Kyberhyökkäys Ranskassa – kylmäketjun tietoturva ja huoltovarmuus koetuksella

Etusivu › Blogi › Kyberhyökkäys Ranskassa – kylmäketjun tietoturva ja huoltovarmuus koetuksella

Kyberrikolliset ottivat yöllä 11.–12. lokakuuta etäyhteydellä haltuunsa satojen ranskalaisten ruokakauppojen kylmälaitteet ja kytkivät ne sulatustilaan. Lämpötila nousi ja aamulla myymälöissä odotti kaaos. Kohteina oli useampi ruokakauppaketju. Yhden niistä, Intermarchén, emoyhtiön johtaja Thierry Cotillard arvioi ensimmäisen aamun vahingot kymmeniksi miljooniksi euroiksi.

Ensimmäisenä tikun nokkaan nostettiin tanskalaisen Danfossin laitteet, mutta Ranskan CERT-FR laajensi varoitustaan 13. lokakuuta myös Copelandin ja Dixellin ohjausjärjestelmiin. Valtaosa Danfossin osalta mainituista laitteista oli malleja, joiden tuki oli päättynyt. Ranskan viranomaisten ensineuvo oli irrottaa laitteiden hallintaliittymät Internetistä tai rajoittaa niihin pääsyä.

Joissakin myymälöissä kylmälaitteiden lämpötilat nousivat jopa kymmeniin asteisiin ja osassa myymälöitä raportoitiin lämpötilan noususta aiheutuneita tulipaloja. Vahingot eivät siis rajoittuneet pilaantuneisiin elintarvikkeisiin.

Vähittäiskaupalle isku oli hyvä muistutus kyberuhkien vaikutuksista, ja joulusesonki on vasta alkamassa.

Kyberhyökkäys kylmälaitteisiin – fyysiset vahingot ja huoltovarmuus

Kirjoitin viime syksynä kahdesta kiinnostavasta kybermurrosta. Sekä Jaguar Land Roverin että Asahi-panimon tapauksissa tietojärjestelmät kaatuivat ja tuotanto pysähtyi, koska tilaukset ja logistiikka saatiin sekaisin.

Ranskan tapaus poikkeaa näistä kahdessa suhteessa.

Hyökkäys kohdistui fyysistä prosessia ohjaavaan järjestelmään. Tiedostoja ei salattu eikä lunnaita vaadittu – hyökkääjä käytännössä käänsi termostaattia.
Jaguar Land Roverin kohdalla arvelin, että tietojärjestelmien ja tuotantoautomaation (IT:n ja OT:n) välinen raja oli pettänyt. Uutisoinnin mukaan Ranskassa ohjauslaite oli suoraan verkossa. Vahinko syntyi muutamassa tunnissa ja oli peruuttamaton. Pilaantunutta ruokaa ei voi “palauttaa” varmuuskopiosta.
Hyökkäys vaikutti suoraan myös huoltovarmuuteen.
Kylmäketjun eheys on yhteiskunnan perustoimintoja, ja myös Cotillard totesi Ranskan televisiossa, että ruokahuollon häiriö on yhteiskunnallinen riski eikä pelkkä liiketoimintariski. Jaguar Land Roverin tapauksessa sama tilanne sai valtion antamaan 1,5 miljardin punnan lainatakauksen.

Kyberturvallisuus on mitä suurimmassa määrin kansallisen turvallisuuden kysymys, ja Euroopassa on siitä nyt tuore käytännön esimerkki.

Kenen vastuulla pakastin on – CISOn vai kiinteistöpäällikön?

Kysymys saattaa kuulostaa hassulta, mutta se on aiheellinen. Ennen tätä hyökkäystä vastaus olisi monessa organisaatiossa ollut, että kylmäsäätimet, kulunvalvonta ja ilmanvaihdon automaatio ovat kiinteistön tai huoltoyhtiön vastuulla.

Siksi ne puuttuvat usein CISOn omaisuusluettelosta, huoltoyhtiön etäyhteys ei ole toimittajariskiarviossa, eikä laitevalmistajan tiedote tuen päättymisestä päädy kenenkään työlistalle.

