Acum zece ani, ideea că un frigider conectat la internet ar putea compromite securitatea unei companii suna a scenariu de film SF. Astăzi, ceea ce industria tech numea în glumă „fridge hacking” a devenit un caz real, care arată cât de vulnerabile sunt lanțurile de aprovizionare.
În noaptea de 11 spre 12 octombrie 2026, atacatori necunoscuți au preluat controlul sistemelor de refrigerare din sute de supermarketuri franceze. Au forțat echipamentele să intre în modul de dezghețare și să rămână blocate așa, iar în unele unități temperatura a urcat până la 50°C. Mărfurile s-au alterat, iar în câteva magazine echipamentele au luat foc.
Potrivit agenției France-Presse (AFP), au fost afectate cel puțin 300 de magazine Intermarché și Netto și aproape 100 de magazine Coopérative U. Ministrul francez de Finanțe, Roland Lescure, a declarat în Parlament că atacul a lovit aproximativ 700 dintre cele 10.000 de supermarketuri din Franța. Presa franceză a relatat că numai în două magazine din Alsacia pierderile au ajuns la 270.000 de euro, iar șeful Intermarché, Thierry Cotillard, a estimat că paguba totală ar putea urca la zeci de milioane de euro. Incidente similare au fost raportate în 11 țări din Uniunea Europeană in ultima lună, inclusiv în România.
Nu a fost un atac sofisticat
Atacatorii nu au avut nevoie de tehnici avansate. Le-a fost suficientă lipsa unor măsuri elementare de securitate. Controlerele de refrigerare puteau fi accesate direct de pe internet, iar multe aveau ca nume de utilizator „admin” și ca parolă data curentă. Pentru controlerele vulnerabile existau deja avertismente de securitate publice, dar echipamentele rulau un firmware învechit și nu erau protejate prin VPN sau prin restricții de acces. Un echipament de facilities, de care IT-ul nu se ocupa, a ajuns astfel un risc operațional, financiar și reputațional.
Cum ajunge un aparat obișnuit într-un botnet
Dispozitivele IoT, de la termostate inteligente și camere de supraveghere până la frigidere sau automate de cafea conectate la Wi-Fi, au fost proiectate, de regulă, pentru confort și costuri reduse, nu pentru securitate. Multe ies din fabrică cu parole implicite („admin/admin”), cu protocoale de comunicare necriptate și, mai grav, fără un mecanism de actualizare a software-ului (patching).
Odată compromis, un astfel de aparat devine parte dintr-o rețea de tip botnet. De aici, atacatorii au două variante principale.
- Atacuri DDoS masive. Puterea cumulată a milioane de dispozitive este folosită pentru a bloca servicii bancare, platforme de e-commerce sau infrastructuri critice.
- Mișcare laterală (Pivot Attack). Atacatorii compromit frigiderul inteligent din locuința unui angajat aflat în telemuncă, trec apoi pe laptopul de serviciu conectat la aceeași rețea Wi-Fi și, de acolo, ajung direct în serverele companiei.
Cifrele din spatele riscului
Potrivit Comisiei Europene, costul anual al criminalității cibernetice la nivel global era estimat în 2024 la 8.500 de miliarde de euro și urma să ajungă la 10.000 de miliarde de euro în 2025, iar atacurile asupra lanțurilor de aprovizionare software și hardware au crescut exponențial.
Tot Comisia estimează că, până în 2030, vor exista peste 30 de miliarde de dispozitive IoT conectate la nivel global. Fiecare locuință și fiecare birou devin astfel parte dintr-o suprafață de atac tot mai mare.
Potrivit ediției 2027 a studiului PwC Global Digital Trust Insights, 84% dintre companiile la nivel global își vor majora bugetele de securitate cibernetică în 2027. În Europa Centrală și de Est procentul este de 74%, iar regiunea rămâne în urmă și la guvernanță. Doar 24% dintre liderii din regiune sunt pe deplin de acord că riscul cibernetic este un subiect permanent pe agenda boardului, față de 47% la nivel global, iar numai 22% dintre companii au planuri de continuitate operațională complet formalizate, care tratează explicit riscurile cibernetice, față de 39% la nivel global.
