Na een cyberaanval op Franse supermarktkoelsystemen blijkt dat de EU-cyberwet fabrikanten niet verplicht kwetsbaarheden in end-of-life producten te verhelpen.
De nieuwe Europese cyberwetgeving verplicht fabrikanten om aanvallen op hun end-of-life producten te melden, maar dwingt hen niet om de kwetsbaarheden te verhelpen. Dit maakte het EU-agentschap voor cybersecurity (ENISA) bekend na een recente cyberaanval op koelsystemen van honderden Franse supermarkten.
Begin deze maand wisten hackers toegang te krijgen tot op internet aangesloten afstandsbedieningen voor koelsystemen bij diverse Franse supermarktketens, waaronder Intermarché, Carrefour, Monoprix, Leclerc en Coopérative U. De aanvallers dwongen sommige koelunits in een continue ontdooicyclus bij 50 graden Celsius, wat leidde tot grote voedselverliezen en een geschatte schade van tientallen miljoenen euro's. De Franse cybersecuritydienst ANSSI meldde dat de getroffen apparaten onder meer Danfoss’ AK-SM en AK-SC series, Copeland’s xweb en Dixell’s xweb betroffen. ANSSI’s incident response team CERT-FR gaf een waarschuwing uit en adviseerde om controllers die via internet bereikbaar zijn te ontkoppelen of te filteren om verdere aanvallen te voorkomen.
Copeland erkende de kwetsbaarheid in een verouderde generatie controllers en werkt samen met getroffen klanten om risico’s te beperken. Danfoss bevestigde dat ook hun getroffen units end-of-life zijn, maar gaf geen verdere reactie. De Parijse officier van justitie ontving ongeveer tien klachten en schat het aantal slachtoffers op circa 700. De dader heeft zich nog niet gemeld en het onderzoek loopt nog.
De Cyber Resilience Act van de EU, die vorige maand van kracht werd, verplicht fabrikanten van verbonden hardware en software om actief misbruikte kwetsbaarheden en ernstige incidenten te melden, ook voor producten die niet meer worden verkocht maar nog in gebruik zijn. Volgens ENISA geldt deze meldplicht ook voor end-of-life producten. Echter, de verplichtingen om kwetsbaarheden te verhelpen en gratis beveiligingsupdates te leveren gelden alleen tijdens de door de fabrikant bepaalde ondersteuningsperiode. Voor producten die vóór 11 december 2027 op de markt zijn gebracht of waarvan de ondersteuning is beëindigd, zoals de gehackte koelcontrollers, geldt deze verplichting niet. ENISA gaf geen informatie over specifieke meldingen van fabrikanten en bevestigde dat het EU CSIRTs-netwerk de situatie actief monitort en informatie uitwisselt. ANSSI is eveneens op Europees niveau betrokken en onderhoudt regelmatig contact.
