Seks timers afrimning, beordret på afstand
I natten fra søndag den 11. til mandag den 12. oktober overtog angribere softwaren til fjernstyring af køleenheder i franske supermarkeder og satte enhederne i afrimning. I stedet for en kort opvarmning i løbet af natten blev køleskabe og frysere ved med at varme op. Intermarché sagde, at dets enheder blev varmet op til 50 grader i omkring seks timer, og at alt berørt blev smidt ud for at udelukke sundhedsrisici.
Butikschefer, der mødte ind mandag morgen, blev mødt af en bølge af varm luft fra fryserne, og nogle butikker havde små brande. Premierminister Sébastien Lecornu bad den nationale cybersikkerhedsmyndighed ANSSI om at efterforske, og anklagemyndigheden i Paris åbnede en efterforskning af det, den kaldte et storstilet angreb på kølerummene hos flere store dagligvarekæder. Ingen gerningsmand er blevet udpeget.
| Kæde | Butikker rapporteret ramt | Rapporteret af |
|---|---|---|
| Intermarché og Netto | 150 til over 300 | Reuters omkring 150, BBC 180, AFP mindst 300 |
| Coopérative U | 80 af 2.000 ramt, over 100 udpeget | Kæden via The Hacker News, BBC |
| Carrefour | 80 af 6.000 | Carrefour via BBC |
| Monoprix | Omkring 30, eller 5 % af over 400 butikker | The Hacker News, BBC |
| E.Leclerc | Nævnt som offer, intet antal | BBC, BleepingComputer |
| Alle kæder | 250 til 350, eller omkring 400 af cirka 15.000 | Franske medier via BleepingComputer, BBC |
Tallene kommer fra kæderne og fra journalister, der skrev på forskellige tidspunkter. Læs hvert tal som et interval. Ingen kilde angiver et bekræftet samlet tal.
De ældste styringer har ingen opdatering at installere
Danfoss siger, at de fleste berørte enheder er ældre modeller, hvis sikkerhedssoftware ikke kan opdateres. Virksomheden tilføjede, at den længe har rådet kunder til at holde understøttede systemer på aktuel firmware.
The Hacker News skriver, at AK-SM 800 har været udtjent siden maj 2021, og at AK-SC 355 blev udfaset i 2016, og at ingen af dem får software- eller sikkerhedsopdateringer. Ifølge rapporter blev nogle enheder af typen AK-SM 800A, en aktuel model, også ramt, mens de kørte forældet firmware. Advarslen fra CERT-FR, opdateret den 13. oktober, nævner Danfoss-serierne AK-SC og AK-SM sammen med Copeland xweb- og Dixell xweb-styringer som berørte produkter.
CERT-FR tilføjer en advarsel, der betyder noget for alle med gammelt udstyr: en fabriksnulstilling alene er ikke nok for udtjent udstyr, der forbliver åbent mod internettet, fordi det sandsynligvis bliver kompromitteret igen. For de enheder er der kun to veje: at tage dem af internettet eller at udskifte dem.
Hvordan de kom ind, er stadig ukendt
Ifølge BleepingComputer forklarer ingen offentlig information endnu, hvordan styringerne blev kompromitteret.
Clarotys Team82 offentliggjorde i august forskning i AK-SM 800A: en omgåelse af godkendelse (CVE-2025-41450, CVSS 8,2), en kommandoinjektion (CVE-2025-41451, 7,6) og en sårbarhed, der giver lammelsesangreb (CVE-2025-41452, 5,4). Censys-scanninger talte 2.765 af disse enheder, som kunne nås fra internettet, og Danfoss udsendte bagefter en opdatering. Ingen kilde knytter de sårbarheder til dette angreb, så de er baggrund og ikke årsagen.
Eksponeringen mandag var under alle omstændigheder stor. Baptiste Robert, direktør i Predicta Lab, fandt 2.752 Danfoss-systemer online, 1.590 af dem i Frankrig, og Shodan registrerer mere end 4.500 Danfoss-enheder, der kan nås fra internettet.
Angrebet er måske ikke kun fransk. Sekoia-analytiker Félix Aimé sagde til Reuters, at også Spanien, Portugal, Polen, Tyskland og Belgien var blevet ramt, uden detaljer, og en person tæt på premierministeren sagde, at ANSSI er i kontakt med myndigheder i andre europæiske lande. Ahold Delhaize meldte samme mandag et sikkerhedsproblem i sit eget netværk og tog nogle systemer offline, mens butikkerne var åbne, men meddelelsen nævner ikke Frankrig, og BleepingComputer så intet tegn på en sammenhæng.
Intermarché advarede om, at forsikringen måske ikke betaler
Intermarché sagde, at berørte butikker måtte kassere alle friske og frosne varer, og advarede om, at forsikringspolicerne måske ikke betaler, fordi de ikke dækker denne type hændelse i butikker.
Beløbet er stadig uklart. Thierry Cotillard fra Les Mousquetaires forventer ifølge The Hacker News tab på flere titals millioner euro i hele Frankrig, og BBC omtaler fødevarer for millioner af euro. To supermarkeder i Alsace meldte tilsammen et tab på 270.000 euro. Coopérative U sagde, at kølekæden holdt i de fleste af dets 80 ramte butikker, og at kun et mindretal mistede varer.
Retningslinjerne fra CERT-FR siger, at man skal tjekke forsikringsbetingelserne, før dataforbindelsen til kølefirmaet afbrydes. Forsikringsselskabets syn på fjernovervågning hører hjemme i den samme samtale som beslutningen om at afbryde.
Hvad CERT-FR vil have gjort, trin for trin
Advarslen CERTFR-2026-ALE-012 fra CERT-FR, udsendt den 12. oktober og opdateret den 13. oktober, giver ejere en kort rækkefølge af opgaver.
Hvis udstyret ikke er kompromitteret: fjern internetadgangen til de berørte enheder og til enhver enhed med en offentlig IP-adresse; gennemgå hele konfigurationen, især afrimningsplanerne; genopret kun adgangen via et sikkert VPN eller et beskyttet netværk, hvor filtrering af kølefirmaets kilde-IP-adresser kun gælder som nødforanstaltning; og følg producentens anbefalinger, hvilket for Danfoss betyder sikkerhedsniveau Strict og skiftede standardadgangskoder.
Hvis udstyret kan være kompromitteret: fjern eksponeringen, gendan det med en fabriksnulstilling, giv kun adgang tilbage via et sikkert VPN, konfigurer enheden igen, før den tages i brug, og følg derefter producentens foranstaltninger. CERT-FR siger, at angrebskampagnerne sandsynligvis stadig kører.
Spørg kølefirmaet om tre ting i denne uge: hvilke styringsmodeller og firmwareversioner der sidder på hver lokation, hvilke af dem der ikke længere understøttes, og hvem der kan nå dem på afstand og hvorfra.
Læs videre: Frankrig udelukker OpenAI fra sit eget cyberforsvar | AI-orme kan ramme billigt IoT-udstyr først