Răspunsul UE se numește Cyber Resilience Act
Pentru a opri proliferarea dispozitivelor vulnerabile pe piața unică, Comisia Europeană a conceput Cyber Resilience Act (CRA). Este primul cadru de reglementare la nivelul UE care impune cerințe obligatorii de securitate cibernetică pentru toate produsele cu elemente digitale, hardware și software, pe tot parcursul ciclului lor de viață.
CRA nu îi vizează doar pe marii producători IT. Regulile se aplică oricărei companii care produce, importă sau distribuie dispozitive conectate în UE.
Regulamentul se sprijină pe patru piloni.
- Securitate încă din faza de proiectare (Security by Design). Dispozitivele nu mai pot fi livrate cu parole implicite universale. Ele trebuie să permită criptarea datelor și limitarea accesului la funcțiile de bază².
- Managementul vulnerabilităților și actualizări obligatorii. Producătorii sunt obligați să ofere gratuit actualizări de securitate pentru o perioadă determinată, de regulă de cel puțin cinci ani sau cât durează utilizarea estimată a produsului, dacă aceasta este mai scurtă³.
- Raportare strictă către ENISA. O vulnerabilitate exploatată activ sau un incident grav trebuie raportat autorităților, inclusiv ENISA și CSIRT-urilor naționale, în cel mult 24 de ore⁴. Obligația se aplică din 11 septembrie 2026, iar termenul pune la grea încercare capacitatea operațională a companiilor.
- Marcajul CE pentru securitate cibernetică. Un produs fără atestarea conformității cu CRA nu va mai putea fi comercializat legal pe teritoriul Uniunii Europene⁵.
Obligații pentru tot lanțul de aprovizionare
Obligația de raportare acoperă și produsele deja vândute, nu doar pe cele noi. Prin urmare, riscul nu stă doar la producători. Importatorii trebuie să verifice conformitatea produselor, iar distribuitorii trebuie să verifice marcajul CE⁶. La rândul lor, organizațiile care cumpără astfel de echipamente au nevoie de criterii noi de achiziție.
De ce contează pentru echipele care nu lucrează în securitate cibernetică?
Pentru echipele de Finance, un singur incident de acest tip poate costa milioane, iar amenzile prevăzute de CRA, de până la 15 milioane de euro sau 2,5% din cifra de afaceri anuală la nivel mondial, vin în plus.
Pentru Compliance, termenul de 24 de ore cere procese, roluri și dovezi clare.
Pentru HR și pentru organizație în ansamblu, CRA este un program care implică mai multe funcții, de la inginerie și juridic până la achiziții, nu un simplu exercițiu de conformitate. Iar 2026 este anul decisiv pentru mobilizare⁷.
De la conformitate forțată la avantaj competitiv
Termenele de implementare ale CRA se apropie rapid, iar majoritatea obligațiilor se vor aplica din 11 decembrie 2027. Tranziția nu se poate face peste noapte. Identificarea tuturor componentelor software și hardware, adică realizarea unui Software Bill of Materials (SBOM), testarea automată a vulnerabilităților și stabilirea canalelor de raportare cer deopotrivă cunoștințe tehnice solide și expertiză în guvernanță corporativă.
Prin Cyber Resilience Act, Uniunea Europeană a fixat regulile. Pentru organizații, conformarea nu mai este opțională. Întrebarea este cât de pregătite sunt să o facă fără să își perturbe activitatea curentă. Cu metodologii testate la nivel global și cu o echipă multidisciplinară de experți în securitate cibernetică, risc și reglementare, PwC oferă cadrul și expertiza de care companiile au nevoie pentru această transformare.
