Forskere: Kølesystemer med Danfoss-styring bør tages af nettet

Køleanlæg i supermarkeder, slagterier og blodbanker bør hurtigst muligt kobles fra internettet, hvis de styres med systemer fra den danske virksomhed Danfoss. Det opfordrer hollandske sikkerhedsforskere til, skriver det hollandske medie NOS.

Huller også i ny software

Tidligere på måneden blev køleanlæg i store dele af Europa hacket. Angriberne hævede temperaturen, så varerne blev fordærvet. Dengang drejede det sig om ældre anlæg eller ældre versioner af softwaren.

Forskerne fra sikkerhedsfirmaet Midnight Blue har nu fundet problemer i nyere versioner. Ifølge NOS er også anlæg med den nyeste software fra Danfoss ramt. Det kan blandt andet give fuld adgang til anlægget, så en angriber kan skrue op for temperaturen. Anlæggene kan også gøres varigt ubrugelige.

Sikkerhedsforsker Carlo Meijer fra Midnight Blue kalder fundet meget alvorligt. På en skala fra 1 til 10 placerer han det tæt på 10, skriver NOS. Han fandt flere alvorlige fejl inden for en time.

Opdatering er ikke nok

Forskerne har orienteret Danfoss fortroligt, så virksomheden kan nå at rette fejlene. Derfor offentliggør de endnu ingen detaljer.

Danfoss oplyser til NOS, at en softwareopdatering mod to problemer kommer samme dag. Det er ikke klart, om den retter de fejl, forskerne har fundet.

Ifølge forskerne er en opdatering ikke nok. De mener, at kvaliteten af koden er for dårlig til, at opdateringer gør anlæggene sikre. Brugerne bør derfor sørge for, at anlæggene ikke er koblet direkte på internettet.

Koblet på for installatørens skyld

Anlæggene er ofte koblet på nettet, så installatøren kan følge med, når der er problemer. Det kan gøres sikkert, men i praksis sker det ofte ikke, fordi det er lettere at koble anlægget direkte på, siger Carlo Meijer ifølge NOS.

I Holland ramte de tidligere angreb især mindre virksomheder. Problemerne var størst i Frankrig, hvor tusindvis af systemer blev ramt.

Danfoss pegede på opdateringer

Da angrebene i Frankrig blev kendt i oktober, sagde Danfoss til DR, at de ramte anlæg ikke var opdaterede. Virksomheden gik i gang med at kontakte sine kunder i hele verden. Budskabet var at opdatere eller udskifte forældede systemer.

Kommunikationsdirektør Kasper Elbjørn vurderede dengang, at risikoen for hacking af danske kølediske var minimal. De danske kunder var gode til at opdatere, sagde han til DR. De nye fund fra Midnight Blue tyder på, at opdateringer alene ikke løser problemet.

For danske husstande er der ingen kendte følger ud over butikkernes tab af varer. Sagen viser dog, hvorfor udstyr på internettet skal være beskyttet.