Ing. Calogero Bono
法国血液机构（Établissement français du sang，EFS）是法国负责采集和分发血液的公共机构，它已确认其用于远程控制部分冷柜的系统遭到网络攻击。据周刊《鹅报》（Le Canard enchaîné）报道，事件发生在11月1日至2日夜间。攻击目标据称是一家供应商，而非该机构本身。此事值得关注，是因为它发生在超市冷柜遭攻击之后，把问题从购物领域引向了医疗领域。
在进入事实之前，先了解几个术语。 监控系统是一种允许远程控制设备温度和运行功能的软件。血浆是血液的液体部分，用于输血并用于生产药品。生物样本库是保存用于治疗和研究的生物样本的集合。ANSSI是法国国家网络安全局。远程访问是指在设备所在地之外连接该设备的能力。
法国血库发生了什么事？
据DDay报道，在《鹅报》披露此事后，EFS向BFMTV证实了该事件。该机构称既没有造成健康后果，也没有产品损失。
据Cybersecurity360报道，共有三处站点受到影响。攻击者据称篡改了温度和除霜指令。
真正的受害者是谁？
EFS强调自己并未被直接攻击。此次事件涉及的是供应商的监控系统，这些系统安装在该机构的“部分站点”。
《鹅报》指出目标是Coolworld公司，该公司负责冷藏容器的维护。该周刊主要提及法国东部的勃艮第-弗朗什-孔泰大区。
这正是供应链的典型模式。攻击目标不是医院，而是管理其设备的一方，法国卫生部已关闭了相关设备的远程访问。
设定的温度是多少？
冷柜原本保持在-30 °C，据《鹅报》称，它们被设定为升至110 °C。EFS未公布实际达到的温度。
HDblog写道，如此剧烈的温度变化足以使血袋和血浆无法再使用。冷柜中存放着等待运往医院的产品、用于生物样本库的样本，以及准备交给LFB（公立制药实验室）制药的血浆。
EFS如何回应？
据该机构称，报警系统立即发出了异常提示。视情况而定，设备或被恢复正常控制，或被关闭，产品则被转移到其他冷柜。
法国卫生部表示，相关设备的远程访问已被关闭。EFS正与ANSSI合作。
这一事件与超市攻击的关联十分明显。我们在新一波攻击冲击欧洲超市时曾报道过此事。Cybersecurity360报道称，NoName057(16)和Z-Pentest宣称对超市攻击负责，而非EFS这起。
需要了解的局限
许多信息尚未核实。技术调查需要厘清攻击方式、涉及多少台设备，以及冷柜何时才能安全恢复运行。110 °C的温度数据来自《鹅报》，而非EFS。目前没有证据直接证明此次事件与超市攻击有关，尽管它发生在十月攻击之后约三周。各方来源对受影响站点的数量说法不一，Cybersecurity360称为三处。
这对数字化行业从业者意味着什么
管理联网设备的机构，无论是医疗还是商业领域，都需要考虑风险可能通过供应商进入。请询问负责维护的人员存在哪些远程访问通道，以及由谁使用。关闭不需要的通道，正如法国卫生部所做的那样。确认温度报警能够独立于监控系统正常工作。如需了解意大利的相关指引，请阅读对管理联网设备者意味着什么以及应当怎么做。
我们的看法
最严重的不是110 °C，而是仅仅一个机构之外的薄弱环节就足以造成影响。EFS声称并未被直接攻击，从技术上讲可能属实，但对血浆而言这一区别意义不大。只要远程维护仍被当作合同细节而非攻击面来对待，类似事件就还会重演。报警系统起到了作用，这是好消息。但不应将其视为系统足够可靠的证明，因为更缓慢的攻击可能悄无声息地逃过监测。
常见问题
血液有没有损失？
据EFS称没有。该机构表示既没有造成健康后果，也没有产品损失。这一说法尚未经过独立调查核实。
EFS是否被直接黑客攻击？
据该机构称没有。事件涉及某供应商在部分站点安装的监控系统。《鹅报》指出Coolworld为受影响的公司。
冷柜温度升到多少？
尚未证实。《鹅报》称冷柜被设定为从-30 °C升至110 °C。EFS未公布实际达到的温度。
攻击何时发生？
据《鹅报》，发生在11月1日至2日夜间。此事距离十月法国超市遭攻击约三周。
意大利是否也受影响？
并非直接受影响。对EFS的攻击发生在法国。超市攻击则也波及了意大利，Cybersecurity360提到其对意大利医疗安全的影响。
未来几周需要关注设备远程访问的哪些问题
法国的调查将决定这是孤立事件还是可复制的模式。目前最重要的是技术层面的确认。
- 关注ANSSI关于攻击向量和涉及设备数量的调查结果。
- 留意是否出现与超市攻击相关的声明。
- 要求设备供应商提供远程访问记录，并确保记录是最新且可核验的。
