Koelinstallatie hack in supermarkten: les voor OT-beveiliging

Koelinstallatie hack in supermarkten: hoe een APT-Hacker naar je koeling en gebouwbeheer kijkt, en wat je deze week concreet doet.

Ergens in de nacht van zondag 1 op maandag 2 november begonnen de thermometers in Europese supermarkten te klimmen. Niet een paar graden. Sommige koel- en diepvriestoestellen haalden volgens de berichtgeving tot 50 °C. De ochtendploeg vond geen defecte compressor, maar rekken vol verse en diepvriesproducten die de container in moesten. Aanvallers hadden op afstand de instellingen van de koelsturing aangepast. En wie had opgelet, wist dat dit eraan zat te komen: drie weken eerder was in Frankrijk precies hetzelfde gebeurd.

Een cyberaanval op een supermarkt die eindigt met gesmolten ijsjes klinkt bijna komisch. Dat is het niet. Het is een schoolvoorbeeld van wat er misgaat wanneer operationele technologie (OT) behandeld wordt als iets dat gewoon in de technische ruimte staat te zoemen.

Twee golven, één patroon

De eerste golf trof Frankrijk in de nacht van 11 op 12 oktober. Bij zo'n 700 supermarkten, onder meer van Intermarché, Carrefour, Coopérative U en Monoprix, schakelden de koelinstallaties over naar ontdooimodus. Op 12 oktober verscheen waarschuwing CERTFR-2026-ALE-012 van het Franse CERT-FR. Die sprak van "talrijke compromitteringen" van controllers voor afstandsbeheer van koelinstallaties: de Danfoss AK-SM- en AK-SC-reeksen en de XWEB-supervisors van Copeland en Dixell. CERT-FR schreef er nadrukkelijk bij dat de campagnes "waarschijnlijk nog lopen". Achteraf bekeken was dat geen voorzichtige formulering, maar een voorspelling.

Half oktober kwam het Centrum voor Cybersecurity België (CCB) met een oproep die eigenlijk vanzelfsprekend zou moeten zijn: hang koelsystemen niet rechtstreeks aan het internet en installeer de beschikbare updates. De aangevallen beheerinterfaces waren volgens het CCB vermoedelijk bereikbaar vanaf het publieke internet, "wat in strijd is met security best practices". Het pijnlijkste detail? Voor de getroffen Danfoss-systemen lagen de patches voor de misbruikte kwetsbaarheden al anderhalf jaar klaar. Het Duitse BSI gaf een gelijkaardig advies.

Op 2 november sloeg de tweede golf toe, nu over een groot deel van Europa. SecurityWeek telde meer dan honderd getroffen winkels, van grote ketens tot de slager om de hoek, in onder meer België, Luxemburg, Nederland, Zweden, Estland en Ierland. Ook uit Finland, Italië en Portugal kwamen meldingen. België lijkt het zwaarst getroffen. Delhaize sprak van een IT-incident in enkele tientallen winkels, Carrefour telde 15 getroffen vestigingen op meer dan 700, Colruyt Group meldde vijf franchisewinkels van Spar, en ook een IKEA-winkel in Bergen ontsnapte niet. Volgens de pers zetten de aanvallers de koelunits opnieuw in ontdooimodus, zodat ze opwarmden in plaats van koelden. Het federaal parket heeft een onderzoek geopend. Wie erachter zit, is nog niet bekend, en geen enkele groep heeft de aanval opgeëist.

Danfoss bevestigde dat zijn producten betrokken waren. Volgens het bedrijf ging het grotendeels om oudere producten die het niet langer updatet. Onthoud die zin, want daar zit de kern van het verhaal.

Dit is geen retailprobleem

Je kunt dit wegzetten als pech voor de supermarktsector. Ik zou dat niet doen. Wat hier misliep, zien we bij XPOSE Security bijna wekelijks terug in kantoorgebouwen, ziekenhuizen en productiesites: koeling, verwarming (HVAC), gebouwbeheer en toegangscontrole die online hangen, oude software draaien en beheerd worden door een externe installateur.

De businessimpact is meteen voelbaar: weggegooide voorraad, lege rekken, gesloten afdelingen en reputatieschade. Europees landbouwcommissaris Christophe Hansen noemde het "een doelbewuste poging om onze voedselvoorzieningsketen te ontregelen". En onder NIS2 moeten bestuurders kunnen aantonen dat ze die risico's beheersen, ook die van leveranciers. "De koeling is van de technische dienst" is geen antwoord meer.

