In den vergangenen Tagen machten Berichte über manipulierte Kältetechnik in europäischen Supermärkten Schlagzeilen: In Frankreich waren rund 700 Supermärkte von Ausfällen betroffen. Auch in den Niederlanden fielen Kühlung-Systeme aus. Angreifer nutzten dabei Schwachstellen in vernetzten Steuerungssystemen. Oded Vanunu, Head of Vulnerability Research bei Check Point Software Technologies, ordnet die Hintergründe und Risiken dieser kinetischen Cyberangriffe ein:
„Dieser Vorfall ist nicht überraschend. Ein Supermarkt-Kühlschrank ist längst kein einfaches Elektrogerät mehr, sondern ein computergestütztes System, das mit einem Netzwerk verbunden ist und eine Fernüberwachung sowie -steuerung ermöglicht. Während diese Konnektivität eine effiziente Verwaltung von Kühlsystemen erlaubt, setzt sie diese auch Cybersicherheitsrisiken aus. Das wird besonders gefährlich, wenn betriebliche Geräte jahrelang mit veralteter Software ohne regelmäßige Sicherheitsupdates laufen und die Verwaltungsschnittstellen aus dem Internet erreichbar sind.
Dass veraltete Systeme eine zentrale Schwachstelle darstellen, bestätigte auch der Kältetechnikhersteller Danfoss: Bei den betroffenen Anlagen des Cyberangriffs in Frankreich handelte es sich überwiegend um ältere Systeme, für die keine Software- oder Sicherheitsupdates mehr bereitstehen.
Einer der wesentlichsten Aspekte dieses Vorfalls ist, dass die Angreifer nicht zwingend hochentwickelte Cyber-Fähigkeiten benötigten. Kühlsysteme verfügen über legitime betriebliche Funktionen wie etwa Abtauzyklen. Wenn eine unbefugte Partei Zugriff auf das System erlangt, können genau diese Funktionen ausgenutzt werden, um den Betrieb zu stören. Im Gegensatz zu Cyberangriffen, die auf Datendiebstahl oder die Verschlüsselung von Dateien abzielen, trifft die Auswirkung hier den physischen Betrieb der Geräte selbst. Das hat unmittelbare Folgen, sei es durch den Verlust von Lebensmittelbeständen oder durch neue potenzielle Sicherheitsrisiken.
Wie diese Störung des physischen Betriebs in der Praxis aussah, zeigte sich bei dem Hacker-Großangriff in Frankreich: Dort wurden vernetzte Kühlschränke in den Filialen über Nacht stundenlang auf 50 Grad Celsius erhitzt, sodass große Mengen an Lebensmitteln verdarben und entsorgt werden mussten.
„Das Problem geht weit über ein einzelnes Kühlsystem oder eine isolierte Sicherheitslücke hinaus. Operational-Technology (OT) ist oft für eine Nutzungsdauer von 15 Jahren oder mehr ausgelegt, während sich Cyberbedrohungen und Technologien um ein Vielfaches schneller weiterentwickeln. Zudem werden dieselben Steuerungs- und Managementsysteme in Einzelhandelsketten weltweit eingesetzt. Das bedeutet, dass eine Kompromittierung einer weit verbreiteten Technologie potenziell eine große Anzahl von Standorten betreffen kann.
Dass weit verbreitete Steuerungssysteme grenzüberschreitend verwundbar sind, zeigte sich auch in den Niederlanden: Dort musste die Supermarktkette Ahold Delhaize (u. a. Albert Heijn) ihre Kühlsysteme nach Störungen vorübergehend vom Netz nehmen.
In früheren Forschungsarbeiten zeigten die Sicherheitsforscher von Check Point bei smarten Geräten auf, wie Schwachstellen in zentralen Management-Plattformen es Angreifern ermöglichen, die Kontrolle über verbundene Geräte zu erlangen. Bei dem aktuellen Vorfall ist jedoch noch unklar, wie genau sich die Angreifer Zugriff auf die Systeme verschafft haben.
Um diese Risiken zu reduzieren, besteht der erste Schritt darin, zu identifizieren, welche Steuerungen und Verwaltungsschnittstellen direkt aus dem Internet erreichbar sind, und jede unnötige Exposition zu beseitigen. Ebenso wichtig ist, Systeme auf dem neuesten Stand zu halten, Standardpasswörter zu ersetzen, den Fernzugriff einzuschränken und, wo möglich, Multi-Faktor-Authentifizierung zu aktivieren. Die Trennung von IoT- und OT-Steuerungsnetzwerken von anderen Netzwerken sowie die Überwachung ungewöhnlicher Verhaltensänderungen im System sind weitere essenzielle Maßnahmen. Diese Empfehlungen gelten nicht nur für Kühlsysteme, sondern auch für HVAC-Anlagen (Heizung, Lüftung, Klima), Gebäudeleittechnik und andere betriebliche Infrastrukturen.“
#CheckPoint