Verkkojen eriyttäminen, eli että organisaation tietoverkkoja segmentoidaan ja eriytetään käyttötarkoituksen perusteella, on oleellista. OT-verkot (kuten vaikka pakastinverkko) on erillinen verkkonsa, johon voidaan ottaa yhteyttä hallitusti kontrollipisteiden kautta. Eikä siten, että ne ovat suoraan Internetiin auki kaikkien saatavilla.

Hyökkäyksen jälkeen kyse onkin tietoturvapoikkeamasta, ja se päätyy CISOn pöydälle riippumatta siitä, kenen budjetista laite ostettiin.

Tämänkaltainen ristiriita on hyvä purkaa ensi tilassa. Tietoturvasta vastaavalla johdolla (CISO) tulee olla näkyvyys kaikkiin organisaation verkkoon kytkettyihin laitteisiin sekä mahdollisuus puuttua niiden aiheuttamiin riskeihin. Operatiivinen vastuu voi olla kiinteistöpäälliköllä tai huoltoyhtiöllä, mutta vastuunjaon on oltava selkeä. Myös päätös laitteiden eristämisestä, päivittämisestä tai vaihtamisesta pitää pystyä tekemään ennen kuin haavoittuvuutta käytetään hyväksi.

ISO 27001 edellyttää, että tietoturvan hallintajärjestelmän soveltamisalaan kuuluva suojattava omaisuus tunnistetaan, siihen liittyvät riskit arvioidaan ja tarvittavat hallintakeinot määritellään. Tukensa menettänyt kylmäsäädin voi olla merkittävä riski siinä missä mikä tahansa päivittämätön verkkolaitekin.

Huoltovarmuuskeskuksen Toimialojen kyberkypsyysselvityksestä (2025) löytyy samainen suositus. Kyberturvallisuutta, tuotantojärjestelmien turvallisuutta ja fyysistä turvallisuutta johdetaan monissa organisaatioissa erillään, vaikka yhtenäinen tilannekuva auttaisi priorisoimaan riskit oikein.

Haasteita nousee myös sopimusten osalta. Missä menee laitetoimittajan (esim. Danfoss) vastuun raja, missä huoltokumppanin ja kauppaketjun? Jos laitetoimittaja on kerran varoittanut että vanhojen ohjausjärjestelmien tuki on päättymässä, olisiko jonkun muun kuin toimittajan pitänyt ryhtyä toimiin, jotta elinkaaren päässä olevat ohjausjärjestelmät tulee vaihdetuksi tai suojatuksi?

Kirjoitin aiemmin, että sopimuksiin pitää kirjata tarkastusoikeus, ilmoitusajat ja vastuut. Kiinteistötekniikan kumppanien kanssa on lisäksi sovittava, miten etäyhteys suojataan, kuka päivittää laitteet ja kuka päättää, milloin tukensa menettänyt laite vaihdetaan.

Tuhannet Internetiin näkyvät kylmälaitteiden hallintaliittymät vanhentuneilla ohjausjärjestelmillä antavat aiheen epäillä, etteivät etäyhteyksien suojaus ja laitteiden elinkaaren hallinta ole saaneet riittävästi huomiota.

Huoltovarmuus ja Suomen poolijärjestelmä

Ranskassa hyökkäys ehti aiheuttaa vahinkoa useissa kilpailevissa kauppaketjuissa ennen kuin sen laajuus selvisi. Yhteinen tekninen haavoittuvuus voi nopeasti muuttua koko toimialan ongelmaksi.

Suomessa huoltovarmuuskriittiset yritykset ja viranomaiset tekevät yhteistyötä ennalta sovituissa rakenteissa, Huoltovarmuusorganisaation pooleissa. Mallin vahvuutena on, että saman toimialan yritykset voivat varautua yhteisiin uhkiin ja harjoitella häiriötilanteita yhdessä, vaikka ne kilpailevat keskenään.

Toki Ranskassakin on kyberturvallisuuden viranomais- ja toimialayhteistyötä. Suomen mallin erityispiirre on kyberturvallisuuden kytkeminen laajempaan huoltovarmuustyöhön.

