Det der skete
Foto: Alessandro Matonti på Unsplash
Hackere har brudt ind i et styringspanel til køleanlæg fra Danfoss og skruet temperaturen op i flere hundrede supermarkeder i Europa, primært i Frankrig. Ifølge Version2 nåede kølerummene enkelte steder omkring 50 grader, og Danfoss har bekræftet indbruddet over for mediet. Varelageret er ødelagt, og butikkerne står med friskvareafdelinger, der ikke kan sælge noget i dage.
Hvad det betyder for dig
Læg mærke til angrebets type. Der blev ikke stjålet data – der blev ødelagt varer. Denne distinktion rammer direkte ind i din beredskabsplan, for den er næsten sikkert skruet sammen om datalæk: underretning til Datatilsynet, information til kunder, kreditovervågning. Intet af det aktiveres her. I stedet står kunder mandag morgen foran varme kølediske og tomme hylder, og den kommunikation er marketingens – efter et manuskript, der ikke ligner noget i din nuværende kriseplan: madspild der kolliderer med årets ESG-rapportering, friskvareleverandører der står med tabet, og et spørgsmål om, hvorvidt man kan stole på ‘frisk fra i går’.
Anden ordens-konsekvensen er mere ubehagelig: indbruddet kom via en leverandørs fjernadgang til et styringssystem. Marketing køber ikke kølepaneler, men marketing har gennem et årti fyldt butikkerne med connected hardware – digital signage, elektroniske hyndeprisskilte, in-store skærme, beacons, gæste-WiFi. Hver enhed er en credential på et netværk, hvor kasse- og styringssystemerne også bor. Vi har før argumenteret for at udvide marketingdatas trusselsmodel, blandt andet da vi så på autonome angribere. Danfoss-hacket flytter grænsen igen: fra data til fysisk varelager.
Historien har en kendt parallel. Target i 2013: angriberne kom ind via en underleverandørs adgang til klimastyringen og endte med 40 millioner betalingskort samt et brandskade, der kostede både CEO og CIO jobbet. Mønstret er, at marketing arver konsekvenserne af systemer, den ikke ejer – og at ‘det var en leverandør’ historisk er et dårligt forsvar. Under NIS2 er fødevareforsyningen desuden en kritisk sektor, hvor leverandørstyring er en eksplicit sikkerhedsforpligtelse og ikke en indkøbsdetalje.
Tre ting er værd at gøre nu, mens sagen er frisk. Kortlæg marketingens fysiske fodaftryk: alle connected enheder i butikker og venues, som marketing selv har anskaffet, og hvem der har fjernadgang til dem. Bed om det samme svar for de leverandører, der rører kundevendte systemer. Og udvid kriseplanen med ét scenarie, der ikke er et databrud – hvad siger vi, og hvor hurtigt, hvis driften fejler synligt foran kunderne?
Det skarpeste spørgsmål til næste risikomøde er formodentlig dette: Hvis en leverandørs login kan lukke en hel friskvareafdeling, hvor mange af de logins har marketing så selv bragt ind i butikken?