Frankrijk stelt dat een cyberaanval op koelingscontrollers bij ongeveer 700 retaillocaties is uitgevoerd door een cyberunit die wordt gelinkt aan de Islamitische Revolutionaire Garde (IRGC). Volgens de Franse overheid ging het om sabotage: de aanvallers zouden instellingen voor ontdooiing hebben aangepast naar veel hogere temperaturen, met voedselverliezen en in meerdere gevallen brand tot gevolg.
Deze zaak raakt direct aan dreiging en patchvertraging in koelsystemen. Niet alleen omdat er sprake was van inbraak, maar vooral omdat blootstelling van beheervoorzieningen en het uitblijven van tijdige beveiligingsmaatregelen het risico vergroten dat een systeem als de beheerlaag van koeling wordt misbruikt.
Wat er volgens Frankrijk gebeurde
De aanval zou plaatsvinden in de nacht van 11 oktober. De daders zouden op afstand inbreken op koelingscontrollers en vervolgens de ontdooi-instellingen wijzigen. Door de instellingen “omhoog” te zetten, ontstonden volgens Frankrijk abnormaliteiten in het ontdooiingsproces. Dit leidde tot aanzienlijke verliezen, en in minstens vijftien gevallen tot brand.
De Franse aankondiging noemt bovendien een specifieke unit, met de naam Shahid Kaveh. Die groep zou vooral bekend zijn door hacktivistische persona’s die aanvallen claimen en diezelfde unit aan eerdere acties koppelen.
Welke apparaten werden geraakt
In een incidentmelding waarschuwt het Franse CERT-FR dat er meerdere compromissen zijn vastgesteld bij remote koelingscontrollers over vier productfamilies. Daarbij gaat het om de volgende families:
- Danfoss AK-SM en AK-SC series
- Copeland xweb
- Dixell xweb
Belangrijk detail is dat Frankrijk expliciet benadrukt dat het blootstellen van een managementinterface aan het internet in strijd is met goede praktijk. Juist die “afstand” maakt het in de praktijk mogelijk om snel en op afstand instellingen te wijzigen.
Hoe de sabotage zich vertaalt naar risico’s op locatie
Koelsystemen lijken voor veel organisaties vooral een operationele voorziening, maar de beheerlaag bepaalt hoe veilig de werking blijft. In deze casus beschrijft Frankrijk een scenario waarin aanvallers de ontdooi-cyclus konden sturen zonder tijdslimiet en waarbij veiligheidswaarschuwingen rond temperatuursensoren konden worden uitgeschakeld. Wanneer die meldingen niet werken zoals bedoeld, verdwijnt een belangrijke rem op risicovolle bedrijfstoestanden.
Daarmee wordt duidelijk waarom dreiging en patchvertraging in koelsystemen niet alleen “cyber” is, maar ook direct effect kan hebben op menselijk risico en continuïteit. Onbedoelde warmteontwikkeling, mislukte beveiligingslogica en ontregeling van cycli kunnen in het ergste geval leiden tot brand.
Attributie en samenhang met andere OT-doelwitten
Frankrijk beschrijft vier indicatoren die het verband leggen met IRGC als sponsor en met Shahid Kaveh als uitvoerende unit. Ook noemt men dat de gebruikte infrastructuur in dezelfde periode is ingezet voor verkenning van apparatuur van Schneider Electric op locaties voor kleine waterkrachtproductie. Volgens de aankondiging waren de effecten op die apparatuur gematigd.
Daarnaast wordt in de beschrijving genoemd dat aanvallers remote controle zouden hebben verkregen via webinterfaces. Bij een dergelijke aanval draait het vaak om twee technische bouwstenen: toegang tot de beheerinterface en het vermogen om configuratieparameters programmatisch te manipuleren.
Praktisch actieplan: wat operators nu moeten doen
Het incidentadvies van CERT-FR splitst de aanpak op in situaties voor niet-gecompromitteerde controllers en controllers waarbij wel vermoedelijk of bewezen sprake is van compromis. In beide gevallen komt hetzelfde kernprincipe terug: maak eerst de verbindingen veilig en beperk daarna de configuratie-impact.
1) Voor controllers die niet gecompromitteerd zijn
- Verwijder internetblootstelling van de koelingsunits en van elk apparaat dat bereikbaar is via een publiek IP-adres.
- Check verzekeringsvoorwaarden voordat je de gegevensfeed naar de koeler/contractor uitschakelt.
