Sex timmars avfrostning, beordrad på distans
Under natten mellan söndag 11 och måndag 12 oktober tog angripare över fjärrstyrningsprogramvaran för kylenheter i franska snabbköp och beordrade enheterna att avfrosta. I stället för en kort uppvärmning under natten fortsatte kylar och frysar att värmas upp. Intermarché sa att dess enheter värmdes upp till 50 grader i ungefär sex timmar och att allt som drabbats kastades för att utesluta hälsorisker.
Butikschefer som kom på måndagsmorgonen möttes av en våg av varm luft från frysarna, och i vissa butiker uppstod små bränder. Premiärminister Sébastien Lecornu gav den nationella cybersäkerhetsmyndigheten ANSSI i uppdrag att utreda, och åklagarmyndigheten i Paris inledde en utredning av vad den kallade en storskalig attack mot kyllagren hos flera stora livsmedelskedjor. Ingen gärningsman har namngetts.
| Kedja | Butiker som rapporterats drabbade | Rapporterat av |
|---|---|---|
| Intermarché och Netto | 150 till över 300 | Reuters cirka 150, BBC 180, AFP minst 300 |
| Coopérative U | 80 av 2 000 drabbade, över 100 utpekade | Kedjan via The Hacker News, BBC |
| Carrefour | 80 av 6 000 | Carrefour via BBC |
| Monoprix | Cirka 30, eller 5 % av över 400 butiker | The Hacker News, BBC |
| E.Leclerc | Namngiven som offer, inget antal | BBC, BleepingComputer |
| Alla kedjor | 250 till 350, eller cirka 400 av ungefär 15 000 | Franska medier via BleepingComputer, BBC |
Siffrorna kommer från kedjorna och från reportrar som skrev vid olika tidpunkter. Läs varje siffra som ett intervall. Ingen källa anger en bekräftad totalsiffra.
De äldsta styrenheterna har ingen patch att installera
Danfoss säger att de flesta drabbade enheterna är äldre modeller vars säkerhetsprogramvara inte kan uppdateras. Företaget la till att det länge har rått kunder att hålla stödda system på aktuell firmware.
The Hacker News rapporterar att AK-SM 800 har varit utdaterad sedan maj 2021 och att AK-SC 355 fasades ut 2016, och att ingen av dem får program- eller säkerhetsuppdateringar. Enligt uppgifter drabbades även några enheter av typen AK-SM 800A, en aktuell modell, som körde föråldrad firmware. Varningen från CERT-FR, uppdaterad den 13 oktober, listar Danfoss-serierna AK-SC och AK-SM tillsammans med Copeland xweb- och Dixell xweb-styrenheter som berörda produkter.
CERT-FR lägger till en varning som spelar roll för alla med gammal utrustning: enbart en fabriksåterställning räcker inte för utdaterad utrustning som förblir nåbar från internet, eftersom den sannolikt komprometteras igen. För de enheterna återstår att koppla bort dem från internet eller byta ut dem.
Hur de kom in är fortfarande okänt
Enligt BleepingComputer förklarar ingen offentlig information ännu hur styrenheterna komprometterades.
Clarotys Team82 publicerade i augusti forskning om AK-SM 800A: en förbigången autentisering (CVE-2025-41450, CVSS 8,2), en kommandoinjektion (CVE-2025-41451, 7,6) och en sårbarhet för överbelastning (CVE-2025-41452, 5,4). Censys-skanningar räknade 2 765 av dessa enheter nåbara från internet, och Danfoss släppte därefter en uppdatering. Ingen källa kopplar de sårbarheterna till attacken, så de är bakgrund och inte orsaken.
Exponeringen på måndagen var ändå stor. Baptiste Robert, vd för Predicta Lab, hittade 2 752 Danfoss-system online, 1 590 av dem i Frankrike, och Shodan registrerar mer än 4 500 Danfoss-enheter som är nåbara från internet.
Attacken är kanske inte bara fransk. Sekoia-analytikern Félix Aimé sa till Reuters att även Spanien, Portugal, Polen, Tyskland och Belgien hade drabbats, utan detaljer, och en person nära premiärministern sa att ANSSI har kontakt med myndigheter i andra europeiska länder. Ahold Delhaize meddelade samma måndag ett säkerhetsproblem i det egna nätverket och tog några system offline med butikerna öppna, men meddelandet nämner inte Frankrike och BleepingComputer såg inga tecken på något samband.
Intermarché varnade för att försäkringen kanske inte betalar
Intermarché sa att drabbade butiker var tvungna att kassera alla färska och frysta varor och varnade för att försäkringsavtalen kanske inte betalar, eftersom de inte täcker den här typen av händelse i butiker.
Beloppet är fortfarande oklart. Thierry Cotillard på Les Mousquetaires räknar enligt The Hacker News med förluster på flera tiotals miljoner euro i hela Frankrike, och BBC skriver om livsmedel för miljontals euro. Två snabbköp i Alsace rapporterade tillsammans 270 000 euro i förlust. Coopérative U sa att kylkedjan höll i de flesta av dess 80 drabbade butiker och att bara en minoritet förlorade varor.
Den egna vägledningen från CERT-FR säger att man ska kontrollera försäkringsvillkoren innan datalänken till kylentreprenören kapas. Försäkringsbolagets syn på fjärrövervakning hör hemma i samma samtal som beslutet att koppla bort.
Vad CERT-FR vill ha gjort, steg för steg
Varningen CERTFR-2026-ALE-012 från CERT-FR, utfärdad den 12 oktober och uppdaterad den 13 oktober, ger ägare en kort arbetsordning.
Om utrustningen inte är komprometterad: ta bort internetexponeringen för de berörda enheterna och för varje enhet med en publik IP-adress; gå igenom hela konfigurationen, särskilt avfrostningsschemana; återställ åtkomsten bara via ett säkert VPN eller ett skyddat nätverk, där filtrering av entreprenörens käll-IP-adresser bara gäller som nödåtgärd; och tillämpa tillverkarens rekommendationer, vilket för Danfoss betyder säkerhetsnivån Strict och ändrade standardlösenord.
Om utrustningen kan vara komprometterad: ta bort exponeringen, återställ den med en fabriksåterställning, ge tillbaka åtkomst bara via ett säkert VPN, konfigurera om enheten innan den tas i drift igen och tillämpa sedan tillverkarens åtgärder. CERT-FR säger att attackkampanjerna sannolikt fortfarande pågår.
Fråga kylentreprenören tre saker den här veckan: vilka styrenhetsmodeller och firmwareversioner som finns på varje plats, vilka av dem som inte längre stöds och vem som kan nå dem på distans och varifrån.
Läs vidare: Frankrike utesluter OpenAI från sitt eget cyberförsvar | AI-maskar kan träffa billig IoT-utrustning först
