De verstoring van de koeling bij honderden supermarkten in Frankrijk heeft de aandacht opnieuw gevestigd op een kwetsbaar onderwerp: supermarktkoeling gehackt. Volgens de nationale cyberveiligheidsdienst ANSSI (CERT-FR) zijn niet alleen Danfoss-controllers getroffen, maar later bleek ook apparatuur van Copeland en het Dixell-merk in de keten betrokken.
Voor veel organisaties betekent dit vooral één ding: als koelingssystemen of remote beheer bereikbaar zijn vanaf het internet, kan een incident snel gevolgen hebben voor voedselveiligheid, bedrijfscontinuïteit én operationele IT-beveiliging.
Wat CERT-FR precies meldde
ANSSI’s CERT-FR waarschuwde op 12 oktober voor meerdere compromissen met koelingscontrollers uit de Danfoss-reeksen AK-SM en AK-SC. Een dag later volgde een update waarin ook Copeland XWEB en Dixell XWEB werden meegenomen.
De kern van de melding is dat er sprake is van aantastingen bij apparaten die in het koelingsbeheer worden gebruikt, maar dat de waarschuwing volgens de bron niet de compromissen direct koppelt aan één specifieke kwetsbaarheid of exploit.
Copeland reageerde aanvankelijk terughoudend en bevestigde de bevindingen later alsnog: het bedrijf erkent een kwetsbaarheid en werkt samen met getroffen klanten om risico’s te beperken.
Welke controllers en software waren betrokken?
In eerdere berichtgeving dit jaar lichtte Claroty al problemen toe in koelingsgerelateerde producten. Daarbij ging het onder meer om flaws in Danfoss AK-SM 800A en om 23 kwetsbaarheden in een Copeland-controller, de XWEB Pro. Copeland zou die issues vervolgens hebben gepatcht via een firmware-update.
Toch blijft de bron benadrukken dat niet duidelijk is hoe aanvallers toegang hebben gekregen. Het is dus mogelijk dat het incident niet enkel voortkomt uit de door Claroty gedocumenteerde gebreken, of dat de aanval plaatsvond op systemen die nog niet waren bijgewerkt.
Waarom ‘end-of-life’ apparaten extra kwetsbaar zijn
Een belangrijk technisch punt in de melding is de status van veel getroffen toestellen. Danfoss geeft aan dat een groot deel van de impact betrekking heeft op oudere systemen, waaronder AK-SM 800 en AK-SC 355, die inmiddels end-of-life zijn en daarom niet langer worden gepatcht.
- Danfoss stopte met ondersteuning van de AK-SM 800 in mei 2021.
- AK-SC 355 werd al in 2016 stopgezet.
Daarnaast zijn volgens de bron ook sommige actuele AK-SM 800A-controllers geraakt die draaiden op verouderde firmware. Dat maakt duidelijk dat het risico niet alleen bij afgeschreven hardware ligt, maar ook bij systemen die niet tijdig zijn geüpdatet.
ANSSI’s advies: haal systemen tijdelijk offline
CERT-FR doet operators concrete aanbevelingen. De richtlijn is om getroffen controllers van het internet te halen en remote toegang pas weer toe te staan via een beveiligd VPN of een afgeschermd netwerk.
ANSSI noemt IP-filtering als mogelijke noodmaatregel, maar waarschuwt dat dit alleen tijdelijk moet worden ingezet. Het achterliggende idee: zodra systemen direct of indirect vanaf openbare netwerken bereikbaar zijn, neemt de kans op misbruik sterk toe.
Verder zegt de melding dat bij gecompromitteerde end-of-life apparaten een fabrieksreset niet voldoende is. Als het toestel kwetsbaar blijft en online toegankelijk is, kan het opnieuw worden aangevallen.
Honderden winkels getroffen in Frankrijk
Volgens de bron zijn naar schatting ongeveer 700 van de circa 10.000 supermarkten in Frankrijk geraakt. Minister Roland Lescure meldde dit aan wetgevers; eerdere schattingen spraken nog over 300 tot 350 winkels.
Verschillende ketens bevestigden aantallen winkels die impact ondervonden:
- Intermarché: rond 150 locaties. De koeling draaide ongeveer zes uur op circa 50°C, waarna het voedsel is weggegooid.
- Carrefour: 80 winkels betroffen.
- Coopérative U: ongeveer 80 winkels geraakt; bij een minderheid was weggooien nodig.
Op detailniveau ging het bij twee supermarkten in Alsace om een gemelde schade van €270.000.
