Van zondag op maandag werden koelkasten en vriezers bij meer dan 100 winkels in meerdere Europese landen plots warmer. Verschillende retailers koppelen de verstoring aan een cyberaanval. De incidenten lijken daarbij sterk op een eerdere golf van vergelijkbare problemen die nog maar enkele weken geleden in Europa speelde.
Dit keer ging het om winkels in onder meer België, Estland, Ierland, Luxemburg, Nederland en Zweden. Ook werden later meldingen gedaan in Finland, Italië en Portugal. Het gevolg was in meerdere gevallen hetzelfde: voedsel bederft door een te hoge temperatuur, en in sommige situaties werd zelfs melding gemaakt van brand.
Wat gebeurde er met de koelkasten en vriezers?
Volgens de berichtgeving raakten de koelsystemen in “defrost mode”, oftewel de stand waarin de apparatuur het bevroren gedeelte afroomt/ontdooit in plaats van langdurig op de juiste temperatuur te koelen. In sommige locaties liep de temperatuur op tot waarden rond 50°C. Dat is direct voelbaar in de winkel: gekoelde en diepvriesproducten komen boven hun houdbaarheid uit.
De techniek die nu zichtbaar is, wordt door betrokken partijen omschreven als vergelijkbaar met de aanval van ongeveer drie weken eerder. Ook toen werden koelingsunits gedwongen in een ontregeling die de koeling effectief ondermijnt.
Welke landen en winkeltypes zijn geraakt?
De betrokkenheid varieert van grote ketens tot kleine speciaalzaken. Voorbeelden die in de berichtgeving terugkomen:
- België: meerdere winkels/locaties getroffen; een IT-incident verstoorde de koeling bij een tiental tot tientallen locaties bij verschillende partijen.
- Nederland: Danfoss stelt dat systemen van ten minste 17 bedrijven zijn geraakt, vooral bij slagers en kleine winkels.
- Zweden: een beperkt aantal locaties van een grote retailer werd geraakt; ook andere ketens meldden problemen op een aantal plekken.
- Ierland: bij een retailer werden producten uit 13 winkels verwijderd omdat één specifiek type koelingmodel geraakt leek.
- Luxemburg, Estland en Ierland: er zijn meldingen van kleinere aantallen getroffen locaties, maar de impact is nog steeds ernstig door voedselverlies en operationele verstoring.
Daarnaast werd onder meer in België een onderzoek gestart door de bevoegde autoriteiten.
Welke koelcontrollers worden genoemd?
In de eerdere golf werd al gewezen op specifieke besturingssystemen in koelinstallaties. In de nieuwe berichten komt wederom terug dat het om Danfoss– en ook Copeland-componenten zou kunnen gaan. Er wordt gesproken over controllers en systeeminterfaces die bij bepaalde installaties misbruikt zijn.
Een leverancier geeft bovendien aan dat het vooral om legacy apparatuur zou gaan: systemen die niet (meer) worden geüpdatet. Dat maakt het lastig om met enkel een “gewone” patch alle risico’s weg te nemen.
Ook een woordvoerder van Danfoss meldde dat klanten eerder is geadviseerd om de systemen niet direct via het internet bereikbaar te houden en alleen via een veilig netwerk terug te verbinden.
Waarom is dit zo moeilijk te stoppen met alleen een update?
Een belangrijk punt in de berichtgeving is dat een software-update alleen niet genoeg lijkt. Een betrokken partij stelt dat de kwetsbaarheid niet volledig wordt verholpen door uitsluitend updates: er is ook een fysieke wijziging aan de getroffen apparatuur nodig. Dat onderstreept hoezeer dit soort omgevingen afwijken van “gewone” IT: koeling draait op specifieke hardware, die vaak jaren in gebruik is.
Daarbovenop komt een tweede factor: voor een deel van de apparatuur geldt dat deze nog steeds bereikbaar is via een managementinterface.
Internetbereikbare interfaces vergroten het risico
Een securityonderzoeker rapporteerde dat zij bevestigingen hadden van situaties waarin iedere getroffen vriezer een managementinterface had die vanaf het internet bereikbaar was. Bovendien worden veel van deze apparaten als einde-levensduur omschreven, waardoor er geen patches meer beschikbaar zijn.
Ook intelligence-rapporten over blootgestelde interfaces suggereren dat er wereldwijd een aanzienlijk aantal “open” Danfoss StoreView-achtige interfaces gevonden kan worden. In Frankrijk werd eerder een hoge blootstelling gezien; die aantallen namen later af, maar bleven relevant.
Daarbij is het belangrijk om op te merken dat in de berichtgeving niet publiekelijk is vastgesteld welke van de nog actieve (of inmiddels deels aangepaste) apparaten precies zijn gecompromitteerd bij de nieuwe golf.
Hoe kwamen aanvallers binnen?
