Em 5 de novembro a CISA, o FBI, o Departamento de Saúde, o Departamento de Agricultura e o Departamento de Transportes dos Estados Unidos publicaram um comunicado conjunto sobre atividade cibernética maliciosa contra sistemas industriais de refrigeração e de monitoramento de cadeia fria em escala global.
Os alvos descritos são controladores eletrônicos de temperatura e sistemas de gestão de refrigeração comercial em supermercados e em instalações de armazenamento frio. De acordo com as agências, os atacantes exploram falhas ou fraquezas em controladores sem correção ou acessíveis pela internet para alterar as configurações remotamente.
O comunicado cita três vetores de exploração: bypass de autenticação, injeção de código arbitrário e configurações fracas. Por qualquer um deles o atacante chega ao painel de controle e força as unidades a ciclos contínuos de aquecimento e de degelo, o oposto da função do equipamento.
As consequências listadas pelas agências partem da mudança de temperatura. O documento afirma que ela pode reduzir a vida útil do sistema, criar risco de incêndio, causar perda de estoque e prejudicar o consumidor de forma indireta, caso o produto seja consumido depois de armazenado fora da faixa segura.
O segundo efeito descrito é a perda de visibilidade da temperatura corrente, uma condição que o comunicado chama de negação de visão. O operador deixa de enxergar o estado real do equipamento, o que atrasa a percepção do problema. Os setores que mais usam esses sistemas, segundo o documento, são saúde pública, químico, alimentos e agricultura e transportes, incluindo o transporte refrigerado.
As mitigações recomendadas começam por tirar os painéis de controle da internet pública e, quando o acesso remoto for necessário, protegê-lo com firewall ou dispositivo de borda atualizado. As agências pedem ainda uma VLAN dedicada para separar os equipamentos de tecnologia operacional da rede corporativa, troca das senhas padrão, política de senha forte e autenticação multifator resistente a phishing onde for viável.
A lista termina com atualização de firmware e processo para aposentar equipamento sem suporte do fabricante, restrição de acesso por lista de dispositivos e endereços autorizados, backup externo e offline testado com regularidade, registro de log revisado em busca de atividade inesperada e definição de limites razoáveis de temperatura com alerta para desvios. As agências orientam organizações americanas a relatar atividade suspeita à central de operações da CISA ou ao centro de crimes pela internet do FBI.
