BRUKSELA, Belgia / EuroWire.IO / – Organy ds. cyberbezpieczeństwa Unii Europejskiej wezwały organizacje do podjęcia natychmiastowych działań w celu ograniczenia narażenia na cyberzagrożenia po nowej fali ataków na systemy chłodnicze 1 i 2 listopada. Ostrzeżenie pojawiło się we wspólnym oświadczeniu opublikowanym 4 listopada. Jest ono następstwem incydentów, które zakłóciły pracę lodówek i zamrażarek w supermarketach w kilku krajach UE. Pierwsze incydenty miały miejsce 11 października, podano w oświadczeniu.
Oświadczenie zostało wydane przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), Komisję Europejską, Europejskie Centrum ds. Cyberprzestępczości (EC3) Europolu, Sieć Zespołów Reagowania na Incydenty Bezpieczeństwa Komputerowego UE oraz Sieć Organizacji Łącznikowych ds. Kryzysów Cybernetycznych (EU-CyCLONe). Dotknięte incydentami państwa członkowskie badają incydenty i udzielają wskazówek. Krajowe zespoły reagowania i organy zarządzania kryzysowego nadal wymieniają się informacjami i monitorują rozwój sytuacji. W oświadczeniu nie wskazano, kto stoi za atakami.
ENISA i inne organy UE monitorują sytuację, aby wspierać skoordynowaną reakcję w całym bloku. Agencje zaleciły organizacjom zapoznanie się z najnowszymi zaleceniami bezpieczeństwa wydanymi przez krajowe zespoły reagowania, dostępnymi za pośrednictwem oficjalnych kanałów oraz w zbiorze zaleceń ENISA. Sieć CSIRT wydała 3 listopada ostrzeżenie dotyczące naruszeń bezpieczeństwa sterowników chłodniczych w obiektach handlowych. W Stanach Zjednoczonych CISA i FBI wydały podobne wytyczne dotyczące ataków na elektroniczne regulatory temperatury.
Producenci muszą zgłaszać wykorzystywane wady
Agencje przypomniały producentom sprzętu i oprogramowania o ich obowiązkach wynikających z unijnej ustawy o cyberodporności. Od 11 września 2026 r. producenci mają obowiązek zgłaszania poważnych incydentów i aktywnie wykorzystywanych luk w zabezpieczeniach za pośrednictwem Jednolitej Platformy Zgłaszania (Single Reporting Platform). Główne wymogi ustawy dotyczące cyberbezpieczeństwa wchodzą w życie 11 grudnia 2027 r. Producenci będą musieli uwzględniać zabezpieczenia w projektowaniu swoich produktów. Muszą również zapewniać wsparcie w zakresie bezpieczeństwa przez cały cykl życia produktu i niezwłocznie usuwać luki w zabezpieczeniach.
Organizacje objęte unijną dyrektywą w sprawie bezpieczeństwa sieci i informacji (NIS2) muszą wdrożyć środki zarządzania ryzykiem cyberbezpieczeństwa. Są one również zobowiązane do zgłaszania poważnych incydentów odpowiednim organom krajowym lub zespołom reagowania na incydenty bezpieczeństwa komputerowego. Państwa członkowskie transponują dyrektywę do prawa krajowego, a nowe prawo dotyczące cyberbezpieczeństwa w Austrii weszło w życie w październiku. ENISA poinformowała, że nadal promuje zasady bezpieczeństwa w fazie projektowania i bezpieczeństwa domyślnego poprzez doradztwo techniczne i wytyczne.
Lodówki w supermarketach ustawione na 50°C
Najnowsze incydenty dotknęły supermarkety w Szwecji, Holandii, Belgii, Irlandii, Luksemburgu i Estonii 2 listopada. Według belgijskiej firmy chłodniczej Sabcobel, atakujący przełączyli parowniki w tryb rozmrażania, a niektóre zamrażarki były ustawione na 50°C. Sieci takie jak Ahold Delhaize, Carrefour Belgium, ICA, Coop i SuperValu zgłosiły problemy w swoich sklepach. Sprzedawcy detaliczni wycofali produkty chłodzone i mrożone ze sprzedaży w niektórych lokalizacjach. Irlandzka sieć Musgrave poinformowała, że problem dotyczył 13 z 223 sklepów SuperValu.
We Francji hakerzy przejęli kontrolę nad agregatami chłodniczymi w setkach supermarketów w październiku, powodując pożary i straty żywności. Francuski alert cyberbezpieczeństwa powiązał te ataki ze sterownikami chłodniczymi Danfoss i Copeland/Dixell, poinformował BleepingComputer. Stowarzyszenie handlu detalicznego EuroCommerce zaapelowało o wzmocnienie cyberbezpieczeństwa w tym sektorze. Żadna grupa nie przyznała się do ataków. Komisarz europejski Christophe Hansen nazwał je celową próbą zakłócenia dostaw żywności do UE.
Artykuł Agencje UE wzywają do podjęcia działań po cyberatakach na urządzenia chłodnicze pojawił się jako pierwszy w Edinburgh Report .