Từ tủ đông đến cuộc khủng hoảng hàng hóa
Ngày 2/11, nhân viên tại nhiều cửa hàng châu Âu phát hiện nhiệt độ trong tủ mát và tủ đông tăng bất thường. Một số nơi phải chuyển hàng khỏi tủ hoặc tiêu hủy sản phẩm do không thể bảo đảm chuỗi lạnh. Reuters ghi nhận các vụ việc tại tám quốc gia; các bản tổng hợp cập nhật sau đó đưa ra con số lớn hơn khi thêm doanh nghiệp báo cáo sự cố. Vì thế, không nên coi số quốc gia bị ảnh hưởng tại từng thời điểm là thống kê cuối cùng. Phần lớn cửa hàng vẫn tiếp tục hoạt động, song thiệt hại thực phẩm và công việc phục hồi gây sức ép tức thì lên nhà bán lẻ.
Sự cố cho thấy một kiểu phá hoại khác với vụ đánh cắp mật khẩu hay dữ liệu khách hàng thông thường. Khi máy tính kiểm soát nhiệt độ bị tác động, hậu quả lập tức xuất hiện trong thế giới vật chất: thực phẩm có thể vượt ngưỡng bảo quản an toàn, nhân viên phải kiểm tra từng lô hàng và người tiêu dùng không còn chắc chắn về chất lượng sản phẩm. Tại một cửa hàng ICA ở Thụy Điển, nhân viên nói nhiệt độ tủ đông từng bị đẩy lên tới 50 độ C. Đây là con số của một trường hợp được thuật lại, không phải tình trạng ở mọi địa điểm.
Lỗ hổng nằm ở ranh giới giữa mạng và máy móc
Các hệ thống làm lạnh hiện đại thường có bộ điều khiển, modem hoặc dịch vụ giám sát từ xa để tiết kiệm điện, phát hiện trục trặc và hỗ trợ bảo trì. Những ưu điểm ấy đi kèm rủi ro khi thiết bị được mở trực tiếp ra internet, chạy phần mềm lỗi thời hoặc giữ thiết lập mặc định dễ đoán.
Một khi quyền điều khiển bị chiếm, tin tặc có thể thay đổi cấu hình mà không cần đặt chân vào siêu thị. AP và các chuyên gia an ninh mạng cho biết những điểm yếu đã biết của thiết bị cũ là trọng tâm điều tra; chưa có bằng chứng xác nhận trí tuệ nhân tạo được sử dụng trong đợt này.
Không phải mọi chi nhánh cùng một thương hiệu đều vận hành trên nền tảng kỹ thuật giống nhau. Một số cửa hàng thuộc hệ thống hợp tác xã hoặc nhượng quyền dùng đơn vị lắp đặt và phần mềm riêng, khiến việc rà soát tập trung khó khăn. ICA cho biết cả 23 cửa hàng chịu ảnh hưởng đều sử dụng thiết bị kết nối ngoài mạng được quản trị tập trung của tập đoàn. Điểm yếu nằm ở đường nối giữa cơ sở vật chất và hạ tầng số — nơi một tài khoản bảo trì, modem cũ hoặc cổng truy cập bị bỏ quên có thể trở thành cửa ngõ tấn công.
Các chuỗi bán lẻ ứng phó ra sao?
Coop Thụy Điển cho biết bảy cửa hàng bị tấn công đã hoạt động trở lại nhưng tạm thời ngắt kết nối internet của hệ thống làm lạnh. Công ty đang chuyển sang modem và kết nối mới, đồng thời rà soát an toàn toàn mạng lưới. Carrefour ghi nhận 15 cửa hàng nhượng quyền bị ảnh hưởng tại Bỉ, sau khi khoảng 80 điểm bán ở Pháp từng chịu sự cố tương tự trong tháng trước. Nhà cung cấp giải pháp Danfoss khuyến nghị không để bộ điều khiển có thể bị truy cập trực tiếp từ internet công cộng.
Ngắt kết nối là một biện pháp giảm nguy cơ tức thời, không đồng nghĩa với việc gốc rễ sự cố đã được sửa chữa. Chuyên gia Frank Groenewegen của Deloitte khuyến cáo nhà bán lẻ cần xác định thiết bị nào dễ bị tấn công, kiểm tra kết nối, cài bản vá và bảo đảm thiết bị còn được nhà sản xuất hỗ trợ. Quy trình dự phòng tại cửa hàng — kiểm tra nhiệt độ thủ công, cảnh báo độc lập, quy tắc loại bỏ thực phẩm và kế hoạch gọi kỹ thuật viên — cũng quan trọng như tường lửa hay mật khẩu.
Bảo mật thực phẩm là trách nhiệm chung
Cơ quan an ninh mạng EU ENISA kêu gọi chia sẻ thông tin nhanh giữa doanh nghiệp, nhà cung cấp và chính quyền. Tại Anh, Trung tâm An ninh mạng Quốc gia cảnh báo những hệ thống công nghệ cũ có thể bị lợi dụng để gây gián đoạn thực tế ngày càng thường xuyên. Cảnh sát và cơ quan điều tra tại nhiều nước đã tiếp nhận thông tin, nhưng động cơ và danh tính kẻ tấn công chưa được xác định. Việc gán trách nhiệm cho một quốc gia hoặc nhóm cụ thể lúc này sẽ vượt quá chứng cứ đã công bố.
Thiệt hại không chỉ nằm ở hàng hóa phải bỏ đi. Mỗi tủ lạnh mất kiểm soát kéo theo năng lượng lãng phí, chi phí sửa chữa, gián đoạn nhân công và nguy cơ suy giảm niềm tin của người mua. Các doanh nghiệp nhỏ hoặc cửa hàng nhượng quyền ít nguồn lực thường dễ bị bỏ lại trong quá trình nâng cấp. Bài học đối với toàn ngành bán lẻ là khả năng chống chịu phải được thiết kế từ khâu mua thiết bị, ký hợp đồng dịch vụ, huấn luyện nhân viên đến kiểm thử định kỳ, thay vì chỉ được nhớ tới sau một cuộc khủng hoảng.
