Een supermarktkoeling aanval heeft in Frankrijk de koeling van honderden winkels ontregeld. De nationale cybersecuritydienst ANSSI meldt dat niet alleen Danfoss-refrigeratiecontrollers zijn geraakt, maar dat het incident zich ook uitstrekt naar apparatuur van Copeland en het merk Dixell. Voor exploitanten betekent dit: de risico’s zijn direct zichtbaar in de voedselketen en vragen om snelle technische maatregelen.
In dit artikel zetten we de belangrijkste inzichten op een rij: welke systemen zijn betrokken, wat CERT-FR (CERT-FR) specifiek adviseert, en waarom alleen een reset niet genoeg kan zijn.
Wat is er gebeurd in Franse supermarkten?
ANSSI’s CERT-FR waarschuwde op 12 oktober voor talrijke compromitteringen rond Danfoss AK-SM (series AK-SM) en AK-SC (series AK-SC) koelcontrollers. Een dag later werd de waarschuwing uitgebreid met Copeland XWEB-systemen en Dixell XWEB-oplossingen.
Meerdere ketens meldden dat hun vestigingen zijn geraakt, waaronder Carrefour, Coopérative U, E.Leclerc, Intermarché en Monoprix. Volgens de minister van Financiën ging het naar schatting om ongeveer 700 van de circa 10.000 supermarkten in Frankrijk (eerdere berichten spraken over 300-350).
Welke hardware en controllers worden genoemd?
De focus van de melding ligt op refrigeration controllers en managementsystemen die (mogelijk) via internet bereikbaar waren. Danfoss gaf aan dat vooral oudere modellen zijn getroffen:
- Veel getroffen apparaten vallen onder AK-SM 800 en AK-SC 355.
- Deze systemen bereiken hun end-of-life status: AK-SM 800 werd al niet meer ondersteund sinds mei 2021 en AK-SC 355 was al in 2016 stopgezet.
- Ook sommige AK-SM 800A-controllers met verouderde firmware waren onderdeel van de groep die in de melding wordt genoemd.
Verder refereert de context aan eerder onderzoek: Claroty publiceerde in de zomer details over kwetsbaarheden in Danfoss AK-SM 800A en over 23 kwetsbaarheden in een Copeland XWEB Pro-controller. Copeland zou deze eerder hebben gepatcht via een firmware-update.
Waarom is het onduidelijk wat de aanval precies mogelijk maakte?
Hoewel er kwetsbaarheden bestaan die in de industrie eerder zijn onderzocht, is in de huidige CERT-FR-melding niet met zekerheid gekoppeld welke specifieke fout(en) de aanvallers hebben gebruikt om binnen te komen. De alert noemt geen concrete vulnerability die de compromitteringen rechtstreeks verklaart.
Dat betekent niet dat er geen risico is, maar wel dat operators moeten uitgaan van een brede veiligheidsaanpak: verouderde apparaten, verkeerde netwerkexposure (internet-toegang) en mogelijk ongeautoriseerde remote toegang zijn allemaal scenario’s die passen bij wat CERT-FR ziet.
Wat zegt CERT-FR: haal apparaten van internet en stuur remote toegang veilig?
Een van de meest praktische adviezen is helder. CERT-FR roept exploitanten op om de betrokken controllers van het internet af te halen. Remote toegang moet vervolgens alleen worden teruggebracht via een beveiligde VPN of via een beschermd netwerk.
IP-filtering op basis van herkomstadressen wordt in de waarschuwing genoemd als noodmaatregel, dus als tijdelijke oplossing in afwachting van structurele maatregelen.
Let op: een fabrieksreset is geen eindoplossing
Voor toestellen die al gecompromitteerd zijn, waarschuwt CERT-FR dat een factory reset niet voldoende is. De reden is eenvoudig: het apparaat blijft kwetsbaar en kan opnieuw worden aangevallen of opnieuw worden gecompromitteerd als het opnieuw blootgesteld blijft.
Vergelijk dit met het bredere patroon dat we vaak zien in security-incidenten: je kunt systemen herstellen, maar zonder correcte netwerkinrichting en patch/mitigatie blijft het aanvalsoppervlak bestaan.
