欧州連合（EU）のサイバーセキュリティ機関は月曜日、EUの新たなサイバー規則では、製造元に対してサポート終了（EOL）製品を狙った攻撃の報告は義務付けられるものの、問題の修正までは強制できないとの見解を示しました。この発表は、フランスの数百のスーパーマーケットで冷蔵システムがサイバー攻撃を受けたことを受けたものです。
当時の報道によると、今月初め、フランス各地のスーパーマーケットで、インターネットに公開されていた冷蔵システムのリモートコントローラーがハッカーに侵害されました。一部の機器は、50°Cでの連続除霜サイクルに入ってしまったということです。
被害を受けたのは、Intermarché、Carrefour、Monoprix、Leclerc、Coopérative Uなどの食品小売チェーンです。傷んだ在庫を廃棄せざるを得なくなり、金銭的損失は数千万ユーロに上ると推定されています。
フランスのサイバーセキュリティ機関ANSSIは、「冷蔵システムのリモートコントローラーが侵害されたことを認識している」と表明しました。対象としてDanfossのAK-SMおよびAK-SCシリーズ、Copelandのxweb、Dixellのxwebの各製品を挙げています。
同機関の緊急対応チーム（CERT-FR）は先週月曜日に注意喚起を発出しました。ANSSIは、さらなる攻撃を防ぐため、インターネットに公開されているコントローラーを切断するか、アクセスをフィルタリングするよう運用者に求めています。
同機関はRecorded Future Newsに対し、「調査は継続中だ」と説明しました。さらに、影響を受けうる各分野で予防・復旧措置の調整を進めており、「特に大手小売業者に重点を置いている」と付け加えました。
Copelandは声明で、「製造を終了したEOL世代のコントローラーで特定された脆弱性」を認めました。そのうえで、「影響を受けた顧客と協力し、リスクの軽減に取り組んでいる」としています。
同社は、「サポート対象の製品、最新のソフトウェア、業界推奨の対策を通じて、顧客のサイバーセキュリティ強化を引き続き支援する」と述べました。影響を受けた顧客の数については明らかにしていません。
Danfossはコメント要請に応じませんでしたが、影響を受けた同社の機器もEOL製品だったとしています。
パリ検察庁はRecorded Future Newsに対し、「約10件の告訴」を受理し、「被害者の数は約700」と見積もっていると明らかにしました。捜査は現在も続いており、これまでのところ、攻撃の犯行声明を出した者はいないということです。
EUの対応
先月施行されたEUのサイバーレジリエンス法（Cyber Resilience Act）の規定は、EU域内で販売される接続型のハードウェアおよびソフトウェア製品の製造元に対し、積極的に悪用されている脆弱性や、自社製品に影響する重大なインシデントの報告を義務付けています。対象は、消費者向けガジェットから、今回フランスで被害を受けたような産業用コントローラーまで幅広く及びます。
欧州連合サイバーセキュリティ機関（ENISA）はRecorded Future Newsに対し、この義務は「EU域内ではすでに販売されていないものの、使用され続けている」EOL製品も対象になると説明しました。また、「デジタル要素を持つ製品のサポートが終了した後も、報告義務は引き続き適用される」としています。
一方、脆弱性の修正や無償のセキュリティアップデートの提供など、脆弱性対応に関する別の義務は、製造元が定める製品のサポート期間中にしか適用されません。
ENISAによると、2027年12月11日より前に市場に投入された製品や、サポートが終了した製品は、今回標的となった冷蔵コントローラーのように、「製造元が脆弱性対応義務を遵守する必要はない」とのことです。
同機関は、製造元から受け取った可能性のある個別の通知に関する情報の開示を拒否しました。また、製造元のいずれかが今回の攻撃を報告したかどうかについても明らかにしていません。各国のサイバー緊急対応チームで構成するEU CSIRTsネットワークは、「積極的に情報を交換し、状況を監視している」としています。
ANSSIも、「欧州レベルでも同様に動いており、各国の担当機関と定期的に対話を続けている」と付け加えました。
翻訳元: https://therecord.media/eu-cyber-law-wont-force-fixes-for-fridges-in-french-attack
