När hackare tog kontroll över butikernas kylsystem tinade varor för miljontals kronor. Attacken blottar en obekväm säkerhetslucka: uppkopplad teknik kan slå mot både företag och livsmedelsförsörjning.
Det börjar med en vattenpöl under frysen. Sedan kommer den betydligt dyrare upptäckten: någon har använt kylsystemets fjärrstyrning för att tina upp varorna.
Angreppet mot franska livsmedelsbutiker visar hur en till synes undanskymd styrenhet kan påverka både butikens drift och maten på hyllan. För svenska konsumenter finns ingen anledning att börja hamstra. För företag som använder uppkopplade kylsystem finns desto fler frågor att ställa.
En stor livsmedelsbutik har många kylar och frysar. Styrenheter övervakar temperaturer och sköter funktioner som avfrostning. De kan ofta nås på distans så att en kyltekniker kan felsöka utan att åka till butiken. Det sparar tid när allt fungerar. Om styrningen kan nås av obehöriga får samma bekvämlighet en baksida.
I Frankrike tog angripare sig in i fjärrstyrningen och aktiverade avfrostning, vilket förstörde färska och frysta varor. Enligt tv-kanalen BFMTV:s uppgifter drabbades omkring 700 livsmedelsbutiker. Det är en uppskattning av händelsens omfattning, och den säger inte att alla butiker fick lika stora skador.
Frankrikes nationella incidentorganisation CERT-FR har bekräftat intrång i fjärrstyrda kylinstallationer med styrenheter i Danfoss serier AK-SM och AK-SC samt system från Copeland och Dixell. Myndigheten varnar uttryckligen för att lägga sådana administrationsgränssnitt öppet mot internet. Fjärrservice kräver åtkomst för behörig personal; den kräver inte att vem som helst på nätet kan knacka på dörren.
En butik kan byta kassasystem och datorer flera gånger medan den tekniska utrustningen bakom kylgången står kvar. När en styrenhet slutar få säkerhetsuppdateringar kan kända svagheter leva vidare år efter år. Det blir särskilt besvärligt om en gammal enhet samtidigt är direkt åtkomlig från internet.
Danfoss har uppgett att många berörda enheter körde föråldrad programvara eller inte längre fick uppdateringar. Copeland, som äger Dixell, har pekat på en sårbarhet i en utgången generation styrenheter. Samtidigt spelar modell och programversion roll: det går inte att beskriva varje system från tillverkarna som lika gammalt eller lika sårbart.
Säkerhetsföretaget Claroty undersökte exempelvis Danfoss AK-SM 800A och beskrev hur en svaghet i webbgränssnittet kunde användas för att kringgå normal inloggning. Danfoss publicerar säkerhetsråd och uppdateringar för berörda produkter. Undersökningen visar varför administratörsåtkomst måste skyddas, men fastslår inte att just den sårbarheten användes i angreppet mot de franska butikerna.
En kyl som kan styras på distans behöver också någon som ansvarar för vem som får göra det.
Här ligger ett vardagligt problem bakom den tekniska dramatiken. Butiken äger eller använder utrustningen, en installatör kopplar in den, en servicefirma behöver fjärråtkomst och tillverkaren ansvarar för produktens uppdateringar. Om ingen håller reda på vilka enheter som finns, hur de nås och när stödet upphör kan säkerheten hamna mellan flera stolar. Vatten på butiksgolvet är ett ganska handfast sätt att upptäcka det.
Att kylsystem har komprometterats och varor skadats är en sak. Vem som låg bakom och varför är en annan. Ingen grupp hade enligt de uppgifter som redovisats offentligt tagit på sig angreppet. Det fanns heller inget känt offentligt krav på lösensumma.
Säkerhetsanalytikern Ken Munro har bedömt att störning eller oro kan ha varit syftet. Félix Aimé vid säkerhetsföretaget Sekoia har samtidigt framhållit att både en ensam angripare, en aktivistgrupp och ett försök att störa ekonomisk verksamhet är tänkbara förklaringar. Det är möjliga motiv, inga fastställda slutsatser. Den franska åklagarmyndigheten utreder vilka som drabbats och sambandet mellan intrången och de skador som rapporterats.
