Cyberangrepp ändrade temperaturer i franska blodlager

Ett cyberangrepp mot kylutrustning som används av den franska blodorganisationen Établissement français du sang (EFS) upptäcktes under natten till måndag, rapporterar franska medier.

Angreppet riktades mot företaget Coolworld, som levererar kylutrustning och underhållstjänster till den franska blodverksamheten. Företaget identifierades av den franska veckotidningen Le Canard Enchainé, och uppgifterna om händelsen har även bekräftats av andra franska medier.

Temperaturinställningarna i den angripna utrustningen ändrades från 30 minusgrader till 110 plusgrader. En jourhavande tekniker upptäckte en onormal temperaturökning under natten mellan söndagen den 1 och måndagen den 2 november, enligt Établissement français du sang.

En av de berörda regionerna var Bourgogne-Franche-Comté i östra Frankrike, där Coolworld ansvarar för kylutrustning som används inom den nationella blodverksamheten.

Établissement français du sang uppgav inledningsvis att händelsen berörde blodprover som förvarades inom ett system för hälsokontroll kopplat till blodtransfusioner. Organisationen bekräftade senare att även fryst blodplasma avsedd för transfusion hade omfattats.

Blodprodukterna i den berörda utrustningen flyttades eller säkrades efter att angreppet upptäckts. Établissement français du sang meddelade att inga förluster av blodprodukter eller hälsokonsekvenser hade identifierats. Frankrikes hälsodepartement uppgav samtidigt att den tidiga upptäckten gjorde att verksamheterna inte påverkades.

Den nationella blodorganisationen ansvarar för insamling, beredning, kontroll och distribution av blodprodukter i Frankrike. Enligt Établissement français du sang tillgodoser verksamheten årligen vårdbehovet hos omkring en miljon patienter.

Händelsen inträffade efter ett liknande cyberangrepp mot livsmedelsbutiker i Frankrike i mitten av oktober. Vid det tillfället lyckades angripare slå ut kyldiskar i hundratals matbutiker genom att aktivera avfrostningssystem.

Den franska cybersäkerhetsmyndigheten ANSSI:s generaldirektör Vincent Strubel redogjorde vid en utfrågning i senaten den 21 oktober för säkerhetsbristerna bakom de tidigare angreppen mot butikernas kylsystem. Enligt Strubel hade bland annat internetansluten utrustning som var direkt åtkomlig utifrån och svaga lösenord gjort intrången möjliga.

Vincent Strubel uppmärksammade även motsvarande säkerhetsrisker inom sjukvården, där temperaturreglerade anläggningar används för förvaring av känsliga produkter.

Den franska senatens särskilda cybersäkerhetskommission konstaterade den 27 oktober att införandet av EU:s cybersäkerhetsdirektiv NIS2 i fransk lag fortfarande pågick. Enligt kommissionen skulle regelverket omfatta omkring 20 000 verksamheter i Frankrike och ge cybersäkerhetsmyndigheten ANSSI utökade befogenheter att kontrollera deras säkerhetsarbete.