🇪🇺Европейский закон о киберустойчивости не заставит вендоров патчить взломанные холод...
🇪🇺Европейский закон о киберустойчивости не заставит вендоров патчить взломанные холодильники французских супермаркетов Агентство ЕС по кибербезопасности (ENISA) 19 октября разъяснило, что новое европейское законодательство не обяжет производителей выпускать патчи для устаревших холодильных контроллеров, пострадавших в ходе масштабной кибератаки на французские супермаркеты. Ранее в октябре злоумышленники скомпрометировали доступные из интернета интерфейсы удалённого управления холодильными установками в розничных сетях Intermarché, Carrefour, Monoprix, Leclerc и Coopérative U, принудительно переведя часть оборудования в режим непрерывной разморозки при температуре 50 °C. Из-за массовой порчи продуктов ущерб ритейлеров оценивается в десятки миллионов евро, а прокуратура Парижа уже приняла около 10 официальных заявлений и предварительно насчитала примерно 700 пострадавших объектов. Национальное агентство безопасности информационных систем Франции (ANSSI) и правительственный центр реагирования CERT-FR зафиксировали компрометацию контроллеров Danfoss серий AK-SM и AK-SC, а также систем Copeland xweb и Dixell xweb, призвав операторов немедленно закрыть к ним прямой доступ из интернета и перевести управление в защищённый VPN-контур либо применить экстренную временную фильтрацию IP-адресов на межсетевом экране. Действующие с 11 сентября 2026 года правила отчётности по Акту о киберустойчивости ЕС (Cyber Resilience Act, CRA) обязывают производителей оборудования и ПО в течение 24 часов уведомлять регуляторов об активно эксплуатируемых уязвимостях и серьёзных инцидентах даже в тех устройствах, которые уже сняты с поддержки и больше не продаются в Евросоюзе, но всё ещё используются клиентами. Однако предусмотренная Регламентом (ЕС) 2024/2847 обязанность устранять уязвимости и выпускать бесплатные обновления безопасности действует только в период официальной поддержки (по закону он составляет не менее пяти лет или равен расчётному сроку службы) и не распространяется на продукцию, выпущенную на рынок до 11 декабря 2027 года без последующей существенной модификации либо уже достигшую конца жизненного цикла (End-of-Life). Компания Copeland подтвердила наличие уязвимости в снятом с производства поколении контроллеров и помогает затронутым заказчикам снизить риски, обещая укреплять защиту клиентов за счёт поддерживаемых продуктов, актуального ПО и отраслевых практик безопасности, тогда как в Danfoss не ответили на запрос журналистов, но ранее указывали на прекращение поддержки атакованных моделей. Пока европейская сеть центров реагирования EU CSIRTs Network отслеживает ситуацию и обменивается данными, а ANSSI и прокуратура Парижа ведут собственные расследования, точное число пострадавших клиентов Copeland и факт подачи вендорами уведомлений в ENISA остаются нераскрытыми, причём ответственность за кибератаку до сих пор никто на себя не взял. ✋ @Russian_OSINT