De supermarktkoeling aanval die deze week honderden koellocaties in Frankrijk trof, breidt verder uit dan alleen Danfoss-apparatuur. Volgens de Franse nationale cybersecuritydienst ANSSI zijn ook systemen van Copeland en het Dixell-merk geraakt. Dat betekent dat organisaties met koelkast- en koelcontroller(s) niet alleen naar één leverancier hoeven te kijken.
ANSSI’s CERT-FR stuurde op 12 oktober een eerste waarschuwing uit over meerdere compromissen met Danfoss AK-SM en AK-SC-reeks koelingcontrollers. Een dag later werd de waarschuwing bijgewerkt: ook Copeland XWEB en Dixell XWEB systemen vielen onder de getroffen apparatuur.
Waarom ANSSI meerdere merken noemt
In de praktijk gaat het niet om één enkel model dat getroffen is, maar om een set controllers waarmee koeling op afstand wordt beheerd. ANSSI constateerde compromissen, maar koppelde de incidenten niet aan één concrete kwetsbaarheid in de openbare waarschuwing. Zowel de CERT-FR-melding als reacties vanuit de betrokken leveranciers lieten in eerste instantie onduidelijk hoe aanvallers precies binnenkwamen.
Copeland erkende uiteindelijk dat er sprake is van een kwetsbaarheid die verband houdt met de getroffen XWEB-systemen. Het bedrijf geeft aan samen te werken met klanten om het risico te mitigeren.
Relatie met eerdere bevindingen: Claroty en firmware-updates
Deze casus staat niet los van eerdere research. In de zomer beschreef Claroty onder meer zwakheden in Danfoss AK-SM 800A en daarnaast 23 kwetsbaarheden in Copeland’s XWEB Pro controller. Copeland zou die problemen hebben gepatched via een firmware-update.
Dat is relevant, omdat het incident nu juist ook systemen raakt die al verouderd zijn of met achterstallige firmware draaien. Tegelijk blijft het beeld dat onderzoekers nog niet weten hoe de aanvallen zijn gestart: CERT-FR legt geen directe link naar de door Claroty gedocumenteerde fouten, en ook Franse autoriteiten of Danfoss hebben het verband nog niet officieel gelegd.
Wat vooral opvalt: end-of-life apparatuur
Volgens Danfoss gaat het bij het grootste deel van de getroffen apparaten om oudere systemen: vooral AK-SM 800 en AK-SC 355. Deze reeksen zijn al end of life en krijgen daarom geen patches meer. Danfoss stopte met ondersteuning van de AK-SM 800 in mei 2021 en de AK-SC 355 is volgens het bedrijf in 2016 uit productie genomen.
Ook sommige huidige varianten van AK-SM 800A konden kwetsbaar blijken als ze met verouderde firmware draaiden. In de aanvalssituatie zie je dus de klassieke combinatie: verouderde controllers met weinig of geen onderhoud, plus externe bereikbaarheid.
Hoe operators volgens ANSSI moeten ingrijpen
ANSSI formuleert hersteladviezen die vooral gericht zijn op het beperken van bereikbaarheid en het voorkomen van hercompromittering.
- Haal getroffen controllers van internet. Zorg dat ze niet langer direct extern bereikbaar zijn.
- Beperk remote toegang. Als remote toegang nodig is, dan alleen via een beveiligde VPN of een gecontroleerd, beschermd netwerk.
- IP-filtering is alleen noodmaatregel. ANSSI noemt IP-filtering acceptabel als tijdelijke emergency oplossing, maar niet als structurele fix.
- Alleen een factory reset is niet genoeg. Voor end-of-life apparaten is een fabrieksreset volgens CERT-FR onvoldoende, omdat het apparaat alsnog kwetsbaar blijft en bij blootstelling opnieuw gecompromitteerd kan worden.
Als je dit vertaalt naar dagelijkse OT-praktijk: de aanval laat zien dat “wel kunnen resetten” niet hetzelfde is als “veilig worden”. Het gaat om het reduceren van aanvalsvlakken en het herstellen van een gecontroleerde netwerkpositie.
Voor organisaties die met bewijs en bewijsvoering bezig zijn in incidentrespons, kan ook relevant zijn hoe je AI confidence niet verwart met echte validatie. Dat artikel is niet specifiek voor koeling, maar wel bruikbaar voor het omgaan met (on)zekerheden tijdens onderzoek.
