Chiến dịch tấn công mạng nhắm vào hệ thống làm lạnh siêu thị tại Châu Âu

• Phạm vi tấn công: Ít nhất 10 quốc gia Châu Âu bị ảnh hưởng, bao gồm Bỉ, Estonia, Phần Lan, Ireland, Ý, Luxembourg, Hà Lan, Bồ Đào Nha, Đức và Thụy Điển.
• Cơ chế tác động: Kẻ tấn công xâm nhập vào các bộ điều khiển làm lạnh công nghiệp (OT), thay đổi cấu hình nhiệt độ lên tới 50°C, gây hư hỏng hàng hóa thực phẩm.
• Thiết bị mục tiêu: Các bộ điều khiển từ xa như Danfoss AK-SM, AK-SC, Copeland và Dixell XWEB được xác định là các thành phần dễ bị tổn thương.
• Khuyến nghị: Cần cô lập giao diện quản lý khỏi internet công cộng, cập nhật firmware và triển khai xác thực đa yếu tố cho các kết nối từ xa.

Một làn sóng tấn công mạng quy mô lớn đang nhắm vào hạ tầng công nghệ vận hành (OT) của các hệ thống làm lạnh tại các siêu thị trên khắp Châu Âu. Theo các báo cáo từ các chuyên gia an ninh mạng, sự cố này đã buộc nhiều nhà bán lẻ phải loại bỏ toàn bộ thực phẩm đông lạnh và hàng hóa tươi sống do nhiệt độ trong các tủ bảo quản bị đẩy lên mức 50°C (tương đương 122°F), gây ra những thiệt hại kinh tế ước tính lên tới hàng chục triệu Euro.

Phân tích kỹ thuật về vector tấn công

Các cuộc tấn công này tập trung vào các bộ điều khiển làm lạnh (refrigeration controllers) - những thiết bị đóng vai trò quản lý quy trình làm mát và cho phép đội ngũ kỹ thuật giám sát, điều chỉnh nhiệt độ từ xa. Việc kết nối các thiết bị này với internet để thuận tiện cho bảo trì đã vô tình tạo ra một bề mặt tấn công (attack surface) rộng lớn cho các tác nhân đe dọa.

Cơ chế khai thác và chiếm quyền điều khiển

Dựa trên các phân tích từ các vụ việc trước đó tại Pháp và các báo cáo mới nhất, kẻ tấn công không sử dụng một phương thức duy nhất mà khai thác các điểm yếu trong cấu hình bảo mật của thiết bị. Các kỹ thuật phổ biến bao gồm:

• Truy cập trái phép: Khai thác các giao diện quản lý bị lộ trên internet mà không có xác thực mạnh hoặc sử dụng mật khẩu mặc định.
• Can thiệp cấu hình: Thay đổi thiết lập nhiệt độ hoặc ép buộc thiết bị chuyển sang chế độ "defrost" (xả đá) liên tục, ngăn cản quá trình làm lạnh bình thường.
• Lợi dụng bên thứ ba: Một số vụ việc tại Bồ Đào Nha cho thấy kẻ tấn công xâm nhập thông qua mạng lưới của các nhà cung cấp dịch vụ bảo trì bên ngoài, từ đó di chuyển ngang (lateral movement) vào hệ thống của siêu thị.

Dưới đây là bảng tổng hợp các thiết bị và hệ thống đã được ghi nhận có liên quan đến các cuộc tấn công trong thời gian qua:

Đánh giá rủi ro và tác động chuỗi cung ứng

Các nhà chức trách tại Liên minh Châu Âu (EU) đã đưa ra cảnh báo về tính chất nghiêm trọng của các sự cố này, nhấn mạnh rằng đây có thể là một nỗ lực có chủ đích nhằm phá hoại chuỗi cung ứng thực phẩm thiết yếu. Việc các thiết bị OT cũ không còn nhận được các bản cập nhật bảo mật (end-of-life) đang trở thành một mắt xích yếu nhất trong hạ tầng của các doanh nghiệp bán lẻ.

⚠️ Cảnh báo quan trọng: Các quản trị viên hệ thống cần ngay lập tức kiểm tra nhật ký truy cập (logs) của các bộ điều khiển làm lạnh để phát hiện các thay đổi cấu hình bất thường. Việc để lộ giao diện quản trị (web interface) của các thiết bị này ra internet công cộng là hành vi rủi ro cực kỳ cao.

Chiến lược phòng thủ và Hardening hệ thống

Để ngăn chặn các cuộc tấn công tương tự trong tương lai, các tổ chức cần áp dụng nghiêm ngặt các biện pháp bảo mật theo tiêu chuẩn công nghiệp:

• Cô lập mạng (Network Segmentation): Đưa toàn bộ hệ thống điều khiển làm lạnh vào các phân vùng mạng riêng biệt (VLAN), không cho phép truy cập trực tiếp từ internet.
• Triển khai VPN/Zero Trust: Mọi kết nối từ xa của nhân viên bảo trì phải được thực hiện thông qua VPN có xác thực đa yếu tố (MFA).
• Cập nhật Firmware: Kiểm tra và cập nhật các bản vá bảo mật mới nhất từ nhà sản xuất. Đối với các thiết bị cũ không còn hỗ trợ, cần cân nhắc thay thế hoặc cô lập hoàn toàn khỏi mạng nội bộ.
• Giám sát liên tục: Thiết lập các quy tắc cảnh báo trên hệ thống SIEM để phát hiện các thay đổi cấu hình trái phép hoặc các truy cập bất thường vào cổng quản trị của thiết bị OT.

Các sự cố này là lời nhắc nhở đanh thép về tầm quan trọng của an ninh mạng trong kỷ nguyên IoT và OT. Việc bảo vệ thực phẩm không chỉ dừng lại ở các quy trình vận hành vật lý mà còn phụ thuộc hoàn toàn vào khả năng bảo mật các hệ thống điều khiển từ xa. Tham khảo thêm các hướng dẫn chi tiết về bảo mật thiết bị công nghiệp tại CISA để có thêm thông tin về các biện pháp giảm thiểu rủi ro.