In de nacht van 11 oktober kwamen Franse supermarkten in de problemen doordat aanvallers koelkasten en diepvriezers op afstand konden beheren. Volgens meerdere ketens leidde dat tot ernstig opwarmen van de koelketen: in sommige winkels liepen temperaturen op tot 50°C, waardoor winkels genoodzaakt waren voedsel weg te gooien. Deze zaak illustreert opnieuw hoe kwetsbaar OT-systemen (operationele technologie) kunnen zijn wanneer beheertoegang te ruim is.
De incidenten werden gekoppeld aan een reeks Danfosscontrollers 50°C die door onderhoudspartijen op afstand beheerd kunnen worden. CERT-FR, de Franse overheidsinstantie voor cybernoodrespons, riep operators op om de betreffende controllers los te koppelen of de toegang tot het beheer sterk te beperken.
Wat er in Frankrijk gebeurde
Meerdere retailketens meldden dat hun koelapparatuur werd beïnvloed nadat de aanvallers op afstand controle kregen. In berichten aan perspartijen werd beschreven dat de kasten en vriezers in een vorm van ontdooimodus werden gezet en vervolgens opwarmden. Een keten die eigenaar is van Intermarché gaf daarbij aan dat de koelapparaten werden verhit tot temperaturen tot 50°C.
De gevolgen verschilden per winkel. In sommige gevallen kon de keten de temperatuurstijging beperken en bleef het grootste deel van de voorraad behouden. Andere winkels moesten volgens ketens wél producten weggooien. Het financiële effect werd door woordvoerders ingeschat in de orde van tientallen miljoenen euro’s over Frankrijk.
Welke controllers speelden een rol
De kern van het incident draait om beheerapparatuur waarmee een winkel met meerdere koel- en vriesunits centraal te beheren is. CERT-FR meldde in een alert dat het bekend was met meerdere compromissen die samenhingen met twee Danfoss controllerseries: AK-SM en AK-SC. De waarschuwing adviseerde operators in elk geval om deze controllers niet langer bereikbaar te maken voor directe toegang vanuit het internet.
Danfoss gaf later aan dat het merendeel van de getroffen exemplaren om oudere producten ging die niet meer worden bijgewerkt met software- of beveiligingsupdates. Daarbij noemde de fabrikant onder meer de modellen AK-SM 800 en AK-SC 355.
Ook een nieuwer model kwam aan het licht
Naast oudere varianten werd ook een actueel model genoemd: AK-SM 800A. Volgens Danfoss draaiden delen van de systemen op dat moment verouderde firmware. Danfoss verklaarde daarnaast dat er bij nieuwere software vanaf een bepaalde versie standaard strengere sessiecontrole actief is, waardoor HTTPS verplicht wordt. De fabrikant liet weten te werken aan firmware-updates waar die beschikbaar zijn, en aan extra netwerkbescherming.
Waarom dit OT-incident zo gevaarlijk is
Het incident laat zien dat een koelketen niet alleen een logistiek thema is, maar ook een cyberveiligheidsvraagstuk. Als een centrale controller wordt gecompromitteerd, kan één toegangspunt tegelijk effect hebben op honderden apparaten. Daardoor is de impact groter dan bij een “los” apparaat dat lokaal kapotgaat.
Bovendien gaat het om systemen die vaak in een beheer- of onderhoudsproces zijn ingebed. Dat maakt het verleidelijk om beheer op afstand gemakshalve breder toegankelijk te maken dan veilig is. Precies daar ligt volgens CERT-FR een rode lijn: de beheersinterface blootstellen aan het internet past niet bij goede beveiligingspraktijken.
De waarschuwing van CERT-FR: meteen doen
CERT-FR publiceerde een alert met praktische instructies. De eerste stap is heel direct: voor alle AK-SM- en AK-SC-controllers geldt dat operators de apparaten moeten disconnecten of de toegang moeten filteren. De onderliggende gedachte is eenvoudig: zonder directe blootstelling aan internet verklein je de kans dat aanvallers misbruik kunnen maken van een beheerkanaal.
Als remote administratie noodzakelijk blijft, adviseert de alert om die toegang tijdelijk te beperken tot vertrouwde IP-adressen. Daarna moeten organisaties de hardening-aanbevelingen volgen die CERT-FR eerder publiceerde voor sectoren zoals energie en water.
Stappenplan bij mogelijke compromittering
Wanneer een controller mogelijk is aangetast, bevat de CERT-FR guidance een volgorde van acties. In grote lijnen komt dit neer op netwerkisolatie, opschonen en herconfigureren:
- Beperk netwerktoegang tot de controllers tot alleen serviceproviders.
- Voer een factory reset uit.
- Installeer alle beschikbare security fixes.
- Wijzig secrets zoals wachtwoorden.
- Controleer bestaande accounts op ongewenste of verdachte entries.
- Herconfigureer het apparaat volledig.
Voor oudere modellen waarop geen updates meer worden uitgegeven, heeft “patchen” in de praktijk een beperking. CERT-FR benoemt daarmee impliciet dat vervanging of herarchitectuur van de beheerketen vaak de enige route is wanneer de leverancier geen fixes meer levert.
Kun je dit achterhalen met indicators of compromise?
