Marraskuun alussa ruokakauppojen kylmälaitteita häirittiin eri puolilla Eurooppaa. Hyökkääjät muuttivat laitteiden asetuksia etänä, ja joissakin tapauksissa kylmäkalusteet sammutettiin tai asetettiin sulatustilaan. Lämpötilojen kerrottiin nousseen jopa 50 asteeseen, minkä vuoksi kaupat poistivat tuotteita myynnistä ja hävittivät ruokaa.
5
9
10
Tilannekuva tässä jutussa perustuu 4. marraskuuta mennessä julkaistuihin tietoihin. Silloin toisesta hyökkäysaallosta raportoitiin yli sadassa myymälässä vähintään 11 Euroopan maassa.
14 Kyse on uutisissa raportoidusta lukemasta, ei yhdestä riippumattomasti vahvistetusta kokonaismäärästä.
Marraskuun hyökkäys muistutti Ranskan tapausta
Uusi hyökkäysaalto ajoittui sunnuntain ja maanantain väliseen yöhön, 1.–2. marraskuuta. Kylmälaitteiden valmistaja Danfossin mukaan toimintatapa oli sama kuin lokakuussa Ranskassa.
5
Ranskalaisiin supermarketteihin kohdistuneista hyökkäyksistä kerrottiin 11.–12. lokakuuta. Niiden arvioitiin vaikuttaneen noin 700 myymälään.
13 Marraskuun aallon raportoitu laajuus oli pienempi, mutta se ulottui useisiin maihin. Marraskuun 4. päivän uutisissa Saksasta kerrottiin neljästä ja Romaniasta kuudesta kohteeksi joutuneesta myymälästä. Myös Britannia lisättiin vaikutusalueeseen.
17
18
50 °C:n lukema koski raportoituja lämpötilahuippuja joissakin laitteissa, ei kaikkia myymälöitä tai pakastimia.
10 Häiriöiden konkreettinen seuraus oli kylmä- ja pakastetuotteiden poistaminen myynnistä tai hävittäminen.
8
13
Mitä myymälöistä ja ketjuista tiedetään?
Myymälämäärät eivät ole aina suoraan vertailukelpoisia: eri raporteissa lasketaan esimerkiksi häiriöstä kärsineitä toimipaikkoja, laitteita tai ruokaa hävittämään joutuneita kauppoja.
- Belgia ja Luxemburg: BBC:n mukaan noin 40 Delhaize-myymälässä oli ongelmia näissä kahdessa maassa yhteensä; lähde ei erittele lukua maittain. Erillisessä raportissa mainittiin 15 Carrefour-myymälää ja viisi Spar-myymälää Belgiassa.
- Irlanti: Musgrave kertoi, että kylmäjärjestelmiin kohdistui häiriö 13 SuperValu-myymälässä.
- Ruotsi: Häiriöistä raportoivat ICA, Coop ja IKEA-tavaratalo.
2
3 Yhden raportin mukaan ICA:n kylmälaitteisiin kohdistui ongelmia 23 myymälässä. Coopista kerrottiin, että kuusi myymälää joutui hävittämään ruokaa; toisessa raportissa seitsemässä myymälässä oli häiriöitä laitteissa.
5 Luvut kuvaavat eri asioita.
- Italia: Italia mainittiin vaikutusalueeseen kuuluvana maana, mutta käytettävissä olevista raporteista ei käy ilmi myymäläkohtaista lukumäärää.
8
18
Internetiin yhteydessä olevat ohjausjärjestelmät herättivät huolta
Hyökkäysten kohteena olivat kylmälaitteiden ohjausjärjestelmät, eivät vain kassajärjestelmät tai muu tavanomainen kaupan tietotekniikka. Raporttien mukaan hyökkääjät pääsivät käsiksi internetiin yhteydessä oleviin laitteisiin ja muuttivat niiden asetuksia.
6
9
Kyberturvallisuustutkija Censysin raportin mukaan noin 1 000 Danfoss StoreView -järjestelmää oli näkyvissä internetissä eri puolilla maailmaa.
