Кибератаки на супермаркеты: что должна предпринять Европа?

Из-за изменения режимов работы магазинам пришлось утилизировать продукты. Для инфраструктуры почты это сигнал о той же проблеме: подключённое к сети оборудование становится частью общей поверхности атаки.

Сбой начинается не с почтового сервера

В публикации «Финансы Mail» сообщается, что злоумышленники получили доступ к системам управления холодильным оборудованием и изменили настройки. Среди затронутых стран названы Бельгия, Люксембург, Швеция, Ирландия, Нидерланды, Финляндия и Эстония. В Нидерландах, по данным издания, пострадали торговые точки как минимум 17 компаний, а в Ирландии — 13 супермаркетов SuperValu.

Эти сведения не устанавливают, кто организовал атаки и действовали ли злоумышленники в рамках одной кампании. Но технический вывод для операторов однозначен: контроль доступа к сетевым устройствам нельзя сводить к защите рабочих станций и серверов. Холодильный контроллер, система мониторинга и шлюз удалённого управления требуют отдельной инвентаризации и сегментации.

Что проверить в инфраструктуре

Проверьте перечень устройств, доступных из интернета и корпоративной сети. Для каждого узла зафиксируйте владельца, назначение, способ удалённого доступа и зависимости от других систем. Уберите неиспользуемые учётные записи. Запретите прямой внешний доступ к интерфейсам управления, если он не нужен для эксплуатации.

Разделите технологическую сеть и офисный сегмент. Ограничьте соединения между ними правилами межсетевого экрана. Удалённое обслуживание пропускайте через контролируемый шлюз, с индивидуальными учётными записями и журналированием. Проверяйте события входа, изменения конфигурации и отключения оборудования. Настройте оповещения на нештатные изменения параметров, а не только на потерю связи.

Для почтовой инфраструктуры важен отдельный контур. Служебные письма о сбоях, запросы на удалённый доступ и уведомления от подрядчиков могут стать каналом фишинга. Проверьте SPF, DKIM и DMARC для домена, ограничьте права почтовых ящиков администраторов и не принимайте письма с инструкциями по изменению настроек без подтверждения через независимый канал.

Подготовьте порядок реагирования

Заранее определите, кто вправе отключить устройство от сети, кто подтверждает изменение конфигурации и как восстанавливается штатный режим. Зафиксируйте контакты поставщика и подрядчика, но не передавайте им постоянный неконтролируемый доступ. При инциденте сохраните журналы и сведения о конфигурации до перезапуска или сброса оборудования.

Публикации сообщают, что специалисты в Бельгии и Швеции расследуют произошедшее. Пока неизвестны ни организаторы атак, ни их цель. Поэтому не приписывайте эпизод конкретной группе и не считайте похожие сбои доказательством единой кампании. На практике достаточно закрыть базовые пути доступа и обеспечить журналирование: это сокращает окно для вмешательства и оставляет данные для расследования.