Praktische impact: koeling verstoord, voedsel verloren en zelfs brandmelding
De gevolgen zijn niet abstract. Bij Intermarché zouden circa 150 winkels zijn getroffen. Daar draaiden koelunits rond 50°C gedurende zes uur, waarna de voedingswaren zijn weggegooid. Carrefour gaf aan dat 80 vestigingen werden geraakt.
Daarnaast meldt het dossier ook verstoring van processen rondom ontdooien. In berichtgeving wordt beschreven dat de defrost-cycli zouden zijn verlengd, tot wel acht uur, waardoor alarmen later op gang kwamen. Dat helpt verklaren waarom de impact in de praktijk kan escaleren: ketenbeheer faalt sneller dan je verwacht.
Wat betekent dit voor operators buiten Frankrijk?
Deze case laat zien dat OT- en retail-omgevingen niet gescheiden zijn van cyberrisico’s. Waar veel organisaties zich richten op IT-systemen, kunnen koeling en magazijnbeheer via controllers, gateways of managementpanelen direct bijdragen aan fysieke schade (kwaliteit, veiligheid en continuïteit).
Er zijn bovendien aanwijzingen dat het probleem niet overal exact hetzelfde wordt gemeten, maar het patroon van internet-exposed management blijft verdacht. Een telling door Censys van internet-blootgestelde Danfoss StoreView panels (op 11 oktober) lag hoog, en daalde later sterk in Frankrijk—iets dat past bij het idee dat organisaties vooral disconnecten in plaats van meteen updaten.
Als je in het buitenland vergelijkbare apparatuur beheert, is dit een signaal om je eigen exposure en remote access te herijken.
Checklist: zo pak je een mogelijke supermarktkoeling aanval aan
Gebruik deze checklist als startpunt voor een snelle risicoscan. Richt je op maatregelen waar je direct controle over hebt.
- Verwijder internettoegang van getroffen of mogelijk getroffen controllers (tijdelijk isoleren is beter dan blijven blootstellen).
- Heractiveer remote toegang alleen via VPN of een beveiligd netwerkpad.
- Voer patch- en firmwarebeoordeling uit: controleer of updates zijn toegepast voor de betreffende controllermodellen en versies.
- Ga ervan uit dat end-of-life apparatuur extra risico geeft: modellen die niet meer ondersteund worden zijn vaak het meest problematisch.
- Behandel gecompromitteerde toestellen als “niet schoon”: een factory reset alleen is volgens CERT-FR niet genoeg.
- Controleer alarmering en procesafhankelijkheden: als defrost/koelcycli kunnen schuiven, moeten meldingen en noodprocedures daarop aansluiten.
Wil je breder kijken naar de keten van IT-security naar operationele impact? Lees dan ook Fake AI-aanvallen: zo beperk je incidenten vroeg voor inzichten over vroege detectie en het beperken van schade voordat het uit de hand loopt.
Waarom leveranciers en ketens nu ook aansprakelijkheid bespreken
De casus roept ook vragen op over wie verantwoordelijk is voor systemen die door derden worden beheerd. In berichtgeving wordt genoemd dat Les Mousquetaires stelt dat de koelsystemen door Danfoss worden beheerd, waardoor de leverancier volgens hen een klacht zou moeten indienen bij de autoriteiten.
Los van juridische trajecten is de praktische conclusie voor organisaties: zorg dat je niet alleen naar leverancier-patches kijkt, maar ook naar je eigen netwerkconfiguratie, toegangsregimes en exploitatie-afspraken.
Conclusie
Deze supermarktkoeling aanval toont aan dat cyberincidenten in de praktijk kunnen leiden tot voedselverlies, verstoring van koelprocessen en zelfs brandmeldingen. CERT-FR’s kernadvies is toepasbaar en urgent: haal controllers van het internet en zet remote toegang weer alleen via VPN of een beschermd netwerk. Bovendien geldt: bij gecompromitteerde toestellen is een fabrieksreset niet automatisch voldoende.
Voor exploitanten betekent dit vooral één ding: behandel koelingscontrollers als onderdeel van je kritieke infrastructuur—met dezelfde discipline als je IT-omgeving.
Bron: https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/