Op dit moment is er geen eenduidig, publiek uitgewerkt antwoord op de vraag “hoe” de aanvallers precies binnenkwamen. Wel zijn er indicaties van verdacht gedrag rondom specifieke componenten.
Een partij die sensoren inzet, meldt dat zij tussen 20 en 30 oktober verdachte activiteiten observeerden gericht op sensoren gerelateerd aan Danfoss AK-SM koelcontrollers. Daarbij zouden veel pogingen gebruikgemaakt hebben van fabrieksstandaard credentials die publiek gedocumenteerd zijn. In andere gevallen leek men te proberen om specifieke componenten of configuraties te “fingerprinten”.
Ook het tijdstip van de piek in pogingen werd als opvallend genoemd. Dat helpt verklaren waarom beveiligingsteams in de praktijk vaak waarnemen dat toegangspogingen voorafgaan aan operationele verstoringen.
Waarom raakt dit de voedselketen zo direct?
De aanval is in zekere zin “fysiek voelbaar” via de temperatuurregeling. Zodra de koeling verkeerd schakelt, ontstaan er twee directe problemen:
- Voedselverlies: producten moeten worden weggegooid zodra houdbaarheid en veiligheid niet meer gegarandeerd zijn.
- Operationele verstoring: winkels kunnen niet op volle capaciteit draaien, en personeel moet snel beoordelen wat nog veilig is.
Een EU-vertegenwoordiger karakteriseerde de herhaling van aanvallen als een doelbewuste poging om het vertrouwen en delen van de voedselvoorziening te ondermijnen. Tegelijk stelt diezelfde bron dat de voedselveiligheid als geheel nog niet in gevaar zou zijn, al is de lokale schade voor bedrijven wél concreet.
Wat kun je nu doen als retailer of beheerder?
Ook als je niet exact dezelfde merkcombinatie of modellen gebruikt, zijn de lessen herkenbaar voor de hele koelketen. De berichtgeving wijst vooral op bereikbaarheid, authenticatie en patch-/vervangbaarheid.
1) Maak koelcontrollers niet (onnodig) publiek bereikbaar
Zorg dat managementinterfaces niet direct vanaf het internet te benaderen zijn. Zet waar mogelijk in op netwerksegmentatie en alleen via een gecontroleerde route (bijvoorbeeld een veilig bedrijfsnetwerk of beveiligde toegang) toegang verlenen.
2) Controleer wachtwoorden en standaardaccounts
Omdat een deel van de waargenomen pogingen leunde op fabrieksstandaard inloggegevens, is het essentieel om standaardaccounts te verwijderen of sterk aan te passen. Combineer dit met rate limiting en monitoring van inlogpogingen.
3) Wees realistisch over legacy apparatuur
Als je apparatuur “end-of-life” is, heb je mogelijk geen betrouwbare patchroute. In dat geval is het extra belangrijk om te kijken naar compensating controls en, waar nodig, fysieke of structurele aanpassingen die leveranciers adviseren.
4) Monitor op vroege signalen
Let op verdachte inlogpogingen en fingerprinting-activiteiten. Het helpt om tijdig te signaleren dat er voorbereidend werk plaatsvindt voordat systemen operationeel worden ontregeld.
Gerelateerde ontwikkelingen: van DDoS tot supply-chain en misbruik van internetinterfaces
Als je dit soort incidenten in bredere context wilt plaatsen, is het interessant om te zien hoe aanvallers steeds vaker proberen te verstoren via digitale componenten. Op onze site bespreken we bijvoorbeeld ook de bredere trend in recente dreigingen en verstoringen, inclusief DDoS en supply chain-varianten: focus op recente cyberdreigingen.
Daarnaast loont het om te kijken naar andere gevallen waarin internetbereikbare systemen en beheerinterfaces voor problemen zorgen. Voorbeelden van IoT/OT-incidenten en het belang van snelle remediatie vind je ook in onze andere berichten, zoals over updates en kwetsbaarheden bij remote of beheercomponenten: TeamViewer: update tegen remote session-kwetsbaarheid.
Hoewel deze voorbeelden niet over koelkasten gaan, laten ze hetzelfde beveiligingsprincipe zien: beheertoegang die verkeerd wordt ingericht, wordt vaak een startpunt voor verstoring.
Conclusie: herhaling maakt preventie urgent
De nieuwe golf van supermarktkoelkasten aanvallen laat zien dat dit geen geïsoleerd incident is. De verstoringen lijken op de eerdere campagne en raken opnieuw meerdere Europese landen, met reële schade voor winkels door voedselverlies en soms zelfs brandmeldingen.
Voor retailers en beheerders is de belangrijkste les: behandel koel- en vriesinstallaties als kritieke operationele systemen. Dat betekent proactief beperken van internettoegang, standaard- en zwakke authenticatie aanpakken, en vooral rekening houden met legacy hardware waarvoor alleen patchen niet altijd volstaat.
Bron: https://www.securityweek.com/over-100-european-stores-hit-as-supermarket-fridge-attacks-resume/