Förklaringen till hur varor kunde förstöras är mer konkret: någon använde kylsystemens egna styrfunktioner mot dem. Säkerhetsanalysföretaget UK Cyber Defence har beskrivit hur avfrostningslägen aktiverades och gränser för temperaturhöjning sattes ur spel. Det behövs alltså inte alltid ett raffinerat sabotageprogram för att orsaka fysisk skada. Ibland räcker det att ge en vanlig funktion fel order.
För en butik kan följderna bli stora: kasserade varor, arbete med att bedöma vad som kan säljas och avbrott i försäljningen. För en kund är den viktigaste frågan enklare: har kylkedjan hållits? Livsmedelsverkets vägledning beskriver temperaturkontroll som central för hantering av kylvaror. Olika produkter har olika förvaringskrav, och tiden vid för hög temperatur spelar roll för bedömningen.
Det betyder inte att varje stängd frysdisk förebådar livsmedelsbrist. Frankrikes ekonomiminister Roland Lescure tonade ned risken för matbrist efter angreppet, men uppmanade leverantörer att stärka sin cybersäkerhet. Skillnaden mellan en kostsam störning hos enskilda handlare och ett lands försörjningskris är betydande. För de drabbade handlarna är förlusten allvarlig även utan domedagsrubriker.
Som kund i Sverige kan du göra det du redan bör göra när något verkar fel i en butik: uppmärksamma personalen på varor som känns ovanligt varma, läckande kylar eller frysvaror som uppenbart tinat. Varken synintryck eller känsel kan ensamt avgöra om en vara är säker. Det är butikens rutiner och dokumenterade temperaturkontroller som behöver ge svaret.
Den mest användbara lärdomen gäller fler än stormarknader. Restauranger, lager och andra verksamheter har också tekniska system som någon måste kunna serva. CERT-FR rekommenderar att berörda styrenheter tas bort från direkt exponering på internet, att konfigurationen kontrolleras och att fjärråtkomst återupprättas via ett skyddat nät eller en säker VPN-anslutning. Myndigheten varnar för att enbart fabriksåterställning inte löser problemet om enheten därefter fortfarande står oskyddad och inte längre kan uppdateras.
En företagsledning behöver därför kunna få raka svar från både IT-avdelning och kylleverantör: Vilka styrenheter finns? Vilka programversioner kör de? Vem får logga in på distans? Vem installerar säkerhetsuppdateringar, och vad är planen när en produkt når slutet av sin supporttid? Se också till att larm och temperaturkontroller fungerar när fjärrförbindelsen ligger nere. Frågorna är mindre spektakulära än en hackerfilm. Det är förmodligen ett gott tecken.
Smarta kylsystem kan göra service och drift smidigare. Men ordet ”smart” på utrustningen säger ingenting om hur ansvaret har fördelats. Den franska händelsen påminner om att cybersäkerhet inte stannar vid skärmen: ibland slutar den i en soptunna full med mat.
Angripare kunde påverka franska butikskylar genom deras fjärrstyrda styrenheter och använda avfrostning så att varor förstördes. Öppet åtkomliga administrationsgränssnitt, föråldrad programvara och otydligt ansvar för uppdateringar gör sådana system sårbara. Händelsen är ett skäl för företag att granska sin fjärråtkomst och sina temperaturkontroller, men belägger inte någon allmän risk för matbrist.
Apples nya Pro-modell lockar med bättre kamera, längre batteritid och högre prestanda. Men när prisskillnaden är 300 dollar är den dyrare telefonen verkligen värd pengarna?
Apples nya Mac-datorer lockar med lokal AI: Mac mini räcker för de flesta, Studio pressar prestandan för proffs och iMac känns märkligt dyr och daterad just nu.
För första gången utgör rena bensinbilar mindre än halva Danmarks personbilsflotta. Elbilarna växer snabbt – men en planerad skattehöjning kan sätta käppar i hjulen.
Rings första smartlås kombinerar fingeravtryck, kod och mobilstyrning med ett oväntat nödknep: ett reglage som ska ge ström när batteriet tar slut. Men får vi det i Sverige?
Mer från Midcent
Nyhetsbrev
Veckans bästa guider — samlat och utan brus, för dig som vill ligga steget före.
