ハッカーがフランス国立血液機関の3施設で冷却装置の制御設定を変更しました。職員は製品が損傷する前に保管中の血漿を保護し、物資を移送しました。
フランス血液機構（Établissement français du sang、EFS）によると、11月2日に発生したこの事案は、冷却装置の供給業者を通じて管理されていた機器に影響しました。採血や血液製剤の供給が止まることはありませんでした。
今回の事案は、欧州のスーパーマーケットや食品供給業者の冷却システムを狙った攻撃に続くものです。ただし、EFSの施設で影響を受けた低温室には、輸血や医薬品の製造に使う血漿、さらに保管中の生体試料が入っていました。
EFSは11月3日の声明で、温度と霜取りのしきい値が極めて高い値に変更されていたと説明しました。監視・警報システムがこの変更を検知したため、職員は保管中の製品に影響が及ぶ前に対応できました。
同機構は「健康への影響は確認されておらず、血液製品の損失もありません」としています。
血漿が損傷する前に職員が介入
Le Canard enchaînéの報道によると、攻撃は11月1日から2日にかけての夜間に発生しました。この報道はTF1も取り上げています。通常はマイナス30°C前後に保たれる機器の設定が、110°Cに変更されたといいます。
この数値はプログラム上の設定値であり、血漿が実際に到達した温度ではありません。EFSは動作しきい値が変更されたことを認めましたが、110°Cという数値そのものは公表していません。
当直の技術者が夜間に異常に気づいたと伝えられています。施設の設備に応じて、職員は機器を制御下に置くか、運転を停止し、製品を別の低温保管施設に移しました。
EFSによると、血漿も保管中の試料も損傷しませんでした。同機構は機器と温度の監視を強化しており、技術チームはフランス国家サイバーセキュリティ庁（ANSSI）および保健省と連携して対応しています。
調査当局は、ハッカーがどのように侵入したのか、どの機器が影響を受けたのか、設備を安全に復旧させるために必要な条件は何かを調べています。
供給業者はサードパーティ製コンポーネントを指摘
EFSは声明で冷却装置の供給業者を明らかにしていませんが、Le Canard enchaînéはブルゴーニュ＝フランシュ＝コンテ地域の施設に関する報道などでCoolworldの名前を挙げました。
その後、Coolworldは冷却装置の遠隔監視ソフトウェアに関するサイバーセキュリティ事案があったことを認めました。同社は11月4日の声明で、影響を受けたのは一部の機器にとどまると説明しました。報道で指摘された脆弱性については、自社が直接管理できないサードパーティ製コンポーネントに起因するとしています。
StudySecurity
同社は保護措置を講じ、必要に応じて顧客を支援していると述べましたが、個別の事例についてはコメントを控えました。声明では、問題のコンポーネントを特定しておらず、ハッカーが影響を受けたシステムにどう侵入したのかも説明していません。
同様の攻撃は食品事業にも混乱
EFSの事案は、欧州のスーパーマーケットや英国の食品供給業者の冷却システムを狙った攻撃に続くものです。これらの事案では、温度設定や霜取り機能が書き換えられ、場合によっては警報も無効化されました。複数の小売業者が食品を廃棄せざるを得ませんでした。
フランスのスーパーマーケットでも10月に同様の被害がありました。EFSの事案が同じハッカーや同じ侵入手法によるものかどうかは、調査当局もまだ確認していません。
医療施設では、独立した警報と職員の介入が、改ざんを医療物資の損失につなげるかどうかを左右します。EFSでは、この両方が機能したことで、職員は製品が損傷する前に対処できました。
Ridge Securityのテクニカルマーケティングエンジニアリング担当シニアディレクター、Darin Fredde氏は、Hackread.comに寄せたコメントでこの違いを強調しました。
StudySecurity
「温度の設定値を変えることと、実際の物理的な温度を変えることには、重要な違いがあります。改ざんの試みと、物理的な被害が確認された事態を混同してはいけません。幸い、報じられている監視、警報、職員の対応によって、損傷は防がれたとみられます」
Xcape, Inc.の取締役、Damon Small氏は、人の安全に影響する機器へのアクセスには厳格な管理が必要だと指摘しました。
「人の安全に影響を及ぼしうる機器をインターネットに接続する場合は、強力な認証とアクセス制御が不可欠です。適切なフィルタリングとセキュリティ機構で、アクセスを許可されたユーザーに限定すべきです。こうしたシステムにも、他の重要な運用技術（OT）と同水準の保護が求められます」
翻訳元: https://hackread.com/hackers-tamper-refrigeration-controls-france-blood-service/
