Francija: Obsežen nenavaden kibernetski napad
V Franciji je obsežen kibernetski napad prizadel več sto trgovin večjih trgovskih verig. Napadalcem je uspelo na daljavo poseči v delovanje povezanih hladilnih sistemov in temperaturo v nekaterih hladilnikih dvigniti vse do 50 °C.
Napad se je zgodil v noči z 11. na 12. oktober 2026, med prizadetimi trgovskimi verigami pa sta bili tudi eLeclerc, Intermarché in Coopérative U. Samo v skupini Intermarché je bilo po prvotnih informacijah prizadetih približno 150 trgovin, kjer naj bi temperatura hladilnih naprav več ur dosegala tudi 50 °C. Posledice so bile uničena živila, velika finančna škoda, ponekod pa so poročali celo o požarih. Zaradi tveganja za zdravje potrošnikov so morali zavreči zaloge svežih in zamrznjenih živil.
Po prvih ugotovitvah francoske nacionalne agencije za kibernetsko varnost (ANSSI) je bil napad povezan z ranljivostjo programske opreme za upravljanje hladilnih sistemov danskega proizvajalca Danfoss. Ta je potrdil, da so prizadete naprave uporabljale zastarelo strojno programsko opremo (firmware), in poudaril, da uporabnike že dlje časa opozarja na potrebo po rednem posodabljanju oziroma zamenjavi starejših sistemov.
Francosko državno tožilstvo je uvedlo preiskavo, pristojni organi pa preverjajo tudi možnost širjenja napada v druge evropske države. O varnostnih težavah je poročala tudi nizozemska skupina Ahold Delhaize, vendar povezava med incidentoma še ni potrjena.
Kibernetska varnost povezanih naprav in vidik GDPR
Incident opozarja, da kibernetski napadi niso omejeni na krajo podatkov, izsiljevalsko programsko opremo ali nedelovanje informacijskih sistemov. Ranljivosti povezanih naprav lahko povzročijo tudi neposredno materialno škodo, motnje poslovanja in celo ogrozijo fizično varnost ljudi.
Posebej pomembno je vprašanje rednega posodabljanja programske opreme in upravljanja ranljivosti. Povezane naprave, ki se uporabljajo pri vsakodnevnem poslovanju, so pogosto manj izpostavljene varnostnemu nadzoru kot običajni informacijski sistemi, čeprav so lahko prav tako dostopna točka za kibernetske napadalce.
Z vidika GDPR dogodek predstavlja tudi pomemben opomnik glede obveznosti zagotavljanja ustrezne varnosti obdelave iz 32. člena GDPR. Kadar so takšni sistemi vključeni v obdelavo osebnih podatkov, morajo upravljavci in obdelovalci zagotoviti tehnične in organizacijske ukrepe, ki ustrezajo tveganjem, vključno z rednim preverjanjem njihove učinkovitosti.
Ob tem velja poudariti, da iz doslej objavljenih informacij ne izhaja, da bi pri konkretnem napadu prišlo do kršitve varnosti osebnih podatkov. Dogodek zato sam po sebi še ne pomeni kršitve GDPR, jasno pa kaže, kako pomembno je celovito obvladovanje kibernetskih tveganj, tudi pri napravah, ki jih na prvi pogled ne povezujemo z varstvom podatkov.
Vir: Reuters, The Guardian
Naslovna fotografija: Pexels
