Aanvallers verhitten Franse vriezers tot 50 graden

Zes uur ontdooien, op afstand bevolen

In de nacht van zondag 11 op maandag 12 oktober namen aanvallers de software voor beheer op afstand van koeleenheden bij Franse supermarkten over en zetten de eenheden in ontdooimodus. In plaats van een korte opwarming 's nachts bleven koelingen en vriezers opwarmen. Intermarché zei dat zijn apparaten ongeveer zes uur lang tot 50 graden opliepen en gooide alles wat getroffen was weg om gezondheidsrisico's uit te sluiten.

Filiaalmanagers die maandagochtend aankwamen, werden getroffen door een golf hete lucht uit de vriezers, en in sommige winkels braken kleine branden uit. Premier Sébastien Lecornu gaf de nationale cyberbeveiligingsdienst ANSSI opdracht een onderzoek te doen, en het parket van Parijs opende een strafrechtelijk onderzoek naar wat het een grootschalige aanval op de koelcellen van meerdere grote voedselketens noemde. Er is geen dader genoemd.

Deze aantallen komen van de ketens en van verslaggevers die op verschillende uren schreven. Lees elk getal als een bandbreedte. Geen enkele bron geeft een bevestigd totaal.

De oudste regelaars hebben geen patch om te installeren

Danfoss zegt dat de meeste getroffen eenheden oudere modellen zijn waarvan de beveiligingssoftware niet kan worden bijgewerkt. Het bedrijf voegde toe dat het klanten al lang adviseert ondersteunde systemen op actuele firmware te houden.

The Hacker News meldt dat de AK-SM 800 sinds mei 2021 aan het einde van zijn levensduur is en dat de AK-SC 355 in 2016 uit productie ging, en dat geen van beide software- of beveiligingsupdates krijgt. Naar verluidt zijn ook enkele eenheden van de AK-SM 800A, een actueel model, getroffen terwijl ze verouderde firmware draaiden. De op 13 oktober bijgewerkte waarschuwing van CERT-FR noemt de Danfoss-series AK-SC en AK-SM samen met Copeland xweb- en Dixell xweb-regelaars als getroffen producten.

CERT-FR voegt een waarschuwing toe die telt voor wie oude apparaten heeft: een fabrieksreset alleen is niet genoeg voor apparatuur aan het einde van de levensduur die aan internet blijft hangen, omdat die waarschijnlijk opnieuw wordt gecompromitteerd. Voor die eenheden blijft alleen over ze van internet te halen of te vervangen.

Hoe ze binnenkwamen is nog onbekend

Volgens BleepingComputer verklaart nog geen openbare informatie hoe de regelaars zijn gecompromitteerd.

Team82 van Claroty publiceerde in augustus onderzoek naar de AK-SM 800A: een omzeiling van authenticatie (CVE-2025-41450, CVSS 8,2), een commando-injectie (CVE-2025-41451, 7,6) en een denial-of-service-kwetsbaarheid (CVE-2025-41452, 5,4). Censys-scans telden 2.765 van deze eenheden die vanaf internet bereikbaar waren, en Danfoss bracht daarna een update uit. Geen enkele bron koppelt die kwetsbaarheden aan deze aanval, dus ze zijn context en niet de oorzaak.

De blootstelling op maandag was hoe dan ook groot. Baptiste Robert, topman van Predicta Lab, vond 2.752 Danfoss-systemen online, 1.590 daarvan in Frankrijk, en Shodan telt meer dan 4.500 vanaf internet bereikbare Danfoss-apparaten.

De aanval is mogelijk niet alleen Frans. Sekoia-analist Félix Aimé zei tegen Reuters dat ook Spanje, Portugal, Polen, Duitsland en België getroffen waren, zonder details, en een persoon uit de omgeving van de premier zei dat ANSSI contact heeft met diensten van andere Europese landen. Ahold Delhaize meldde diezelfde maandag een beveiligingsprobleem in het eigen netwerk en haalde enkele systemen offline terwijl de winkels open bleven, maar de mededeling noemt Frankrijk niet en BleepingComputer zag geen aanwijzing voor een verband.

Intermarché waarschuwde dat de verzekering mogelijk niet uitkeert

Intermarché zei dat getroffen winkels alle verse en diepgevroren producten moesten weggooien en waarschuwde dat verzekeringspolissen mogelijk niet uitkeren, omdat ze dit type incident in winkels niet dekken.

Het geldbedrag is nog onduidelijk. Thierry Cotillard van Les Mousquetaires verwacht volgens The Hacker News verliezen van tientallen miljoenen euro's in heel Frankrijk, en de BBC meldt voedsel ter waarde van miljoenen euro's. Twee supermarkten in de Elzas meldden samen 270.000 euro verlies. Coopérative U zei dat de koudeketen in de meeste van zijn 80 getroffen winkels standhield en dat slechts een minderheid goederen verloor.

De eigen richtlijnen van CERT-FR zeggen de verzekeringsvoorwaarden te controleren voordat de datalink met de koelaannemer wordt doorgesneden. De kijk van de verzekeraar op bewaking op afstand hoort in hetzelfde gesprek als het besluit om los te koppelen.

Wat CERT-FR wil, stap voor stap

De waarschuwing CERTFR-2026-ALE-012 van CERT-FR, uitgegeven op 12 oktober en bijgewerkt op 13 oktober, geeft eigenaren een korte volgorde van werk.

Als de apparatuur niet is gecompromitteerd: de internetblootstelling van de getroffen eenheden en van elke eenheid met een openbaar IP-adres opheffen; de volledige configuratie nakijken, vooral de ontdooischema's; toegang alleen herstellen via een beveiligde VPN of een beschermd netwerk, waarbij het filteren van de bron-IP-adressen van de aannemer alleen als noodmaatregel geldt; en de beste praktijken van de fabrikant toepassen, wat bij Danfoss betekent dat het beveiligingsniveau op Strict staat en standaardwachtwoorden zijn gewijzigd.

Als de apparatuur mogelijk is gecompromitteerd: de blootstelling opheffen, terugzetten met een fabrieksreset, toegang alleen teruggeven via een beveiligde VPN, de eenheid opnieuw configureren voordat die weer in dienst gaat en daarna de maatregelen van de fabrikant toepassen. CERT-FR zegt dat de aanvalscampagnes waarschijnlijk nog lopen.

Vraag de koelaannemer deze week drie dingen: welke regelaarmodellen en firmwareversies op elke locatie staan, welke daarvan het einde van hun levensduur voorbij zijn en wie ze op afstand kan bereiken en vanwaar.

Lees hierna: Frankrijk sluit OpenAI uit van eigen cyberverdediging  |  AI-wormen raken mogelijk eerst goedkope IoT-apparaten