Angreifer heizten Frankreichs Tiefkühler auf 50 Grad

Sechs Stunden Abtauen, aus der Ferne befohlen

In der Nacht von Sonntag, dem 11., auf Montag, den 12. Oktober übernahmen Angreifer die Fernwartungssoftware für Kühlgeräte in französischen Supermärkten und befahlen den Geräten, abzutauen. Statt einer kurzen nächtlichen Erwärmung heizten Kühl- und Gefriergeräte weiter. Intermarché erklärte, die Geräte seien etwa sechs Stunden lang auf bis zu 50 Grad erhitzt worden, und warf alles Betroffene weg, um Gesundheitsrisiken auszuschließen.

Marktleiter, die am Montagmorgen eintrafen, wurden von einer Welle heißer Luft aus den Gefriergeräten empfangen, und in einigen Märkten gab es kleine Brände. Premierminister Sébastien Lecornu beauftragte die nationale Cybersicherheitsbehörde ANSSI mit Ermittlungen, und die Pariser Staatsanwaltschaft leitete Ermittlungen zu einem von ihr als groß angelegt bezeichneten Angriff auf die Kühlräume mehrerer großer Handelsketten ein. Ein Täter ist nicht benannt.

Diese Zahlen stammen von den Ketten und von Reportern, die zu unterschiedlichen Zeiten schrieben. Lesen Sie jede als Spanne. Keine Quelle nennt eine bestätigte Gesamtzahl.

Die ältesten Steuerungen bekommen keinen Patch mehr

Danfoss erklärt, die meisten betroffenen Geräte seien ältere Modelle, deren Sicherheitssoftware sich nicht aktualisieren lässt. Das Unternehmen fügte hinzu, es rate Kunden seit Langem, unterstützte Systeme auf aktueller Firmware zu halten.

The Hacker News berichtet, die AK-SM 800 sei seit Mai 2021 am Lebensende und die AK-SC 355 sei 2016 ausgelaufen, beide erhielten weder Software- noch Sicherheitsupdates. Berichten zufolge wurden auch einige Geräte der AK-SM 800A getroffen, eines aktuellen Modells, die mit veralteter Firmware liefen. Die am 13. Oktober aktualisierte Warnung des CERT-FR nennt die Danfoss-Serien AK-SC und AK-SM sowie Copeland xweb und Dixell xweb als betroffene Produkte.

Das CERT-FR fügt eine Warnung hinzu, die für alle mit Altbestand wichtig ist: Ein Werksreset allein genügt bei Geräten am Lebensende nicht, wenn sie am Internet bleiben, denn sie werden sehr wahrscheinlich erneut kompromittiert. Für diese Geräte bleibt nur, sie vom Internet zu nehmen oder zu ersetzen.

Wie sie hineinkamen, ist weiter unbekannt

BleepingComputer zufolge erklärt bisher keine öffentliche Information, wie die Steuerungen kompromittiert wurden.

Das Team82 von Claroty veröffentlichte im August Forschung zur AK-SM 800A: eine Umgehung der Authentifizierung (CVE-2025-41450, CVSS 8,2), eine Befehlsinjektion (CVE-2025-41451, 7,6) und eine Denial-of-Service-Lücke (CVE-2025-41452, 5,4). Censys-Scans zählten 2.765 dieser Geräte, die aus dem Internet erreichbar waren, und Danfoss lieferte danach ein Update. Keine Quelle bringt diese Lücken mit dem Angriff in Verbindung, sie sind also Kontext und nicht die Ursache.

Die Angriffsfläche war am Montag ohnehin groß. Baptiste Robert, Chef von Predicta Lab, fand 2.752 Danfoss-Systeme im Netz, 1.590 davon in Frankreich, und Shodan verzeichnet mehr als 4.500 aus dem Internet erreichbare Danfoss-Geräte.

Der Angriff ist womöglich nicht nur französisch. Sekoia-Analyst Félix Aimé sagte gegenüber Reuters, auch Spanien, Portugal, Polen, Deutschland und Belgien seien betroffen gewesen, ohne Details, und eine Person aus dem Umfeld des Premierministers sagte, die ANSSI stehe mit Behörden anderer europäischer Länder in Kontakt. Ahold Delhaize meldete am selben Montag ein Sicherheitsproblem im eigenen Netz und nahm einige Systeme vom Netz, die Märkte blieben geöffnet. Die Mitteilung nennt Frankreich nicht, und BleepingComputer sah keinen Hinweis auf einen Zusammenhang.

Intermarché warnte, die Versicherung zahle womöglich nicht

Intermarché erklärte, betroffene Märkte hätten alle frischen und tiefgekühlten Produkte entsorgen müssen, und warnte, die Versicherungspolicen zahlten womöglich nicht, weil sie diese Art von Vorfall in Märkten nicht abdeckten.

Die Schadenssumme ist weiter unklar. Thierry Cotillard von Les Mousquetaires rechnet laut The Hacker News mit Verlusten im zweistelligen Millionenbereich in ganz Frankreich, und die BBC berichtet von Lebensmitteln im Wert von Millionen Euro. Zwei Supermärkte im Elsass meldeten zusammen 270.000 Euro Verlust. Coopérative U erklärte, die Kühlkette habe in den meisten ihrer 80 betroffenen Märkte gehalten, und nur eine Minderheit habe Ware verloren.

Die eigenen Hinweise des CERT-FR sagen, vor dem Kappen der Datenverbindung zum Kältedienstleister seien die Versicherungsbedingungen zu prüfen. Die Sicht des Versicherers auf Fernüberwachung gehört in dasselbe Gespräch wie die Entscheidung, zu trennen.

Was das CERT-FR verlangt, Schritt für Schritt

Die Warnung CERTFR-2026-ALE-012 des CERT-FR vom 12. Oktober, am 13. Oktober aktualisiert, gibt Betreibern eine kurze Reihenfolge vor.

Wenn das Gerät nicht kompromittiert ist: den Internetzugang der betroffenen Geräte und aller Geräte mit öffentlicher IP-Adresse entfernen; die gesamte Konfiguration prüfen, besonders die Abtaupläne; den Zugriff nur über ein sicheres VPN oder ein geschütztes Netz wiederherstellen, wobei das Filtern der Quell-IP-Adressen des Dienstleisters nur als Notmaßnahme gilt; und die Herstellerempfehlungen umsetzen, bei Danfoss also die Sicherheitsstufe auf Strict stellen und Standardpasswörter ändern.

Wenn das Gerät kompromittiert sein könnte: die Erreichbarkeit aus dem Internet entfernen, per Werksreset zurücksetzen, den Zugriff nur über ein sicheres VPN zurückgeben, das Gerät neu konfigurieren, bevor es wieder in Betrieb geht, und dann die Herstellermaßnahmen anwenden. Das CERT-FR sagt, die Angriffskampagnen liefen wahrscheinlich noch.

Fragen Sie den Kältedienstleister diese Woche dreierlei: welche Steuerungsmodelle und Firmware-Versionen an jedem Standort stehen, welche davon das Lebensende überschritten haben und wer sie aus der Ferne und von wo erreichen kann.

Weiterlesen: Frankreich schließt OpenAI von der eigenen Cyberabwehr aus  |  KI-Würmer könnten zuerst billige IoT-Geräte treffen