BRUSSEL, Belgia / EuroWire.IO / – EUs nettsikkerhetsmyndigheter har oppfordret organisasjoner til å iverksette umiddelbare tiltak for å redusere sin eksponering for cybertrusler etter en ny bølge av angrep på kjølesystemer 1. og 2. november. Advarselen kom i en felles uttalelse publisert 4. november. Den følger hendelser som forstyrret kjøleskap og frysere i supermarkeder i flere EU-land. De første hendelsene dateres tilbake til 11. oktober, heter det i uttalelsen.
Uttalelsen ble utstedt av Den europeiske unions byrå for cybersikkerhet (ENISA), Europakommisjonen, Europols europeiske senter for cyberkriminalitet (EC3), EUs nettverk av team for respons på datasikkerhetshendelser og det europeiske nettverket av kontaktorganisasjoner for cyberkriser (EU-CyCLONe). De berørte medlemslandene etterforsker hendelsene og gir veiledning. Nasjonale responsteam og krisehåndteringsmyndigheter fortsetter å utveksle informasjon og overvåke utviklingen. Uttalelsen identifiserte ikke hvem som sto bak angrepene.
ENISA og andre EU-organer overvåker situasjonen for å støtte en koordinert respons på tvers av blokken. Byråene rådet organisasjoner til å konsultere de nyeste sikkerhetsrådene utstedt av nasjonale responsteam, tilgjengelige gjennom offisielle kanaler og ENISAs rådgivningssamling. CSIRT-nettverket utstedte en rådgivning 3. november som dekker kompromitterte kjølekontrollere i detaljhandelsanlegg. I USA har CISA og FBI utstedt lignende retningslinjer for angrep mot elektroniske temperaturkontrollere.
Produsenter må rapportere utnyttede feil
Byråene minnet maskinvare- og programvareprodusenter om deres forpliktelser i henhold til EUs lov om cyberrobusthet. Siden 11. september 2026 har produsenter vært pålagt å rapportere alvorlige hendelser og aktivt utnyttet sårbarheter gjennom lovens felles rapporteringsplattform. Lovens viktigste krav til cybersikkerhet trer i kraft 11. desember 2027. Produsenter må da bygge sikkerhet inn i produktdesign. De må også tilby sikkerhetsstøtte gjennom hele produktets livssyklus og håndtere sårbarheter uten forsinkelse.
Organisasjoner som omfattes av EUs nettverks- og informasjonssikkerhetsdirektiv, kjent som NIS2, må implementere tiltak for risikostyring innen cybersikkerhet. De er også pålagt å rapportere betydelige hendelser til relevante nasjonale myndigheter eller hendelseshåndteringsteam for datasikkerhet. Medlemsstatene har implementert direktivet i nasjonal lov, og Østerrikes nye cybersikkerhetslov trådte i kraft i oktober. ENISA sa at de fortsetter å fremme prinsippene om innbygd sikkerhet og standardsikkerhet gjennom teknisk rådgivning og veiledning.
Supermarkedkjøleskap satt til 50 °C
De siste hendelsene rammet supermarkeder i Sverige, Nederland, Belgia, Irland, Luxembourg og Estland 2. november. Angriperne satte fordamperne i avrimingsmodus, ifølge det belgiske kjøleselskapet Sabcobel, og noen frysere var satt til 50 °C. Kjeder som Ahold Delhaize, Carrefour Belgium, ICA, Coop og SuperValu rapporterte at butikker var berørt. Forhandlere fjernet kjølte og frosne produkter fra salg på enkelte steder. Irlands Musgrave sa at 13 av deres 223 SuperValu-butikker var berørt.
I Frankrike tok hackere kontroll over kjøleenheter i hundrevis av supermarkeder i oktober, noe som forårsaket branner og mattap. Et fransk cybersikkerhetsvarsel koblet disse angrepene til kjølekontrollere fra Danfoss og Copeland/Dixell, rapporterte BleepingComputer. Detaljhandelsforeningen EuroCommerce har etterlyst sterkere cybersikkerhet i sektoren. Ingen grupper har tatt på seg ansvaret for angrepene. EU-kommissær Christophe Hansen kalte dem et bevisst forsøk på å forstyrre EUs matforsyning.
Innlegget EU-byråer oppfordrer til handling etter cyberangrep på kjøleanlegg dukket først opp på Anti-Jacobin .