Door de ogen van de aanvaller

Wie het incident wil begrijpen, moet denken zoals de tegenpartij. Wat volgt is geen reconstructie van deze aanval: wie erachter zit en hoe die precies te werk ging, is niet bekend. Het zijn mogelijke scenario's, gebaseerd op hoe ervaren aanvallers op staatsniveau (APT's, advanced persistent threats) in het algemeen te werk gaan. Precies zo denken onze offensieve specialisten bij XPOSE.

Ze zoeken niet naar jou. Ze zoeken naar een type toestel. Een aanvaller begint niet bij jouw bedrijf, maar bij een merk en model. Publieke zoekmachines die het hele internet scannen, tonen in enkele minuten duizenden bereikbare beheerschermen. Jij bent geen doelwit omdat je interessant bent, maar omdat je in die lijst staat.

De echte voordeur is vaak je installateur. Waarom één winkel kraken als je via de onderhoudsfirma bij honderden klanten binnenkomt? Eén gedeeld wachtwoord voor alle sites, een remote-toegangstool die altijd openstaat, een technicus wiens laptop besmet raakt: dat is goud waard. Bij de Portugese incidenten wees de berichtgeving al op een externe partij die de koeling beheerde. Dat bewijst niet hoe deze aanval verliep, maar het toont waar een slimme aanvaller eerst kijkt.

De koelkast is een opstapje. Zo'n controller is in feite een kleine computer. Hangt hij in hetzelfde netwerk als je kassa's of kantoor-pc's, dan kan een aanvaller er vanuit "doorsteken" naar je IT-omgeving. Vaak ligt die verbinding er, zonder dat iemand ze ooit bewust heeft aangelegd.

Een fabrieksreset lost niets op als de deur openblijft. CERT-FR en het CCB waarschuwen er zelf voor. Denk het scenario door: je reset het toestel, maar de aanvaller heeft het account van je installateur of een eigen verborgen toegang. Een dag later is hij terug.

Timing is een wapen. Zondagnacht, wanneer niemand in de winkel is en het maandagochtend pas opvalt. Zo haal je maximale schade met minimale kans op ingrijpen. Beide golven vielen opvallend genoeg 's nachts in het weekend.

Misschien was het een generale repetitie. Een APT test graag wat werkt en hoe snel slachtoffers reageren. Een opvallende aanval kan ook een afleiding zijn: terwijl iedereen naar de warme diepvriezers kijkt, gebeurt het echte werk elders in het netwerk. Ook dat is een scenario, geen vaststelling.

Data is ook buit. Temperatuurlogs en koelketendata verraden leveringsritmes, openingsuren en welke winkels kritisch zijn. Voor een aanvaller met grotere ambities is dat verkenningsmateriaal.

Wat je deze week concreet doet

1. Vraag je installateur welke accounts hij nog op je controllers heeft, sinds wanneer, en wie het wachtwoord kent. Is het hetzelfde als bij zijn andere klanten? Dan heb je je antwoord.
2. Zoek jezelf op zoals een aanvaller dat doet. Laat controleren of een beheerscherm van jouw gebouw of winkel publiek vindbaar is. Haal het offline en laat toegang lopen via een beveiligde VPN. IP-filtering is volgens CERT-FR hooguit een noodoplossing. Check wel eerst je contract- en verzekeringsvoorwaarden.
3. Test of je OT-netwerk je kantoornetwerk echt kan bereiken. Niet op papier, maar in de praktijk. Het antwoord verrast vaak.
4. Update en verhard. Installeer updates, vervang standaardwachtwoorden, zet de strengste modus aan (bij Danfoss heet die Strict) en controleer ontdooischema's en temperatuurgrenzen.
5. Vervang wat geen updates meer krijgt. Volgens CERT-FR wordt zo'n toestel "met zeer grote waarschijnlijkheid" opnieuw gecompromitteerd.
6. Laat een alarm afgaan op zondagnacht. Meldingen bij afwijkende temperaturen of configuratiewijzigingen, met iemand die ze ook ziet. Neem OT-scenario's op in je incidentresponsplan.
7. Leg leveranciers vast: hoe verloopt toegang op afstand, wie patcht, binnen welke termijn meldt hij incidenten.

Tot slot

De koelinstallatie hack is geen exotisch randgeval. Het is wat er gebeurt wanneer een interface die online bleef of een vergeten installateursaccount op Europese schaal wordt uitgebuit. De vraag is niet of jouw gebouwtechniek interessant is, maar of iemand ze al gevonden heeft.

XPOSE Security test je omgeving zoals deze aanvallers het zouden doen: van internetverkenning over de toegang van je leveranciers tot de sprong van OT naar IT. Liever dat wij het vinden dan zij. Neem contact op en laat ons je OT- en IoT-beveiliging op de proef stellen, of laat je cybersecurity in België structureel versterken met onze CISO-as-a-service.