ENISA και Κομισιόν: Κυβερνοεπιθέσεις κατά συστημάτων ψύξης σε κράτη της ΕΕ και νέο κύμα στις 1-2 Νοεμβρίου

Τα συστήματα που διατηρούν σε ψύξη τα τρόφιμα στα σούπερ μάρκετ και στο λιανεμπόριο τροφίμων της Ευρώπης έγιναν στόχος κυβερνοεπιθέσεων, και ο ευρωπαϊκός οργανισμός κυβερνοασφάλειας ENISA ζητά πλέον από τους φορείς να κινηθούν άμεσα. Η σχετική κοινή δήλωση δημοσιεύθηκε την Τετάρτη 4 Νοεμβρίου 2026 και αφορά περιστατικά που καταγράφονται από τις 11 Οκτωβρίου σε αρκετά κράτη μέλη της ΕΕ.

Επηρεάστηκαν εμπορικά συστήματα ψύξης και παρόμοιες συσκευές. Ένα νέο κύμα περιστατικών σημειώθηκε την Κυριακή 1 και τη Δευτέρα 2 Νοεμβρίου, και μετά από αυτό ο ENISA, η Ευρωπαϊκή Επιτροπή (Γενική Διεύθυνση CNECT), το Ευρωπαϊκό Κέντρο για το Έγκλημα στον Κυβερνοχώρο (EC3) της Europol, το Δίκτυο των εθνικών ομάδων απόκρισης σε περιστατικά ασφάλειας υπολογιστών (EU CSIRTs Network) και το Δίκτυο EU-CyCLONe των εθνικών αρχών που διαχειρίζονται κυβερνοκρίσεις συμβουλεύουν τους οργανισμούς να περιορίσουν αμέσως την έκθεση των επηρεασμένων συστημάτων.

Στο EU CSIRTs Network συμμετέχουν οι ομάδες που ορίζει κάθε κράτος μέλος και η CERT-EU, η ομάδα απόκρισης των θεσμικών οργάνων της ΕΕ. Το δίκτυο αυτό και το EU-CyCLONe ανταλλάσσουν ενεργά πληροφορίες, ενώ τα κράτη μέλη που επηρεάστηκαν ερευνούν τα περιστατικά και εκδίδουν οδηγίες.

Ο ENISA τηρεί συλλογή με τις ειδοποιήσεις των ομάδων του δικτύου στο αποθετήριο CNW στο GitHub. Η καταχώριση CNW-2026-05 της 3ης Νοεμβρίου περιγράφει επιθέσεις που από τα μέσα Οκτωβρίου έχουν παραβιάσει συστήματα απομακρυσμένου ελέγχου εγκαταστάσεων ψύξης στο λιανεμπόριο σε όλη την Ευρώπη και αναφέρει τα CVE-2025-41450, CVE-2025-41451 και CVE-2025-41452, δηλαδή τους διεθνείς κωδικούς γνωστών ευπαθειών λογισμικού.

Τις συσκευές που αφορά το θέμα κατονομάζει η γαλλική CERT-FR, η οποία ήδη από τις 12 Οκτωβρίου είχε εκδώσει ειδοποίηση για πολλές παραβιάσεις ελεγκτών ψύξης με δυνατότητα απομακρυσμένης διαχείρισης: οι σειρές Danfoss AK-SM και AK-SC και τα Copeland xweb και Dixell xweb. Οι οδηγίες ζητούν να αποσυνδεθούν οι μονάδες από το διαδίκτυο και η απομακρυσμένη πρόσβαση να επανέλθει μόνο μέσω ασφαλούς VPN ή προστατευμένου δικτύου. Για τα προϊόντα της Danfoss συνιστώνται ενημέρωση του υλικολογισμικού (firmware), αλλαγή των προεπιλεγμένων κωδικών και αυστηρό επίπεδο ασφάλειας. Εξοπλισμός που δεν υποστηρίζεται πια από τον κατασκευαστή και μένει εκτεθειμένος είναι πολύ πιθανό να παραβιαστεί.

Το θέμα αφορά άμεσα και την Ελλάδα. Η Εθνική Αρχή Κυβερνοασφάλειας ανακοίνωσε την Τρίτη 3 Νοεμβρίου ότι, με αφορμή τις επιθέσεις σε συστήματα ψύξης καταστημάτων τροφίμων και σούπερ μάρκετ σε όλη τη χώρα, είχε προειδοποιήσει ήδη από τις 14 Οκτωβρίου για ευπάθειες σε ελεγκτές εμπορικής ψύξης των Danfoss, Copeland/Dixell και Carel. Τότε είχε εντοπίσει περισσότερα από 300 εκτεθειμένα συστήματα και ζητούσε την άμεση αποσύνδεσή τους από το δημόσιο διαδίκτυο, πρόσβαση μόνο μέσω VPN με πολυπαραγοντική ταυτοποίηση, αλλαγή των προεπιλεγμένων κωδικών και αντικατάσταση του εξοπλισμού που δεν υποστηρίζεται. Ο διοικητής της Αρχής Μιχάλης Μπλέτσας δήλωσε: «Ό,τι εντοπίζουμε εμείς, το εντοπίζει και ο επιτιθέμενος. Ένα γνωστό, αλλά αδιόρθωτο κενό μπορεί να γίνει φυσική ζημία μέσα σε μία νύχτα». Οι φορείς που υπάγονται στον ν. 5160/2024 (NIS2) οφείλουν να δηλώνουν κάθε σημαντικό περιστατικό εντός 24 ωρών.

Για παρόμοιες ευπάθειες σε βιομηχανικό εξοπλισμό δείτε τις δύο ευπάθειες υψηλής σοβαρότητας στους δρομολογητές Hitachi Energy TRO600 και τις τέσσερις ευπάθειες στα GENESIS64 και ICONICS Suite της Mitsubishi Electric.

Η δήλωση υπενθυμίζει και το κανονιστικό πλαίσιο. Από τις 11 Σεπτεμβρίου 2026 οι κατασκευαστές προϊόντων υλικού και λογισμικού πρέπει να δηλώνουν σοβαρά περιστατικά και ευπάθειες που αξιοποιούνται ενεργά μέσω της ενιαίας πλατφόρμας αναφοράς του Κανονισμού για την Ανθεκτικότητα στον Κυβερνοχώρο (Cyber Resilience Act, Κανονισμός (ΕΕ) 2024/2847). Οι βασικές απαιτήσεις του, δηλαδή ασφάλεια ήδη από τον σχεδιασμό και άμεση διόρθωση ευπαθειών σε όλη τη ζωή του προϊόντος, θα ισχύουν από τις 11 Δεκεμβρίου 2027. Οι φορείς που καλύπτει η οδηγία NIS2 (Οδηγία (ΕΕ) 2022/2555) οφείλουν να αναφέρουν τα σημαντικά περιστατικά στην εθνική ομάδα απόκρισης (CSIRT) ή στην αρμόδια εθνική αρχή.