De Franse bloedvoorziening, het Établissement français du sang (EFS), meldde dat bij drie opslaglocaties de temperatuur- en ontdooigrenswaarden van koelruimtes waren aangepast. Daar lagen onder meer bloedmonsters en plasma, waaronder plasma voor transfusies.
1
4
De veelgenoemde 110°C was een aangepaste doelinstelling — geen bewijs dat het plasma of de koelruimtes die temperatuur daadwerkelijk bereikten. Volgens de berichtgeving is niet vastgesteld hoe hoog de temperatuur in werkelijkheid opliep.
14 EFS zegt dat alarmsystemen de afwijkingen opmerkten en dat medewerkers konden ingrijpen voordat producten of monsters beschadigd raakten.
1
4
Wat er met de koeling gebeurde
De cyberaanval vond plaats op 2 november en trof systemen waarmee koelapparatuur bij drie EFS-locaties werd bewaakt en aangestuurd. EFS zei dat de temperatuur- en ontdooidrempels naar „extreem hoge niveaus” waren gezet. Franse media meldden dat een instelling die normaal rond −30°C lag, was veranderd in een doelwaarde van 110°C.
1
De koelruimtes bevatten plasma en bloedmonsters; een deel van het plasma was bestemd voor transfusies.
4
24 Volgens EFS werden geen bloedproducten of monsters aangetast en waren er geen gevolgen voor de gezondheid vastgesteld.
1 Afzonderlijke berichtgeving meldde ook dat de ziekenhuisvoorraden en transfusiediensten niet waren geraakt.
3
De rol van de leverancier en de alarmsystemen
De aanval bereikte de systemen via een leverancier van koelapparatuur. EFS zei dat de bloedvoorziening zelf niet rechtstreeks het doelwit was.
4 Dat verschil is belangrijk: volgens de beschikbare berichtgeving werden systemen rond de koeling van de leverancier geraakt, niet rechtstreeks de eigen hoofdsystemen van EFS.
4
13
De bewakings- en alarmsystemen sloegen aan bij de afwijkende instellingen. Een medewerker die ’s nachts dienst had, zou ook de temperatuurstijging hebben opgemerkt, waarna noodteams ingrepen.
1
3
4 De bronnen geven geen volledig technisch overzicht van wat daarna met elk apparaat gebeurde, maar EFS meldde dat er geen producten verloren gingen.
1
Wat Coolworld heeft gezegd — en wat nog onduidelijk is
Koeltechnisch bedrijf Coolworld zei op de hoogte te zijn van het incident. In een verklaring die door Associated Press werd aangehaald, stelde het bedrijf dat de kwetsbaarheid waarover media berichtten verband hield met een onderdeel van een derde partij en buiten de directe controle van Coolworld viel.
45
EFS heeft drie getroffen locaties genoemd, maar uit de beschikbare berichtgeving blijkt niet hoeveel afzonderlijke koelunits precies waren betrokken.
1 Ook zijn de gebruikte aanvalsmethode, de volledige technische omvang en het moment waarop alle betrokken apparatuur weer veilig in gebruik was niet vastgesteld in de aangehaalde bronnen.
Onderdeel van een bredere reeks koelincidenten
De aanval op de bloedopslag vond plaats te midden van meerdere incidenten met commerciële koelsystemen in Europa. De Europese Commissie en het EU-agentschap voor cyberbeveiliging ENISA meldden dat sinds 11 oktober in verschillende EU-landen commerciële koelsystemen en vergelijkbare apparaten door cyberincidenten waren getroffen. Ook wezen ze op een nieuwe golf op 1 en 2 november.
44
Bij incidenten met koeling in supermarkten moesten sommige winkels voedsel weggooien nadat de temperaturen waren opgelopen.
12
34 De beschikbare berichtgeving bewijst echter niet dat de aanvallen op EFS en de supermarkten door dezelfde dader zijn uitgevoerd of deel uitmaakten van één gecoördineerde campagne. Over de supermarktincidenten was eveneens onduidelijk of ze onderling samenhingen of afzonderlijk waren uitgevoerd.
36 Ook de verantwoordelijke voor de aanval op EFS is in de aangehaalde bronnen niet vastgesteld.
De gebeurtenis laat zien hoe een cyberincident via systemen van een leverancier fysieke apparatuur kan raken. In dit geval kwamen medische voorraden in gevaar, maar volgens EFS voorkwamen alarmsystemen en ingrijpen van personeel dat bloedproducten of monsters verloren gingen.
4
13