Pentagon utreder frysar som slutat fungera på militärbaser som misstänkta cyberattacker

Det amerikanska försvaret, specifikt Pentagons militära undersökningar, har nyligen bekräftat att en rad fel i kylsystem vid militära baser misstänks vara resultatet av riktade cyberattacker. Incidenterna, som inträffade i augustis månader, utreds nu i samarbete med europeiska rättsväsendet. Samtidigt har en liknande varningssignal kommit från Europa, där problem med kylutrustning har spridit sig över flera länder.

Den europeiska bilden är tyvärr inte ny. Först i förra månaden rapporterades att kylaggregat i hundratals livsmedelsbutiker i Frankrike hade tagits över, vilket ledde till stora ekonomiska förluster på matvaror och flera brandrisker. Liknande plötsliga temperaturförändringar har nu rapporterats i Belgien, Sverige, Irland, Estland, Nederländerna och Luxemburg. Trots den utbredda omfattningen har ingen ansvarig part identifierats hittills.

Kärnan i problemet är inte av högteknologisk karaktär, utan ligger i de vanliga system som används i livsmedelsdistribution. Enligt experter inom cybersäkerhet används samma typ av temperaturregleringsenheter över hela detaljhandelsindustrin. Många av dessa enheter är utformade för att nås på avstånd, vilket gör att tekniker kan övervaka och underhålla utrustningen utan att behöva resa till varje butik. När dessa anslutningar inte är tillräckligt säkra, ger de en angripare en direkt väg in i maskineriet.

Samma enheter används dock i kritiska sektorer bortom detaljhandeln, såsom sjukhus, läkemedelsföretag, vattenförsörjning och informationslagringscentraler. Alla organisationer som hanterar temperaturkänsliga varor är därmed exponerade för samma risk. En angripare som tar kontroll över en sådan enhet behöver aldrig interagera med företagets vanliga mjukvara; att enbart ändra en inställd temperatur eller aktivera en avfrostningscykel är tillräckligt för att förstöra varor, precis som brandutbrotten i Frankrike visade.

Den systemiska bristen ligger i att dessa enheter sällan har konstruerats med säkerhet i åtanke och normalt inte får uppdateringar som åtgärdar kända sårbarheter. Det har under det senaste decenniet funnits ett erkänt arbete för att höja medvetenheten om säkerheten i kritisk infrastruktur, men kylteknik har helt fallit utanför dessa diskussioner. Där staten och de stora institutionerna inte har ställt krav, har privata aktörer också underlåtit att agera.

För att motverka dessa attacker uppmanas nu livsmedelsföretagen att genomföra omfattande säkerhetskontroller. Detta innebär att identifiera vilka reglar som är anslutna till allmänheten, säkerställa att externa entreprenörer inte har oavsiktlig åtkomst, och implementera stark autentisering för fjärranvändning. Det är också nödvändigt att granska standardlösenord och dela upp de kritiska systemen så att ett komprometterat frysskåp inte kan nå andra delar av nätverket.

Dessa fjärranvändningar existerar för att de sparar serviceföretagen kostnaden för fysiska besök på plats. Den exponering de skapar betalas dock alltid av den som äger de upptäösta varorna. Utan statliga krav och tydliga incitament för säkerhet, förblir risken enbart ett privat ekonomiskt ansvar.