警告メールのパロディである「Good Times」ウイルスの悪影響の一つとして挙げられていました。幸いなことに、コンピューターはまだオランダニレ病を感染させることはできません。
> 冷蔵庫の冷たさ設定を再調整して、アイスクリームが全部溶けてしまうようにします。
- great_psy
これはAIによる効率性の損失を示しているのではないかと思います。説明させてください。
2015年にスマート冷蔵庫を導入したとしましょう。温度を監視する人が20人から1人に減らせました。
それはそれらの企業が得た利益であり、彼らは今までその恩恵を享受してきました。
AIが人々が時間をかけて探さないような多くのものの脆弱性を見つけるようになると、セキュリティ上の懸念から愚かな冷蔵庫に戻る必要があるかもしれません。
これを他の多くの業界に外挿すると、AIによる経済的利益は妨げられるかもしれません。
- jttnr
3週間前のフランスのスーパーマーケットでの冷蔵庫「ハッキング」に関する議論:
- liveoneggs
なぜクーラーやクーラーコントローラーのブランド名が明かされていないのか？
パスワード破りだったのか、オープンな管理コンソールだったのか、SNMPだったのか、それとも何なのか？
- c16
なぜ世界中のスーパーマーケットチェーンがこぞって飛びついて調査しなかったのか？
- pbohun
これが過剰最適化と過剰自動化の結果です。冷凍庫は電源に差し込んでノブを回して温度を設定するだけでいいはずです。インターネット接続が必要な理由は全くありません。
- ilkkao
これは3週間以上前にフランスで最初に起こりました。多くのチェーンがソフトウェアを期限内に更新しなかった、あるいはアップデートが利用できない場合に冷凍庫をオフラインにしなかったのは許しがたいことです。
今、スウェーデンとフィンランドの地元チェーンへのインタビューをいくつか読みましたが、彼らはこの時点でもまだ何をすべきか調査しているだけでした。