6 Tämä on merkittävä tietoturvahuoli, mutta ei todiste siitä, että jokaisessa marraskuun tapauksessa olisi käytetty samaa haavoittuvuutta tai menetelmää.
Ranskan tapauksessa raportoitiin Danfossin ja Copelandin laitteista. Ranskan kyberturvallisuusviranomaisen CERT-FR:n hälytys listasi myös Danfossin, Copelandin ja Dixellin ohjainperheitä sekä StoreView-hallintanäkymiä.
9
13 Käytettävissä olevat tiedot eivät kuitenkaan vahvista, mitä malleja tai haavoittuvuuksia kussakin marraskuun tapauksessa käytettiin. Myöskään heikon tunnistautumisen ei ole osoitettu olleen jokaisen hyökkäyksen sisäänpääsyreitti.
Ruotsalainen Coop kertoi siirtävänsä järjestelmiään 4G-yhteyksistä 5G-verkkoihin ja uudempiin modeemeihin sekä irrottaneensa häiriöistä kärsineiden myymälöiden kylmälaitteet internetistä.
12 Nämä ovat yhtiön ilmoittamia toimia, eivät näyttöä siitä, että 5G yksin ratkaisisi tietoturvaongelmat. Saatavilla olevat raportit eivät myöskään osoita, että vanhat 4G-yhteydet olisivat aiheuttaneet hyökkäykset.
Viranomaiset selvittivät häiriöitä, mutta tekijä oli tuntematon
EU kuvaili hyökkäyksiä tahalliseksi yritykseksi häiritä elintarvikeketjua.
8 Euroopan komission kerrottiin järjestäneen kriisikokouksia, joihin osallistuivat muun muassa EU:n kyberturvallisuusvirasto ENISA, Europol ja CyCLONe-yhteistyöverkosto.
14 Italiassa hallitus keskusteli tilanteesta tiedustelupalvelujen johdon kanssa.
20
Romanian kyberturvallisuusviranomaisen johtaja kuvaili toimintaa ”puoliammattilaismaiseksi” ja sanoi, ettei viranomainen epäillyt valtiollista toimijaa.
17 Lausunto ei kuitenkaan ratkaise tekijyyttä. Marraskuun 4. päivään mennessä mikään ryhmä ei ollut ilmoittautunut hyökkäysten tekijäksi, ja motiivi oli yhä epäselvä.
18
21
Käytettävissä olevat lähteet eivät vahvista tarkemmin Belgian syyttäjäviranomaisten toimia tai Britannian kansallisen kyberturvallisuuskeskuksen (NCSC) vastausta. Myöskään väitettä dokumentoidusta huolesta kuluttajien luottamuksesta ei voi näiden tietojen perusteella varmistaa.
Onko Euroopan iskuilla yhteys Yhdysvaltain tapauksiin?
NPR käsitteli samassa yhteydessä elokuussa Yhdysvaltain sotilastukikohdissa raportoituja kylmälaitteiden häiriöitä sekä Ranskan ja muun Euroopan myöhempiä tapauksia.
1 Tapausten ajallinen järjestys ei kuitenkaan osoita niiden liittyvän toisiinsa. Käytettävissä olevat tiedot eivät vahvista yhteyttä Euroopan ja Yhdysvaltain tapausten välillä eivätkä vahvista erillisiä väitteitä Fort Huachucasta, Pentagonin ylitarkastajan tutkinnasta tai Yhdysvaltain armeijan ja Ranskan lainvalvonnan yhteistyöstä.
Varmimmin voidaan sanoa, että kylmälaitteiden asetuksia muutettiin etänä useissa Euroopan maissa ja että seurauksena kaupoissa menetettiin ruokaa. Internetiin yhteydessä olevat ohjausjärjestelmät nousivat keskeiseksi tietoturvahuoleksi. Marraskuun 4. päivään mennessä näyttö ei vielä kertonut, kuka hyökkäysten takana oli tai liittyivätkö eri maiden tapaukset toisiinsa.