Teknologiateollisuuden ja Huoltovarmuuskeskuksen yhteistyössä toimiva Digipooli tuo mukaan digitaalisen turvallisuuden näkökulman. Digipooli edistää kybertilannekuvan muodostamista ja laajojen häiriötilanteiden harjoittelua, esimerkiksi TIETO26-harjoituksessa. Vuonna 2024 Digipooli selvitti myös, miten tuotanto- ja kiinteistöautomaation kyberuhkiin pitäisi varautua.

Yhteisharjoittelun merkitys on Huoltovarmuuskeskuksen kyberkypsyysselvityksen mukaan suuri. Monelle yritykselle se voi olla ainoa mahdollisuus harjoitella jatkuvuudenhallintaa yhdessä muiden toimijoiden kanssa. Suuremmille organisaatioille se tarjoaa tilaisuuden selvittää, miten oma toimitusketju käyttäytyy laajassa häiriötilanteessa.

Kun toimittajan haavoittuvuus tai ensimmäinen havainto hyökkäyksestä tulee tietoon, ennalta rakennetut yhteistyökanavat mahdollistavat tiedon jakamisen kilpailijoiden ja viranomaisten välillä. Parhaimmillaan muut yritykset ehtivät ryhtyä torjuntatoimiin ennen kuin sama hyökkäys osuu niiden järjestelmiin.

Huoltovarmuuskeskuksen vuoden 2025 kyberkypsyysselvityksessä kaupan ala ja jakelu ovat hyvällä perustasolla, ja selvitys nostaa toimialan vahvuudeksi ISO 27001 -pohjaiset tietoturvallisuuden johtamisjärjestelmät.

Toimialan keskeinen kehityskohde liittyy kuitenkin siihen, mikä Ranskan tapauksessa nousi esiin. Kriittisissä toiminnoissa tukeudutaan kumppaneihin, ja yhteistyö perustuu pitkäaikaiseen luottamukseen eikä toimittajien riskejä aina seurata järjestelmällisesti. Siksi johtamisjärjestelmässä onkin syytä huomioida myös eri OT-laitteet (kuten kylmälaitteet), niiden suojaukset sekä niiden hallinta. Unohtamatta näiden toimittajien hallintaa ja valvontaa.

Elintarvikeketjun alkupäässä tilanne on heikompi. Puutteita löytyy erityisesti OT-ympäristöjen suojauksesta sekä toimittajien kanssa tehtävistä sopimuksista, joissa tietoturvavaatimuksia ei aina ole määritelty. Kolmansien osapuolten riskienhallinta onkin Huoltovarmuuskeskuksen selvityksen mukaan heikoimpia osa-alueita.

Suomen päivittäistavarakauppa on poikkeuksellisen keskittynyttä. Tämä korostaa yhteisten teknologiavalintojen ja toimittajariippuvuuksien merkitystä: laajasti käytetyn komponentin haavoittuvuus voi vaikuttaa suureen osaan toimialaa. Toisaalta keskitetty järjestelmänhallinta voi myös nopeuttaa korjaustoimenpiteitä.

Pelkkä vähittäiskaupan harjoittaminen ei yleensä tuo yritystä NIS2-direktiivin ja sitä toimeenpanevan kyberturvallisuuslain soveltamisalaan. Suomen suuret kaupan toimijat ovat kuitenkin mukana elintarvikeketjun monessa vaiheessa, esimerkiksi tukkukaupassa, logistiikassa ja omassa elintarviketuotannossa, ja voivat sitä kautta kuulua sääntelyn piiriin. Kylmäketjun turvallisuudesta on silti huolehdittava myös silloin, kun laki ei sitä erikseen edellytä.

Pooli ei tietenkään sulje tai avaa yhtään termostaattia. Yhteisestä tilannekuvasta on hyötyä vain, jos yritys tietää, mitkä sen laitteista ovat verkossa, kuka niihin pääsee etänä ja milloin niiden valmistajatuki päättyy. Lisäksi jonkun on voitava tehdä päätös niiden irrottamisesta verkosta tai päivittämisestä uusiin, kun tuki on päättynyt.

Autamme mielellämme selvittämään, mitä organisaatiostanne näkyy ulospäin ja miten toimittajariskit saadaan hallintaan osana tietoturvan hallintajärjestelmää.

Ville Koskinen
COO & Lead Auditor