Äldre kylsystem skyddade Ica-butik från omfattande cyberangrepp

Ett omfattande cyberangrepp mot kyl- och frysanläggningar i svenska livsmedelsbutiker ledde under natten till måndagen den 2 november till förstörda matvaror och ekonomiska förluster. Ica-butiken i Alvesta undgick störningarna eftersom dess äldre kylutrustning saknar internetanslutning och inte kan fjärrstyras.

Butikschefen Jacob Gillén fick information om angreppen genom Icas interna informationssystem vid åttatiden på måndagsmorgonen. Eftersom butikens temperaturreglering endast kan hanteras på plats bedömde han att risken för motsvarande störningar var begränsad.

Butiken har sedan tidigare haft planer på att modernisera sina kyl- och frysanläggningar. Uppgraderingen har ännu inte genomförts, vilket enligt Jacob Gillén visade sig vara en fördel under den aktuella incidenten.

Jacob Gillén uppskattar att livsmedel värda flera hundratusen kronor hade kunnat förstöras om temperaturen i samtliga kyl- och frysanläggningar hade höjts till 50 grader under natten.

Angreppen drabbade flera delar av den svenska dagligvaruhandeln. Fredrik Nilsson, chef för regionalt it-brottscentrum i polisregion Syd, uppgav att polisen hade tagit emot omkring tio anmälningar om misstänkta angrepp mot kyl- och fryssystem. Polisen bedömde samtidigt att ytterligare verksamheter kunde vara drabbade.

Polisregion Syd har fått ansvar för att sammanställa och kartlägga anmälningar från landets polisregioner. Fredrik Nilsson meddelade att arbetet bland annat omfattar misstankar om dataintrång och skadegörelse. Resultatet ska överlämnas till polisens nationella operativa avdelning, Noa.

Två Ica-butiker i närheten av Alvesta drabbades av störningarna. Jacob Gillén framhöll att butiker som förlorar sina kyl- och frysvaror påverkas ekonomiskt både genom kassationerna och genom försäljning som uteblir när varorna inte längre kan erbjudas kunderna.

Även andra Ica-butiker rapporterade stora temperaturförändringar. Mats Olsson, butikschef på Ica Nära i Böda på norra Öland, uppgav att temperaturen i en av butikens frysar hade stigit till 55 grader. Butiken kunde fortsätta hålla öppet men meddelade att kyl- och frysvaror tillfälligt inte fanns till försäljning.

Icas pressansvarige Gustaf Nilsson uppgav att företaget hjälpte de drabbade butikerna att hantera situationen. Vid det första beskedet hade Ica ännu inte fastställt orsaken till störningarna. Företagets pressavdelning bekräftade senare att det centrala nätverkssystemet inte hade påverkats.

Hos Coop drabbades sju av kedjans omkring 800 svenska butiker. Carlos Cancino, presschef på Coop, uppgav att sex av de berörda butikerna låg i Gävleområdet och att den sjunde fanns i Sundsvall.

Enligt Carlos Cancino fanns det redan före incidenten planer på att uppgradera kylsystemen i de berörda butikerna kring Gävle onsdagen den 4 november. Det tekniska uppgraderingsarbetet hade påbörjats innan angreppen inträffade.

Coop beskrev att störningarna varierade mellan anläggningar som helt slutat fungera och system där viss funktion fortfarande återstod. I ett fall hade kylutrustning börjat avge värme. Företaget meddelade därefter att situationen hade begränsats och var under kontroll.

Även Axfood påverkades. Koncernens pressansvarige uppgav till SVT att konsumentplocklagret i Västra Frölunda i Göteborg hade drabbats. Livsmedel till ett uppskattat värde av omkring tre miljoner kronor behövde kasseras.

Svensk Dagligvaruhandel hade redan före de svenska incidenterna uppmärksammat säkerhetsbrister i vissa butikers kyl- och frysanläggningar. Organisationens beredskapsansvariga Ulrika Dahlin uppgav att branschen hade arbetat med skyddsåtgärder efter liknande angrepp i Frankrike i mitten av oktober.

Arbetet hade dock inte hunnit omfatta samtliga omkring 3 100 svenska dagligvarubutiker. Ulrika Dahlin bedömde att de åtgärder som redan hade genomförts för att begränsa kända sårbarheter hade minskat skadorna, trots att säkerhetsarbetet ännu inte var slutfört.

