Поддержка кончилась,холодильник работал

В ночь на 12 октября холодильникам в нескольких сотнях французских супермаркетов через удалённое управление включили разморозку и не выключили её. Обычно это короткий ночной цикл: камера ненадолго греется, и лёд сходит. В этот раз витрины держали до 50 градусов около шести часов. Кое-где загорелось оборудование, а Intermarché выбросил всё, что успело нагреться. Только у этой сети пострадали около 150 магазинов, у Carrefour — 80 (Reuters).

Пересказы в основном про хакеров и про то, кто за ними стоит. Мне интереснее вопрос попроще. Почти все задетые контроллеры были старыми, их давно перестали обновлять. Знал ли об этом хоть кто-нибудь в самом магазине? А если нет, откуда он мог бы узнать?

Что было внутри холодильника

Холодильниками в этих магазинах управляли контроллеры датской Danfoss. Компания сама сказала, что атакованы в основном старые установки с устаревшей прошивкой. Модель AK-SC 355 сняли с производства в 2016 году, AK-SM 800 не получает исправлений с мая 2021-го. А у части современных AK-SM 800A просто не обновили программу (The Hacker News).

Конец поддержки (end of life) значит, что производитель больше не выпускает исправлений, в том числе для дыр в защите. Устройство работает как работало, просто всё, что в нём найдут, так и останется открытым. Получается, часть холодильников годами работала на программе, которую никто больше не исправлял. А холодильник всё это время охлаждал. Продукты лежали где положено, тревог не было. Снаружи ничто не подсказывало, что тут что-то кончилось.

У холодильника, по-моему, два срока жизни, и куплены они одной покупкой. Первый — сколько проработают компрессор, витрины и трубы. Второй — сколько производитель будет чинить программу, которая всем этим управляет. Первый срок владелец видит каждый день: холодильник либо морозит, либо нет. Второй записан в документах Danfoss и, возможно, у подрядчика, который всё это ставил. Когда он кончается, в магазине не меняется ничего.

В 2023 году исследователи Synacktiv нашли у старых SM800 и SC255 обход входа. Кроме логина и пароля, контроллер принимал «код дня», который вычислялся из одной только сегодняшней даты. Дату он, кстати, тоже сообщал любому желающему, без пароля. Danfoss ответил, что уязвимость касается только снятых с поддержки продуктов, и предложил закрыть их на уровне сети. Формально всё честно: модель снята, а кто держит её в интернете, тот пусть и разбирается. Только снятые модели стояли в магазинах и охлаждали продукты.

Как вошли в этот раз, пока не сказали ни французская служба реагирования CERT-FR, ни Danfoss. Может, через этот код, может, иначе. Но на вопрос, кому производитель сообщал о конце поддержки, это никак не влияет.

Кому было адресовано предупреждение

Напрямую у Danfoss магазины холодильники, похоже, не покупают. В Coopérative U прямо сказали, что системы им ставили холодильные подрядчики. Подрядчик выбирает оборудование, настраивает его, подключает удалённый доступ и потом годами обслуживает. Всё, что Danfoss публикует про прошивки и сроки, по логике покупки достаётся подрядчику и висит на сайте компании. Французский разбор Ostraca так и пишет: предупреждения шли установщикам, а до директоров магазинов обычно не доходили. Проверить это по каждому магазину нельзя, и другие аналитики осторожнее. Но у владельца в такой схеме и правда нет канала, по которому ему вообще могли бы сообщить.

Добавьте сюда, что магазины Intermarché принадлежат независимым владельцам. Директор по кибербезопасности ИТ-службы группы Les Mousquetaires, в которую входит Intermarché, ещё в 2023 году говорил, что 40–45% их инцидентов начинаются у поставщиков. Поставщиков магазины выбирают сами, и группа может только советовать. Производитель знает сроки, подрядчик держит доступ, владелец отвечает за продукты, и целиком картину не видит никто.

Самая показательная строчка, по-моему, в бюллетене CERT-FR от 12 октября. Первый совет ожидаемый: уберите интерфейсы управления из интернета. А дальше идёт оговорка.

Выдернуть провод здесь нельзя, не прочитав бумаги. Через этот канал подрядчик обслуживает оборудование, и на нём, похоже, держатся условия страховки. Может оказаться, что отключить дешевле, чем рисковать холодильником, но за одну ночь этого не выяснишь. А открытых в интернет систем Danfoss 12 октября насчитали 2 752, из них 1 590 во Франции. Сколько их владельцев знают, что у них вообще есть такой интерфейс?

Где такие холодильники у вас

Я сам бываю на месте подрядчика: делаю сайты, внедряю CRM, собираю автоматизации. Поэтому в этой истории я узнаю обычный малый бизнес.

Представьте компанию, где сайт сделала студия. CMS и плагины ставила она же, хостинг завела на свою почту, потому что так быстрее. Связку сайта с CRM настроил фрилансер, и ключ доступа лежит у него. Сервер с автоматизациями оплачивается с карты сотрудника, который давно ушёл. Всё работает: заявки приходят, письма уходят. А когда версия CMS выйдет из поддержки или сервис объявит, что старый способ подключения через полгода отключат, письмо придёт тому, кто регистрировал аккаунт. Если подрядчик с вами ещё работает, он, может быть, его прочитает. Как в магазине с холодильником, вы узнаете последним и, скорее всего, по последствиям. Про то, как чужой код выпускает обновления вашего приложения, я уже писал. Здесь беда с обратной стороны: никто ничего не выпускает, всё просто тихо стареет.

С чего бы я начал. Со списка того, что работает у вас, а ставил кто-то другой: сайт, CMS и плагины, CRM и её интеграции, сервер автоматизаций, роутер, камеры. Хватит строчки на пункт.

Дальше у каждой строчки три поля. Первое — до какого числа эту версию поддерживают. Часто это написано на сайте производителя, и написано честно, просто туда никто не заходит. Второе — на чей адрес придёт письмо, когда срок подойдёт. Если там только подрядчик, поставьте свой адрес рядом. Когда заказываете новый сайт, это можно сразу записать в техническое задание: какие версии стоят, до когда их поддерживают и чья почта указана в аккаунтах.

Третье — кто может зайти в систему снаружи, через что и на каком договоре это держится. Отключать всё сразу незачем. Зато в ту ночь, когда отключить понадобится, не придётся выяснять, что об этом сказано в договоре со студией.

Первое действие займёт минут десять: откройте аккаунты хостинга, домена и CMS и посмотрите, чья там почта. Если чужая, у вас уже есть первая строчка списка.