Volgens de beschikbare informatie had CERT-FR op het moment van publicatie nog geen specifieke indicators of compromise (IOCs) gedeeld. Dat betekent dat operators niet konden teruggrijpen op kant-en-klare signalen om te bepalen wat er precies is gebeurd en welke sporen aanwezig zouden moeten zijn.
In zo’n situatie ligt de focus op het controleren van toegangspaden, het beperken van netwerkexposure, en het uitvoeren van de hardeningstappen. Ook het opnieuw doorlichten van accounts en configuraties is dan belangrijk, omdat een aanvaller mogelijk niet alleen de temperatuurinstellingen heeft beïnvloed, maar ook beheerkanalen heeft aangepast.
Wie zat erachter en hoe ging de inbraak precies?
Tot op het moment van de rapportage was er nog geen publiek vastgesteld beeld van wie de aanval uitvoerde of via welke exacte route de aanvallers binnenkwamen. Danfoss en de Franse autoriteiten hadden in die fase nog niet definitief duidelijkgemaakt hoe de compromissen zijn ontstaan.
Wel werd genoemd dat er door ANSSI contact was opgenomen met een Deense leverancier over een kwetsbaarheid in software die door die leverancier is aangeleverd. Daarbij werd geen specifieke CVE-nummering genoemd en ook niet expliciet bevestigd dat die kwetsbaarheid daadwerkelijk is misbruikt in deze concrete campagne.
Daarnaast kwam naar voren dat een toeleverancier van koelsystemen eerder in verband werd gebracht met een cyberaanval die gevolgen had voor koelequipment in meerdere winkels. Ook hierbij werd de leverancier zelf niet bij naam genoemd in de beschikbare informatie.
Updates en bekende kwetsbaarheden: wat we wél weten
Voor het nieuwste model dat werd genoemd, namelijk de AK-SM 800A, meldde Danfoss dat er in 2025 updates beschikbaar waren voor drie gebreken. Volgens de rapportage ging het om een bypass van authenticatie, een command injection die kan leiden tot remote code execution, en een mogelijkheid tot denial-of-service. Deze tekortkomingen vereisten in dat scenario wel inloggen, en werden opgelost in een latere versie.
Onderzoekers beschreven bovendien dat de kwetsbaarheden gecombineerd kunnen worden in aanvalsketens. Zij gaven aan dat ze daarbij duizenden beheerinterfaces bereikbaar vonden vanuit het internet. Hun bevindingen betroffen echter vooral labtesten op het nieuwere model en er werd niet geclaimd dat er in de studie daadwerkelijk “live” aanvallen plaatsvonden.
Onderzoek in Frankrijk en mogelijke internationale impact
In Frankrijk werd een strafrechtelijk onderzoek gestart door het openbaar ministerie in Parijs op eigen initiatief. De cybercrime-afdeling van het parket leidt het onderzoek, met als doel het aantal slachtoffers vast te stellen en de relatie tussen de cyberaanval en de geclaimde schade te onderbouwen.
Er werd ook gesproken over vervolgimpact in andere landen. In rapportage werd genoemd dat verschillende Europese landen eveneens mogelijk getroffen waren, zonder dat er in dat stadium uitgebreide technische details beschikbaar waren.
Praktische lessen voor supermarkten en koelketens
Ook als je niet direct met Danfoss werkt, is dit incident een alarmsignaal voor elke organisatie met centrale beheersystemen in de fysieke keten. Met name drie lessen zijn relevant.
- Voorkom internet-blootstelling van beheerinterfaces. Beheer op afstand is niet per definitie verkeerd, maar wel alleen met strikte toegangscontrole.
- Laat leveranciersinformatie niet “verdwijnen”. Als een product end-of-life is, is het tijdspad voor vervanging onderdeel van je veiligheidsstrategie.
- Werk met een herhaalbaar incidentproces. Denk aan reset, accounts opschonen, netwerk beperken en opnieuw configureren—niet alleen aan “patchen”.
Als je meer wilt lezen over wat er gebeurt wanneer remote toegang en infrastructuur zwak worden ingezet, kan ook dit artikel informatief zijn: Hack op koelingscontrollers: voedsel bedorven. Daarnaast is het zinvol om je bredere Zero-Trust- en identiteitsaanpak scherp te krijgen, bijvoorbeeld via Bring Your Own Agent: controle via identiteit.
Conclusie
De incidenten in Franse supermarkten laten zien hoe snel cyberrisico tastbare, dagelijkse schade kan worden. Door misbruik van centrale koelbeheercontrollers konden systemen in winkels in temperatuur oplopen tot Danfosscontrollers 50°C, met voedselverlies als gevolg. CERT-FR adviseert daarom om deze beheerapparaten af te koppelen of de toegang strikt te filteren, en om bij mogelijke compromittering een gestructureerd stappenplan te volgen.
Voor operators betekent dit vooral één ding: OT-beveiliging is geen bijzaak. Wie beheer op afstand inzet, moet de deur dicht houden voor onbevoegden—en moet tijdig plannen voor updates, hardening én vervanging van end-of-life systemen.
Bron: https://thehackernews.com/2026/10/attackers-heat-french-supermarket.html
