Cyberattacker mot kylsystem får myndighet att varna för sårbar styrteknik
Ett trettiotal svenska livsmedelsbutiker har drabbats av cyberangrepp mot sina kyl- och fryssystem. Nu varnar Nationellt cybersäkerhetscenter för säkerhetsriskerna med äldre, uppkopplade styr- och övervakningssystem. Problemet berör inte bara livsmedelshandeln utan även fastigheter, industrier och annan samhällsviktig verksamhet.
Under natten till den 2 november utsattes kyl- och frysanläggningar i flera svenska livsmedelsbutiker för misstänkta cyberangrepp. Genom att manipulera styrsystemen kunde angriparna få temperaturen att stiga kraftigt. I vissa anläggningar uppmättes temperaturer över 50 grader, vilket ledde till att stora mängder livsmedel fick kasseras.
Enligt uppgifter i media drabbades omkring 30 svenska butiker. Liknande angrepp har även rapporterats från flera andra europeiska länder, bland annat Frankrike, där hundratals livsmedelsbutiker tidigare fått sina kylsystem påverkade.
Nationellt cybersäkerhetscenter, NCSC, som är en del av Försvarets radioanstalt, FRA, följer händelserna och har kontakt med drabbade verksamheter. Myndigheten samarbetar även med motsvarande organisationer i andra nordiska och europeiska länder.
NCSC framhåller att angreppen visar hur viktigt det är att skydda operativ teknik, OT. Det handlar om system som styr och övervakar fysiska processer i exempelvis fastigheter, industrier och samhällsviktig verksamhet.
Många verksamheter använder äldre teknik samtidigt som allt fler styrsystem ansluts till internet. Det kan innebära att säkerhetsuppdateringar blir svårare att genomföra och att angripare får fler möjligheter att ta sig in i systemen.
Problemet har tidigare uppmärksammats av den franska cybersäkerhetsmyndigheten CERT-FR. Efter angreppen mot franska livsmedelsbutiker i oktober utfärdade myndigheten en varning för fjärranslutna styrsystem för kyla. Bland de berörda produkterna nämndes styrsystem i Danfoss AK-SM- och AK-SC-serier samt Copeland och Dixells XWEB-system.
CERT-FR pekar särskilt på riskerna med att låta styrsystemens administrationsgränssnitt vara direkt åtkomliga via internet. Myndigheten rekommenderar bland annat att sådan åtkomst tas bort och att fjärranslutningar i stället sker genom säkra nätverkslösningar.
För äldre utrustning som inte längre får säkerhetsuppdateringar kan riskerna vara särskilt stora. Enligt den franska myndigheten räcker det inte alltid att återställa ett angripet system, eftersom sårbarheterna kan finnas kvar och möjliggöra nya angrepp.
NCSC uppmanar nu svenska verksamheter att se över säkerheten i sina drifttekniska miljöer. Organisationer bör inventera vilka enheter som är anslutna till internet, bedöma om uppkopplingen verkligen behövs och säkerställa att systemen har tillräckliga skydd. Dessutom behöver det finnas rutiner för att hantera it-incidenter.
Angreppen mot livsmedelsbutikernas kylsystem visar därmed på en bredare säkerhetsproblematik. När tekniska installationer blir alltmer uppkopplade ökar möjligheterna till effektiv övervakning och fjärrstyrning, men också behovet av att skydda systemen mot obehörig åtkomst.