Naast voedselverlies ook brandrisico en verlate meldingen
De bron vermeldt dat het onderzoek niet alleen over voedselbederf gaat. Volgens berichtgeving via de Franse pers zou de aanval ook brandincidenten hebben veroorzaakt, mogelijk doordat de koelingscycli anders werden aangestuurd.
Le Monde meldt dat aanvallers ontvries-/defrostcycli zouden hebben verlengd van ongeveer 1 uur tot wel 8 uur. Dat zou alarmen kunnen hebben vertraagd, waardoor problemen later werden gedetecteerd.
Opvallend is bovendien dat onderzoekers volgens de bron geen claim en ook geen losgeldeis hebben gezien. Dat past bij een scenario waarin de motivaties variabel kunnen zijn—of waarbij sporen nog niet compleet zichtbaar zijn.
Onzekerheid over het aanvalspad
Een ander vraagstuk is de toegang. Het CERT-FR-bericht koppelt de compromissen niet aan één specifieke kwetsbaarheid. Ook noch Danfoss noch de Franse autoriteiten leggen in de bron een directe link met de tekortkomingen die Claroty eerder beschreef.
Daarnaast wijst een observatie van Censys op een praktisch gedrag: aantastbare en niet-aantastbare varianten lijken in dezelfde mate van het internet te verdwijnen. Dat suggereert dat operators kiezen voor offline halen, in plaats van alleen updaten.
Ook in andere landen circuleren signalen. Sekoia meldde dat winkels in onder meer Spanje, Portugal, Polen, Duitsland en België ook geraakt zouden zijn, maar zonder extra technische details te geven. Het Nederlandse NCSC zou niet geloven dat er een direct verband is met een afzonderlijke cyberaanval bij Ahold Delhaize.
Respons en impact op leveranciers: wie draagt de verantwoordelijkheid?
Het incident roept daarnaast vragen op over aansprakelijkheid. In de bron stelt Les Mousquetaires dat de koelingssystemen door Danfoss worden beheerd en dat het daardoor aan de leverancier zou zijn om aangifte te doen bij de autoriteiten.
Dit is herkenbaar in veel ketens waar operationele technologie (OT) en beheer op afstand door een externe partij wordt uitgevoerd: wie beheert welke risico’s, wie monitort, en wie patcht tijdig?
Wie verder wil kijken naar bredere OT-incidenten rond misbruik van systemen op afstand, kan ook de aanpak rondom vroege detectie van aanvalsvarianten lezen in fake AI-aanvallen: zo beperk je incidenten vroeg. Dat artikel gaat niet over koeling, maar wel over het belang van snelheid in het beperken van schade.
Praktische lessen voor operators en IT/OT-teams
Los van de precieze aanvalstechniek zijn er duidelijke organisatorische lessen. De combinatie van end-of-life hardware, remote beheer en internet-bereikbaarheid maakt het risico op escalatie groot.
- Inventariseer welke koelingscontrollers (en versies/firmware) precies online of via tunnels bereikbaar zijn.
- Werk bij waar patches beschikbaar zijn, maar beschouw ook end-of-life apparaten als verhoogd risico.
- Beperk remote toegang tot een beveiligde infrastructuur zoals een VPN of afgeschermd netwerk.
- Maak herstel realistischer: bij gecompromitteerde toestellen is alleen reset vaak niet genoeg als kwetsbaarheden blijven bestaan.
Ten slotte is het verstandig om te bepalen hoe incidentrespons wordt uitgevoerd wanneer de impact niet in een datalekkage uitmondt, maar in directe operationele verstoringen. In dit soort gevallen telt minuten- en urenbesluitvorming: wat gaat offline, hoe voorkom je dat alarmsystemen worden omzeild, en hoe borg je voedselveiligheid?
Conclusie
De zaak rond supermarktkoeling gehackt laat zien hoe cyberincidenten in OT-omgevingen zeer tastbaar kunnen worden. ANSSI’s CERT-FR bevestigt dat de verstoring in Frankrijk breder was dan één leverancier: naast Danfoss kwamen later ook Copeland XWEB en Dixell XWEB in beeld.
Wat nu vooral belangrijk is voor operators: haal getroffen controllers uit de blootstelling aan het internet, gebruik beveiligde remote toegang en behandel end-of-life systemen met extra urgentie. Daarmee voorkom je dat een incident zich herhaalt—zelfs nadat een apparaat “gereset” lijkt.
Bron: https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/
