قانون المرونة السيبرانية الأوروبي لا يلزم بإصلاح أجهزة التحكم في التبريد المتأثرة

قالت وكالة الأمن السيبراني التابعة للاتحاد الأوروبي إن قانون المرونة السيبرانية الأوروبي، الذي دخل حيز التنفيذ الشهر الماضي، يلزم المصنّعين بالإبلاغ عن الهجمات السيبرانية على منتجاتهم التي انتهى عمرها الافتراضي، لكنه لا يفرض عليهم معالجة الثغرات.

جاء هذا الإعلان بعد هجوم سيبراني وقع مطلع الشهر الجاري واستهدف أجهزة تحكم عن بُعد متصلة بالإنترنت لأنظمة التبريد في عدد من متاجر السوبرماركت الفرنسية، ما دفع بعض الوحدات إلى الدخول في دورة إزالة الجليد المستمرة عند 50 درجة مئوية.

وتأثرت سلاسل بقالة كبرى، من بينها Intermarché وCarrefour وMonoprix وLeclerc وCoopérative U، ما أدى إلى خسائر مالية تُقدَّر بعشرات الملايين من اليورو بسبب تلف مخزون الأغذية.

وأكدت وكالة الأمن السيبراني الفرنسية ANSSI علمها بأجهزة التحكم المخترقة في أنظمة التبريد، وحددت بالاسم سلسلتي AK-SM وAK-SC من Danfoss، ومنتجات xweb من Copeland وxweb من Dixell.

ورداً على الهجوم، أصدر فريق الاستجابة للطوارئ التابع لـ ANSSI، CERT-FR، تنبيهاً الإثنين الماضي نصح فيه المشغلين بفصل أي أجهزة تحكم مكشوفة على الإنترنت أو تصفيتها لمنع وقوع حوادث أخرى.

وقالت ANSSI: «التحقيقات جارية»، مشيرة إلى أنها تنسّق تدابير وقائية وعلاجية في القطاعات التي قد تكون متأثرة، مع تركيز خاص على تجار التجزئة الكبار.

وأقرّت Copeland بوجود ثغرة في الجيل المتوقف من أجهزتها، وقالت إنها تعمل مع العملاء المتأثرين للحد من المخاطر. وأكدت الشركة التزامها بمساعدة العملاء على تعزيز الأمن السيبراني عبر منتجاتها الحالية والممارسات الموصى بها، لكنها لم تفصح عن عدد العملاء المتأثرين.

ولم ترد Danfoss على طلبات التعليق، لكنها أشارت سابقاً إلى أن وحداتها المتأثرة هي أيضاً من المنتجات التي انتهى عمرها الافتراضي.

وأفاد مكتب المدعي العام في باريس بتلقيه نحو عشر شكاوى وتقديره عدد الضحايا بنحو 700، مع استمرار التحقيق وعدم إعلان أي جهة مسؤوليتها عن الهجوم حتى الآن.

أحكام قانون المرونة السيبرانية الأوروبي

يلزم قانون المرونة السيبرانية الأوروبي مصنّعي الأجهزة والبرمجيات المتصلة التي تُباع داخل الاتحاد بالإبلاغ عن الثغرات المستغلة فعلياً والحوادث الجسيمة التي تؤثر في منتجاتهم.

وأوضحت ENISA، وكالة الاتحاد الأوروبي للأمن السيبراني، أن هذا الالتزام يمتد إلى المنتجات التي انتهى عمرها الافتراضي ولم تعد تُباع في الاتحاد الأوروبي لكنها ما زالت قيد الاستخدام. ويستمر واجب الإبلاغ حتى بعد توقف دعم المنتج ذي العناصر الرقمية.

غير أن متطلبات القانون لمعالجة الثغرات، بما في ذلك إصلاحها وإصدار تحديثات أمنية مجانية، لا تنطبق إلا خلال فترة الدعم المحددة للمنتج. أما المنتجات التي طُرحت في السوق قبل 11 ديسمبر 2027، أو التي انتهى دعمها، فالمصنّعون غير ملزمين بالامتثال لمتطلبات معالجة الثغرات هذه.

وامتنعت ENISA عن تقديم تفاصيل عن إشعارات محددة تلقتها من المصنّعين بشأن الهجمات الأخيرة، ولم تؤكد ما إذا كان أي منهم قد أبلغ عن الحوادث. وتتبادل شبكة CSIRTs Network التابعة للاتحاد الأوروبي، المكوّنة من فرق الاستجابة الوطنية للطوارئ السيبرانية، المعلومات وتراقب الوضع.

وقالت ANSSI أيضاً إنها منخرطة على المستوى الأوروبي وتتواصل بانتظام مع نظرائها.

المصدر: The Record