U noći s 1. na 2. novembar, nepoznati napadači promijenili su postavke sistema za nadzor i kontrolu u rashladnim prostorijama na tri lokacije Francuske ustanove za krv (EFS), javne službe koja upravlja dobrovoljnim darivanjem krvi u Francuskoj. Sistemi za nadzor su odmah detektovali anomaliju, dežurni tehničar je pravovremeno intervenisao, a EFS i Ministarstvo zdravlja su 4. novembra potvrdili da nijedan proizvod nije izgubljen te da je distribucija nastavljena bez prekida.
Sam EFS nije bio meta. Napadači su ulaz pronašli preko vanjskog dobavljača, kompanije Coolworld, koja održava rashladne kontejnere što ih služba koristi za skladištenje krvnih derivata. „Pogođene su instalacije za nadzor i kontrolu rashladnih soba raspoređenih u tri objekta EFS-a“, navela je služba u saopćenju. U sobama su se nalazili uzorci donorske krvi, vrećice plazme za transfuziju i plazma namijenjena proizvodnji lijekova.
Coolworld je potvrdio incident i saopćio da se ranjivost „odnosi na komponentu dobavljača treće strane i bila je izvan direktne kontrole kompanije Coolworld“, dodajući da je pogođen „samo ograničen broj jedinica“. Kompanija nije navela o kojoj se komponenti radi, niti je li greška otklonjena.
110 stepeni: instrukcija mašinama, a ne izmjerena temperatura
Podatak o 110 °C potiče iz lista Le Canard enchaîné, koji je objavio ovu priču 4. novembra. U svojoj izjavi EFS navodi samo da su pragovi za temperaturu i odmrzavanje „podignuti na izuzetno visok nivo“.
Ta razlika je bitna: 110 °C je zadata vrijednost poslata upravljačima, a ne nužno temperatura koju su prostorije zaista dostigle. Počele su se zagrijavati, ali je intervencija uslijedila prije nego što je išta oštećeno; dio uređaja je ponovo stavljen pod kontrolu, a dio je privremeno isključen iz rada.
Ministarstvo zdravlja je saopćilo da nije bilo „nikakvih operativnih posljedica“ i da je daljinski pristup pogođenim jedinicama onemogućen. Nijedan zvanični izvor nije saopćio do koje je vrijednosti temperatura u sobama porasla.
Tri napada na rashladne sisteme u tri sedmice
Napad na banku krvi nije bio izolovan incident, već treći poznati napad na rashladne sisteme u Evropi od oktobra.
| Napad | Kada | Šta je pogođeno | Posljedice |
|---|---|---|---|
| Prvi | 11–12. oktobar | stotine supermarketa u Francuskoj (Intermarche, Carrefour, E.Leclerc, Cooperative U) | programirano odmrzavanje, temperature do 50 stepeni, hrana uništena |
| Drugi | noć 1–2. novembar | supermarketi u najmanje osam zemalja EU, uključujući Njemačku (Sjeverna Rajna-Vestfalija, Donja Saksonija, Bavarska) | djelimično uništena hrana; pogođena i njemačka farmaceutska industrija |
| Treći | 1–2. novembar | tri lokacije EFS-a, preko Coolworlda | alarmi i intervencija; bez gubitaka |
Oktobarski napad će lanac Ahold Delhaize koštati između 200 i 250 miliona eura izgubljene prodaje u četvrtom kvartalu i do 100 miliona eura operativne dobiti, procijenila je kompanija. Novembarski talas doveo je IT stručnjake na krizni sastanak u Briselu, a evropski povjerenik za poljoprivredu Christophe Hansen govorio je o „namjernom pokušaju“ destabilizacije evropskog lanca snabdijevanja hranom.
Upozorenja su postojala i prije napada
Direktor ANSSI-ja Vincent Strubel u oktobru je rekao francuskom Senatu da napad na supermarkete nije zahtijevao sofisticirane metode. Napadači su se oslanjali na elementarne sigurnosne propuste, od opreme direktno izložene internetu do slabih lozinki. Ranjivosti koje su istraživači ranije objavili u kontrolerima Danfoss i Dixell, prema njegovim riječima, nisu bile one koje su iskorištene.
Strubel je tada upozorio da slične ranjive instalacije postoje u mnogim drugim sektorima, prije svega u zdravstvu, od istraživačkih laboratorija do apoteka koje čuvaju vakcine. Dvije sedmice kasnije, taj se scenarij obistinio.
Njemački BSI je još u oktobru upozorio da se identični napadi na slabo zaštićene sisteme mogu dogoditi u Njemačkoj u bilo kojem trenutku. BSI ponavlja upozorenje i zahtijeva da sistemi za kontrolu rashlađivanja ne budu direktno dostupni s interneta.
Zakon o cyber otpornosti (Cyber Resilience Act) će od kraja 2027. godine nametnuti jaču sigurnost na nove povezane uređaje, ali oprema koja je već instalirana, a proizvođač Danfoss kaže da su napadnute jedinice uglavnom stariji proizvodi, ostat će izvan tog okvira.
Niko ne zna ko stoji iza napada
Proruske grupe preuzele su odgovornost za napade na supermarkete, ali BSI nema dokaze za tu tvrdnju i ne isključuje mogućnost da preuzimaju zasluge za tuđi rad. Slučaj EFS-a istražuju ANSSI i Ministarstvo zdravlja.
U komentaru za francuski Comment Ça Marche, istraživač iz kompanije ESET Benoît Grunemwald dodao je da se odbrana temeljila na nezavisnom praćenju temperature, procedurama, alarmima i mogućnosti brzog premještanja zaliha. Budući da je upad izveden preko spoljnog dobavljača, istakao je da sigurnosne mjere ne smiju završiti samo na opremi kojom organizacija neposredno upravlja.
