Μέσα σε δέκα ημέρες, από τις 20 έως τις 30 Οκτωβρίου, η εταιρεία κυβερνοασφάλειας Lupovis κατέγραψε πάνω από 276 απόπειρες πρόσβασης από 91 διαφορετικούς δρώντες απειλών, οι οποίοι δοκίμαζαν προεπιλεγμένους κωδικούς και επιχειρούσαν να εκμεταλλευτούν συγκεκριμένες ευπάθειες σε συστήματα-παγίδες (honeypots) που αναπαριστούσαν ελεγκτές ψύξης πελατών της. Η δραστηριότητα κορυφώθηκε στις 26 Οκτωβρίου και σταμάτησε απότομα στα τέλη του μήνα· σύμφωνα με την εταιρεία, υπάρχουν ενδείξεις ότι μπορεί να ήταν μέρος μιας συντονισμένης επιχείρησης, λίγες ημέρες πριν από τις επιθέσεις της 2ας και 3ης Νοεμβρίου. Τα ευρήματα έγιναν γνωστά σήμερα, Σάββατο 7 Νοεμβρίου, μέσω του Euronews και του LiFO.

Οι επιθέσεις εκδηλώθηκαν στις 2 και 3 Νοεμβρίου: σύμφωνα με το Euronews, δέχθηκαν επίθεση συστήματα ψύξης σε σούπερ μάρκετ εννέα ευρωπαϊκών χωρών και σε τράπεζες αίματος στη Γαλλία. Δεν ήταν το πρώτο κύμα: τον Οκτώβριο, εκατοντάδες καταστήματα μεγάλων αλυσίδων σούπερ μάρκετ στη Γαλλία υπέστησαν επιθέσεις στα ψυκτικά τους συστήματα, όπως μετέδωσε το techblog.gr — και στις 14 Οκτωβρίου, δύο ημέρες μετά εκείνη την επίθεση, η ΕΑΚ εξέδωσε σύσταση για ευπάθειες σε ελεγκτές Danfoss, Copeland/Dixell και Carel.

Διάνυσμα ήταν ελεγκτές Danfoss AK-SM συνδεδεμένοι στο διαδίκτυο για τηλεχειρισμό, πολλοί από τους οποίους, κατά πληροφορίες, ήταν προσβάσιμοι ακόμη και με τα εργοστασιακά διαπιστευτήρια — όνομα χρήστη «Supervisor», κωδικός «12345». Σύμφωνα με το Euronews, οι εισβολείς έθεσαν τις μονάδες σε απόψυξη, ανεβάζοντας σε ορισμένες περιπτώσεις τη θερμοκρασία στους 50 βαθμούς Κελσίου· καταστήματα πέταξαν αλλοιωμένα τρόφιμα.

Στην Ελλάδα, όπως μετέδωσε την Παρασκευή 6 Νοεμβρίου το techblog.gr επικαλούμενο την Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), περισσότερα από 300 ψυκτικά συστήματα επιχειρήσεων παραμένουν εκτεθειμένα στο διαδίκτυο. «Εκτεθειμένο» δεν σημαίνει «παραβιασμένο»: η Αρχή διευκρινίζει ότι στις υπηρεσίες της δεν έχει καταγραφεί επισήμως κανένα τέτοιο περιστατικό, παρότι τεχνικοί συντήρησης αποδίδουν προβλήματα ψύξης — κυρίως σε κρεοπωλεία — σε κυβερνοεπίθεση, επειδή εντόπισαν μη εξουσιοδοτημένες αλλαγές. Η σύσταση της ΕΑΚ στοχεύει επιχειρήσεις με παρωχημένους ή χωρίς ενημερώσεις ελεγκτές ψύξης και ζητά αποσύνδεση από το δημόσιο διαδίκτυο ή πρόσβαση μόνο μέσω VPN, αλλαγή προεπιλεγμένων ή αδύναμων κωδικών και πολυπαραγοντική αυθεντικοποίηση.

Στη Γαλλία, σύμφωνα με το Euronews, η επίθεση έπληξε εξοπλισμό ψύξης σε τρεις μονάδες ψυχρής αποθήκευσης πλάσματος του Γαλλικού Ιδρύματος Αίματος (EFS)· οι αρχές δήλωσαν ότι η απόπειρα ανακόπηκε εγκαίρως και ότι κανένα προϊόν ή δείγμα αίματος δεν κινδύνευσε. Η γαλλική υπηρεσία κυβερνοασφάλειας και το υπουργείο Υγείας διερευνούν το περιστατικό.

Καμία επίσημη απόδοση δεν υπάρχει και η ταυτότητα των δραστών παραμένει αδιευκρίνιστη. Η Lupovis εντόπισε υποδομές σε «bulletproof hosting» — υπηρεσίες φιλοξενίας εκτός δικαιοδοσίας των αρχών — που είχαν χρησιμοποιηθεί στο παρελθόν από ρωσικές ομάδες. Ο διευθύνων σύμβουλος της εταιρείας, Ξαβιέ Μπελεκέν, διευκρίνισε ότι η τοποθεσία των διακομιστών δεν αποδεικνύει εθνικότητα, εκτίμησε ωστόσο ότι η επιχείρηση παραπέμπει σε κρατικό δρώντα και ότι τα στοιχεία δείχνουν πως θα μπορούσε να πρόκειται για τη Ρωσία — εκτίμηση της εταιρείας, όχι επίσημο πόρισμα. Ο Τζορτζ Νοτ, συντάκτης τεχνολογίας στο The Grocer, σημείωσε ότι δεν είχε καταγραφεί αίτημα λύτρων ούτε ανάληψη ευθύνης, εκτίμησε δε ότι οι δράστες δεν χρειάστηκαν προηγμένες τεχνικές — βρήκαν απλώς εκτεθειμένες σελίδες σύνδεσης — και ότι οι υπεύθυνοι θα μπορούσαν να είναι από κρατικά υποστηριζόμενους δράστες έως εφήβους. Η έρευνα βρίσκεται σε εξέλιξη και δεν έχει ανακοινωθεί επίσημο πόρισμα.

Το ζήτημα είναι διαρθρωτικό: κατά τον Κουμάρ Σόκα, διευθύνοντα σύμβουλο της Acre Security, ο ίδιος τύπος μικρού ελεγκτή που ανέβασε τη θερμοκρασία στα ψυγεία διαχειρίζεται σε σύγχρονα κτίρια πόρτες, κάμερες, συναγερμούς, φωτισμό και κλιματισμό. Η οδηγία NIS2 της Ευρωπαϊκής Ένωσης απαιτεί διαχείριση κινδύνου, αλλά πολλοί οργανισμοί την περιορίζουν στα κλασικά πληροφοριακά συστήματα, αφήνοντας την ψύξη και τα συστήματα κτιρίων στις ομάδες συντήρησης.