Effect op supermarkten in Frankrijk: honderden locaties
Het aantal getroffen winkels in Frankrijk ligt volgens de minister van Financiën Roland Lescure rond de 700 van ongeveer 10.000 supermarkten. Eerdere berichtgeving noemde nog 300-350 locaties.
Verschillende ketens bevestigen impact:
- Intermarché: ongeveer 150 winkels getroffen. Koelunits draaiden er volgens de eigenaar Lesc Mousquetaires gedurende zes uur op circa 50°C; alle producten zijn weggegooid.
- Carrefour: 80 winkels beïnvloed.
- Coopérative U: ongeveer 80 winkels geraakt; slechts een minderheid hoefde producten te verwijderen.
In twee winkels in Alsace werden verliezen gemeld van €270.000. Daarnaast meldt het openbaar ministerie dat de aanval naast voedselverlies ook brand veroorzaakte. De publieke berichtgeving stelt dat aanvallers defrost-cycli hebben verlengd — van circa één uur naar mogelijk acht uur — waardoor alarmen later afgingen.
Onderzoek loopt: geen claim of losgeld
Onderzoekers zouden volgens berichtgeving van Reuters verbaasd zijn over het ontbreken van een claim van verantwoordelijkheid of een losgeldvraag. Ook is er nog geen concreet antwoord op de technische route naar binnen: ANSSI’s alert verwijst niet naar één specifieke kwetsbaarheid die het compromis verklaart, en de betrokken partijen hebben het incident niet eenduidig gekoppeld aan eerder publiek gemaakte flaws.
Verder duiken signalen op over verspreiding: Sekoia meldde dat winkels in Spanje, Portugal, Polen, Duitsland en België ook zouden zijn geraakt, maar zonder technische details. Tegelijk gaf het Nederlandse NCSC aan niet te geloven dat een cyberaanval op Ahold Delhaize direct verband hield met het koelingincident.
Intern blootgestelde panelen en het “rate” van disconnect
Onderzoekers die internetblootstelling meten, zagen op 11 oktober bijna 3.000 internet-exposed Danfoss StoreView control panels. In Frankrijk ging het om meer dan 1.800 exemplaren. Tegen 14 oktober was het Franse aantal gedaald naar 537, terwijl de internationale aantallen nauwelijks veranderden.
Dat tempo is opvallend: een snelle afname van blootgestelde panelen, terwijl “gepatchte” en “ongepatchte” varianten vergelijkbaar verdwijnen, suggereert dat veel operators vooral disconnecten in plaats van uitsluitend updates toe te passen. Dat sluit aan bij ANSSI’s oproep: haal de apparaten van internet en herstel remote toegang op een veilige manier.
Wil je breder denken over OT-veilig testen en het voorkomen van productierisico’s, dan kan ook dit artikel helpen bij het opzetten van een veilige aanpak: AI-agenten in OT: in minuten testen, maar veilig. Ook al is de focus anders, het onderliggende principe — gecontroleerd testen in een afgebakende omgeving — is vergelijkbaar.
Implicaties voor organisaties met koel- en besturingssystemen
Deze casus is een wake-up call voor organisaties die apparatuur gebruiken die zowel operationeel als extern bereikbaar kan zijn. In het bijzonder springen twee punten eruit.
Ten eerste: verouderde controllers blijven een reëel risico, zeker als er geen patches meer komen. Ten tweede: zelfs als er een firmware-update bestaat, kan de grootste winst ontstaan door het snel terugbrengen van de blootstelling (offline halen, VPN of protected network gebruiken, IP-filtering als tijdelijke maatregel).
Daarbij geldt dat “resetten” of “even opnieuw opstarten” meestal niet het structurele probleem oplost wanneer de software of configuratie nog steeds onveilig is. ANSSI benoemt dit expliciet voor end-of-life apparaten.
Conclusie
De supermarktkoeling aanval die in Frankrijk begon met Danfoss-controllers, treft volgens ANSSI nu ook Copeland XWEB en Dixell XWEB systemen. Het is nog onduidelijk hoe de aanvallers precies toegang kregen, maar de herstelrichting is helder: getroffen koelingscontrollers moeten van internet af, remote toegang moet veilig en beperkt, en een factory reset is voor kwetsbare end-of-life apparatuur geen eindoplossing.
Voor supermarkten en andere ketens met koelinstallaties is dit het moment om niet alleen naar patches te kijken, maar vooral naar het netwerk en de bereikbaarheid van de OT-onderdelen. Dat maakt het verschil tussen “incident tijdelijk dempen” en “incident herhalen voorkomen”.
Bron: https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/
