BRUSEL, Belgie / EuroWire.IO / – Orgány Evropské unie pro kybernetickou bezpečnost vyzvaly organizace, aby okamžitě přijaly opatření ke snížení své expozice kybernetickým hrozbám po nové vlně útoků na chladicí systémy z 1. a 2. listopadu. Varování přišlo ve společném prohlášení zveřejněném 4. listopadu. Navazuje na incidenty, které narušily provoz ledniček a mrazniček v supermarketech v několika zemích EU. První incidenty se datují do 11. října, uvádí se v prohlášení.
Prohlášení vydala Agentura Evropské unie pro kybernetickou bezpečnost (ENISA), Evropská komise, Evropské centrum pro boj s kyberkriminalitou (EC3) při Europolu, Síť týmů EU pro reakci na počítačové bezpečnostní incidenty a Síť evropských styčných organizací pro kybernetické krize (EU-CyCLONe). Dotčené členské státy incidenty vyšetřují a poskytují pokyny. Národní týmy pro reakci a orgány pro krizové řízení si nadále vyměňují informace a sledují vývoj. Prohlášení neuvádí, kdo za útoky stál.
Agentura ENISA a další orgány EU situaci monitorují, aby podpořily koordinovanou reakci v celém bloku. Agentury organizacím doporučily, aby se seznámily s nejnovějšími bezpečnostními doporučeními vydanými národními zásahovými týmy, která jsou k dispozici prostřednictvím oficiálních kanálů a sbírky doporučení ENISA. Síť CSIRT vydala 3. listopadu doporučení týkající se kompromitovaných chladicích jednotek v maloobchodních zařízeních. Ve Spojených státech vydaly podobné pokyny k útokům na elektronické regulátory teploty CISA a FBI.
Výrobci musí hlásit zneužité nedostatky
Agentury připomněly výrobcům hardwaru a softwaru jejich povinnosti vyplývající z zákona EU o kybernetické odolnosti. Od 11. září 2026 jsou výrobci povinni hlásit závažné incidenty a aktivně zneužívat zranitelnosti prostřednictvím jednotné platformy pro hlášení. Hlavní požadavky zákona na kybernetickou bezpečnost nabývají účinnosti 11. prosince 2027. Výrobci pak budou muset zabudovat zabezpečení do návrhu produktů. Musí také poskytovat bezpečnostní podporu v průběhu celého životního cyklu produktů a neprodleně řešit zranitelnosti.
Organizace, na které se vztahuje směrnice EU o bezpečnosti sítí a informací, známá jako NIS2, musí zavést opatření pro řízení kybernetických rizik. Jsou také povinny hlásit významné incidenty příslušným vnitrostátním orgánům nebo týmům pro reakci na počítačové bezpečnostní incidenty. Členské státy směrnici provádějí do svého vnitrostátního práva, přičemž nový rakouský zákon o kybernetické bezpečnosti vstoupil v platnost v říjnu. Agentura ENISA uvedla, že i nadále prosazuje principy „secure-by-design“ a „secure-by-default“ prostřednictvím technických doporučení a pokynů.
Lednice v supermarketech nastavené na 50 °C
Nejnovější incidenty zasáhly supermarkety ve Švédsku, Nizozemsku, Belgii, Irsku, Lucembursku a Estonsku 2. listopadu. Útočníci podle belgické chladicí společnosti Sabcobel přepnuli výparníky do režimu odmrazování a některé mrazničky byly nastaveny na 50 °C. O postižených prodejnách informovaly řetězce včetně Ahold Delhaize, Carrefour Belgium, ICA, Coop a SuperValu. Maloobchodníci v některých lokalitách stáhli z prodeje chlazené a mražené výrobky. Irská pobočka Musgrave uvedla, že postiženo bylo 13 z jejích 223 prodejen SuperValu.
Ve Francii se v říjnu hackeři zmocnili chladicích jednotek ve stovkách supermarketů, což způsobilo požáry a ztráty potravin. Francouzské varování v oblasti kybernetické bezpečnosti spojovalo tyto útoky s chladicími řídicími jednotkami společností Danfoss a Copeland/Dixell, informoval server BleepingComputer. Maloobchodní asociace EuroCommerce vyzvala k posílení kybernetické bezpečnosti v tomto odvětví. Žádná skupina se k útokům nepřihlásila. Evropský komisař Christophe Hansen je označil za úmyslný pokus o narušení dodávek potravin v EU.
Příspěvek Agentury EU naléhají na akci po kybernetických útocích na chladicí zařízení se poprvé objevil na Bradford Pioneer .