Nationellt cybersäkerhetscenter, NCSC, meddelade den 2 november att centret följde incidenterna och hade kontakt med drabbade verksamheter. Informationsutbyte pågick också med motsvarande organisationer i flera nordiska och europeiska länder.

Nationellt cybersäkerhetscenter uppmärksammade särskilt riskerna med internetansluten operativ teknik, framför allt när äldre utrustning är svår att uppdatera med nya säkerhetsåtgärder. Centret rekommenderade ett skydd uppbyggt av flera lager med både tekniska lösningar och organisatoriska rutiner.

Den svenska incidenthanteringsorganisationen CERT-SE meddelade samma dag att dess incidenthanteringsfunktion hade fortlöpande kontakt med berörda verksamheter. Organisationen erbjuder rådgivning och stöd vid misstänkta eller konstaterade it-säkerhetsincidenter och har beredskap dygnet runt.

Liknande angrepp hade tidigare inträffat i Frankrike. Andrei Sabelfeld, professor i cybersäkerhet vid Chalmers tekniska högskola, uppgav att omkring 700 franska livsmedelsbutiker hade påverkats under oktober.

Andrei Sabelfeld beskrev misstankar om att angripare i Frankrike hade kommit över inloggningsuppgifter som kunde användas för att fjärrstyra kylsystem. Han betonade samtidigt att dessa uppgifter inte fastställde hur angreppen mot svenska verksamheter hade genomförts.

Frankrikes nationella incidenthanteringsorganisation CERT-FR bekräftade i samband med de tidigare angreppen att kylstyrningsutrustning från Danfoss, inom produktfamiljerna AK-SM och AK-SC, hade komprometterats.

Den thailändska cybersäkerhetsorganisationen ThaiCERT redovisade att avfrostningsfunktioner hade manipulerats vid de franska incidenterna. Någon specifik utnyttjad CVE-sårbarhet hade däremot inte bekräftats. Uppgifterna fastställer inte vilken utrustning som berördes i Sverige.

Sveriges Radio förtydligade den 2 november att vissa drabbade Ica- och Coop-butiker använde samma typ av kylsystem. Det innebar dock inte att de båda kedjorna hade samma leverantör.

Även verksamheter i andra europeiska länder rapporterade störningar. Den belgiska livsmedelskedjan Carrefour bekräftade att 15 av företagets 700 butiker i Belgien hade påverkats. Samtliga kunde hålla öppet eftersom problemen huvudsakligen berörde ett begränsat antal kyl- och frysenheter.

I Irland meddelade livsmedelskoncernen Musgrave Group att kylsystem i 13 SuperValu-butiker hade drabbats. Berörda livsmedel avlägsnades som en försiktighetsåtgärd. Företaget uppgav senare att störningen hade åtgärdats och att arbetet med att fylla på varor hade inletts.

Incidenterna omfattade även e-handelslager och vissa restauranger, utöver dagligvarubutikerna. Leverantörsledet verkade vid tidpunkten inte ha drabbats i motsvarande omfattning.

Ulrika Enström, kommunikationsansvarig på Orkla Foods Sverige, uppgav att företaget följde utvecklingen för att kunna dra lärdom av händelserna.

I Alvesta väckte angreppen frågor bland kunderna trots att butikens kyl- och frysanläggningar fungerade normalt. Jacob Gillén berättade att flera kunder kontaktade butiken för att kontrollera att livsmedlen fortfarande var säkra.

Även personer som beställt varor via butikens näthandel hörde av sig för att försäkra sig om att deras produkter inte hade tinat under natten.

Det äldre systemet har samtidigt begränsningar. Om en frys slutar fungera under natten skickas inget automatiskt larm till personalen. Temperaturerna måste dessutom justeras direkt vid utrustningen, till skillnad från modernare anläggningar som kan övervakas och styras på distans.

Jacob Gillén uppgav därför att planerna på en teknisk uppgradering ligger fast. Han uttryckte en förhoppning om att leverantörer och andra berörda aktörer ska utveckla säkerheten så att butiken kan använda modernare kyl- och fryssystem med tillförlitlighet.