Ing. Calogero Bono
Het Établissement français du sang (EFS), de overheidsinstantie die in Frankrijk bloed inzamelt en verdeelt, heeft een cyberaanval bevestigd op de systemen die op afstand enkele van zijn koelcellen aansturen. Volgens het weekblad Le Canard enchaîné gebeurde alles in de nacht van 1 op 2 november. Het doelwit zou een leverancier zijn geweest, niet de instantie zelf. De zaak telt, omdat ze volgt op de aanvallen op supermarktkoelkasten en het probleem van de boodschappen verschuift naar de gezondheidszorg.
Een paar begrippen, voordat we de feiten induiken. Supervisiesysteem is de software waarmee je temperatuur en functies van een installatie op afstand bewaakt. Plasma is het vloeibare deel van bloed, gebruikt bij transfusies en voor de productie van geneesmiddelen. Biobank is een verzameling biologische monsters die bewaard worden voor behandeling en onderzoek. ANSSI is het Franse agentschap voor cyberveiligheid. Toegang op afstand is de mogelijkheid om van buiten de vestiging in te loggen op een apparaat.
Wat is er gebeurd bij de Franse bloedbank?
Volgens DDay heeft de EFS het incident bevestigd aan BFMTV, na het bericht van de Canard enchaîné. De instantie stelt dat er geen gevolgen voor de gezondheid waren en geen producten verloren zijn gegaan.
Volgens Cybersecurity360 zijn drie locaties getroffen. De aanvallers zouden de temperatuur- en ontdooiinstellingen hebben gewijzigd.
Wie is er echt getroffen?
De EFS benadrukt dat het niet rechtstreeks is geraakt. Het incident zou de supervisiesystemen van de leverancier betreffen, geïnstalleerd op "enkele locaties" van de instantie.
De Canard noemt als doelwit Coolworld, het bedrijf dat het onderhoud van de gekoelde containers verzorgt. Het weekblad noemt vooral de regio Bourgogne-Franche-Comté, in het oosten van Frankrijk.
Dit is het patroon van de toeleveringsketen. Het doelwit is niet het ziekenhuis maar wie de installaties beheert, en het ministerie van Volksgezondheid heeft de toegang op afstand tot de betrokken apparaten uitgeschakeld
Welke temperaturen zijn ingesteld?
De cellen werden op -30 °C gehouden en zouden volgens de Canard geprogrammeerd zijn om 110 °C te bereiken. De EFS heeft niet aangegeven welke temperaturen daadwerkelijk zijn gehaald.
HDblog schrijft dat zo'n temperatuursprong al genoeg is om zakken bloed en plasma onbruikbaar te maken. In de cellen stonden producten die klaarstonden voor levering aan ziekenhuizen, monsters voor de biobanken en plasma bestemd voor het LFB, het publieke laboratorium dat geneesmiddelen maakt.
Hoe heeft de EFS gereageerd?
Volgens de instantie hebben de alarmen de afwijking meteen gemeld. Afhankelijk van het geval zijn de apparaten weer onder controle gebracht of uitgeschakeld, en zijn de producten naar andere cellen overgebracht.
Het ministerie van Volksgezondheid zei dat de toegang op afstand tot de betrokken apparaten is uitgeschakeld. De EFS werkt samen met de ANSSI.
De link met de supermarkten is duidelijk. We schreven hierover toen een nieuwe golf de Europese supermarkten trof. Cybersecurity360 meldt dat NoName057(16) en Z-Pentest de aanvallen op supermarkten claimen, niet die op de EFS.
Beperkingen om te kennen
Veel is nog niet geverifieerd. Het technisch onderzoek moet duidelijk maken hoe de aanval verliep, hoeveel apparaten erbij betrokken zijn en wanneer de cellen veilig weer in gebruik kunnen. De 110 °C komt van de Canard, niet van de EFS. Een directe link met de aanvallen op supermarkten is niet bewezen, ook al kwam dit ongeveer drie weken na die van oktober. De bronnen verschillen over het aantal locaties, Cybersecurity360 noemt er drie.
Wat er verandert voor wie met digitale systemen werkt
Wie aangesloten installaties beheert, in de zorg of in de handel, moet ook het risico meerekenen dat via de leverancier binnenkomt. Vraag wie het onderhoud doet welke toegangen op afstand bestaan en wie die gebruikt. Schakel de toegangen uit die niet nodig zijn, zoals het Franse ministerie heeft gedaan. Controleer of temperatuuralarmen werken, los van het supervisiesysteem. Voor de Italiaanse richtlijnen lees je wat er verandert voor wie aangesloten installaties beheert en wat je moet doen.
Ons standpunt
Het ernstigste feit zijn niet de 110 °C, maar dat één zwakke schakel buiten de instantie genoeg was. De EFS stelt dat het niet direct is geraakt, en dat klopt technisch, maar voor het plasma maakt dat weinig uit. Zolang onderhoud op afstand als een contractueel detail wordt behandeld en niet als aanvalsoppervlak, zullen soortgelijke incidenten zich herhalen. De alarmen werkten, en dat is het goede nieuws. Het is echter geen bewijs dat het systeem standhoudt, want een trager type aanval zou ongemerkt kunnen blijven.
Veelgestelde vragen
Is het bloed verloren gegaan?
Volgens de EFS niet. De instantie zegt dat er geen gevolgen voor de gezondheid waren en geen producten verloren zijn gegaan. Deze versie is nog niet door onafhankelijk onderzoek bevestigd.
Is de EFS rechtstreeks gehackt?
Volgens de instantie niet. Het incident betreft de supervisiesystemen van een leverancier, geïnstalleerd op enkele locaties. De Canard noemt Coolworld als het getroffen bedrijf.
Hoeveel zijn de koelkasten opgewarmd?
Dat is niet bevestigd. De Canard spreekt van cellen die geprogrammeerd waren om van -30 °C naar 110 °C te gaan. De EFS heeft niet aangegeven welke temperaturen daadwerkelijk zijn bereikt.
Wanneer vond de aanval plaats?
In de nacht van 1 op 2 november, volgens de Canard enchaîné. Het incident volgt ongeveer drie weken na de aanvallen van oktober op Franse supermarkten.
Heeft het ook met Italië te maken?
Niet rechtstreeks. De aanval op de EFS vond in Frankrijk plaats. De aanvallen op supermarkten hebben zich wel uitgebreid naar Italië, en Cybersecurity360 spreekt van gevolgen voor de Italiaanse gezondheidsveiligheid.
Wat je de komende weken moet volgen rond toegang op afstand tot installaties
Het Franse onderzoek zal uitwijzen of het om een geïsoleerd geval gaat of om een model dat zich kan herhalen. Voorlopig tellen de technische bevestigingen.
- Volg de resultaten van het ANSSI-onderzoek naar de aanvalsvector en het aantal betrokken apparaten.
- Let op of er claims verschijnen die verband houden met de golven van aanvallen op supermarkten.
- Vraag leveranciers van installaties om een actueel en controleerbaar logboek van toegang op afstand.