- Herzie de configuratie volledig, met extra aandacht voor de ontdooi-reeksen en relevante instellingen.
- Herstel toegang alleen via een veilige route zoals een VPN of een afgeschermd netwerk. In nood kan firewall-filtering op contractors-IP’s, maar dat is geen structurele oplossing.
- Volg maker-werkwijzen: voor Danfoss noemt CERT-FR o.a. firmware-updates, het instellen van een streng beveiligingsniveau (“Strict”) en het controleren of standaardwachtwoorden daadwerkelijk zijn vervangen.
2) Voor controllers die wel gecompromitteerd zijn
- Neem eveneens internetblootstelling weg en controleer verzekeringsvoorwaarden.
- Herstart of herstel het apparaat (bij Danfoss wordt het herstellen naar fabrieksinstellingen genoemd).
- Herstel toegang via VPN of beschermd netwerk. Firewall-filtering kan als noodoplossing, maar blijft een tijdelijke maatregel.
- Reconfigureer vóór heringebruikname en voer daarna de maker-aanbevolen instellingen opnieuw door.
EOL-apparaten: waarom patchvertraging extra gevaarlijk is
Een opvallend onderdeel van het advies is de situatie van end-of-life (EOL)-apparaten. Als een device geen beveiligingsupdates meer ontvangt, groeit het risico aanzienlijk wanneer het nog steeds aan internet gekoppeld blijft. Zelfs een factory reset wordt niet gezien als voldoende: die verwijdert wel persistence die aanvallers mogelijk hebben geplaatst, maar het apparaat blijft kwetsbaar en wordt vrijwel zeker opnieuw aangevallen zodra het weer online is.
Waarom dit soort incidenten blijft terugkomen
Deze casus laat zien hoe de digitale beheerlaag van OT-omgevingen een aantrekkelijk doelwit kan zijn. Webinterfaces maken het systeem voor leveranciers en beheerders soms makkelijk bereikbaar, maar zonder strikte netwerksegmentatie en voortdurende beveiligingszorg ontstaat ruimte voor misbruik. Daarmee wordt dreiging en patchvertraging in koelsystemen een terugkerend patroon: niet alleen technische kwetsbaarheden spelen mee, maar ook de timing en discipline waarmee organisaties beveiligingsmaatregelen uitvoeren.
Voor veel retailers betekent dat: een vaste routine voor inventarisatie (welke modellen hangen waar?), een patchcyclus die rekening houdt met OT-afhankelijkheden, en duidelijke regels voor hoe beheer van buitenaf wordt toegestaan.
Versterk je OT-weerbaarheid met bestaande lessen
Als je naar eerdere OT-gerelateerde waarschuwingen kijkt, zie je vaak dezelfde rode draad: apparaten met remote beheer moeten strakker worden afgeschermd en geconfigureerd. Dit onderwerp sluit ook aan bij eerder berichtgeving over kwetsbaarheden en snelle misbruikscenario’s.
Lees bijvoorbeeld ook SSHole: OpenSSH kwetsbaarheid en directe acties voor een praktische kijk op het snel beperken van risico bij blootstelling en misbruik. En voor organisaties die te maken hebben met ketenrisico’s rond industrial en supply chain omgevingen is walletdiefstal via supply chain een relevant voorbeeld van hoe aanvallen verder reiken dan alleen het “kernapparaat”.
Conclusie: maak het beheernetwerk veilig en tempo belangrijk
Frankrijk beschuldigt Iran van sabotage via remote koelingscontrollers bij tientallen retaillocaties. De kernboodschap voor operators is helder: haal managementinterfaces weg uit de openbare internetzone, controleer en corrigeer configuraties (met focus op ontdooi-instellingen en veiligheidsmeldingen) en herstel gecompromitteerde apparaten volgens de aanbevelingen van de fabrikant.
Juist rond dreiging en patchvertraging in koelsystemen is snelheid essentieel: EOL-devices zonder updates vragen om verwijdering of vervanging, terwijl “tijdelijke” noodmaatregelen (zoals firewall-filtering zonder structureel veilig beheer) het risico niet oplossen. Door dezelfde dag te starten met afscherming en herconfiguratie, verklein je de kans op herhaling en beperk je de impact op voedselveiligheid, bedrijfsvoering en veiligheid op locatie.
Bron: https://thehackernews.com/2026/11/france-blames-iran-for-sabotage-attack.html
