Hackere sætter IOT kølediske til 50 grader i supermarkeder i flere europæiske lande
Natten til mandag den 2. november 2026 blev frysere og kølediske i supermarkeder i flere europæiske lande ramt af et nyt cyber-angreb. Angrebet ramte kølesystemer i dusinvis af supermarkeder i Belgien, Luxembourg og Sverige og fik temperaturen i fryserne op på 50 grader, så butikkerne måtte kassere store mængder mad. Det skete kun tre uger efter et lignende angreb på franske supermarkeder, og ingen gruppe har taget ansvaret. I løbet af dagen meldte også supermarkeder i Irland og Estland om angreb, og Styrelsen for Samfundssikkerhed skriver i en pressemeddelelse, at den følger situationen omkring cyberangreb på køle og frysemontrer i supermarkeder i flere europæiske lande. I Sverige/Coop er det ikke Danfoss der benyttes.
Sverige: ICA og Coop ramt
I Sverige er det dagligvarekæderne ICA og Coop, der er ramt. Det bekræfter ICA’s pressechef Gustaf Nilsson over for Aftonbladet, og han siger, at det drejer sig om et “begrænset antal” butikker. Seks Coop butikker i det centrale Sverige er også “berørt”, siger Coops pressechef Carlos Cancino. ICA Kvantum i Sjöbo, omkring 26 kilometer nord for Ystad, blev hacket i løbet af natten og måtte holde lukket mandag morgen. Butikken skrev på Facebook, at “de har sat temperaturen til 50 grader”. Ifølge en butikschef var en fryser oppe på 55 grader. Alle frysere og køleskabe er sat ud af drift, og varerne er ødelagt. Lederen af det svenske cybersikkerhedscenter, John Billow, siger ifølge Reuters, at centret arbejder med flere hændelser i svenske dagligvarebutikker, og at Sverige har ret mange eksponerede driftsteknologiske enheder, som skal opdateres eller patches. Coops Carlos Cancino oplyser over for Aftonbladet, at angrebet er kommet gennem en teknisk opkobling, og at det ikke berører Danfoss produkter, som det tidligere angreb i Frankrig gjorde.
Belgien og Luxembourg: Delhaize, Carrefour og Spar
I Belgien oplyser Delhaize, at en “it hændelse” ramte køle og frysesystemer i omkring 40 butikker i Belgien og Luxembourg. Carrefour Belgien melder om problemer i 15 butikker, og Colruyt Group siger, at fem Spar butikker blev ramt. Ifølge The Brussels Times fik butikschefer omkring klokken 4 om natten en advarsel om, at temperaturen steg, og mange køleskabe nåede op på cirka 15 grader. Ifølge køleinstallatøren Sabcobel satte hackerne køleskabene i afrimningstilstand, skriver De Standaard. Sabcobels direktør, Stefan Moulans, siger til nyhedsbureauet Belga, at angrebet mod kølesystemerne i Belgien begyndte omkring midnat.
Irland og Estland
I Irland fjernede Musgrave køle og frostvarer fra 13 SuperValu butikker efter en “cyberhændelse”. Koncernen siger, at påvirkningen var begrænset til en “bestemt model” af køleudstyr, skriver The Irish Times. I Estland oplyser Jann Mutso, direktør for leverandøren Kitman Coldtech, at angriberne fik adgang til styringscomputeren i en ældre type Danfoss kølesystem og hævede temperaturen til 50 plusgrader, ligesom det for nylig skete i Frankrig og Holland. Ifølge Mutso blev hændelsen håndteret inden for 10 minutter efter anmeldelsen, så der ikke opstod skader. Kitman Coldtech har ifølge sin hjemmeside fire store estiske supermarkedskæder som kunder: Selver, Rimi, Coop og Lidl. Mutso har dog ikke villet oplyse, hvilken kæde der blev ramt.
Baggrund: Det franske angreb i oktober
Mandagens angreb ligner det, som ramte Frankrig tre uger tidligere. Den franske finansminister Roland Lescure sagde til parlamentet, at omkring 700 af landets 10.000 supermarkeder blev ramt. Les Mousquetaires, der ejer Intermarché, oplyste, at køleskabene i omkring 150 af kædens butikker blev varmet op til 50 grader i seks timer i løbet af natten. Hackerne havde ændret den automatiske afrimning, som normalt kun kører to timer om dagen, til en konstant, tvungen afrimningscyklus med temperaturen sat til 50 grader. BFMTV skrev, at det var termostater fra den danske virksomhed Danfoss, der var blevet hacket. Danfoss oplyste, at de fleste ramte systemer var ældre produkter, som ikke længere fik software eller sikkerhedsopdateringer.
Kommunikationsdirektør Kasper Elbjørn sagde til DR, at Danfoss siden mandag morgen havde kontaktet alle sine kunder i hele verden for at minde dem om at udskifte eller opdatere forældede systemer. Det franske cybersikkerhedsagentur rådede virksomheder med de ramte frysermodeller til straks at koble dem fra internettet eller begrænse adgangen til dem og opdatere softwaren.
Hvad betyder det for Danmark?
Efter det franske angreb oplyste de danske kæder, at angrebet hverken ramte Coop, Dagrofa eller Salling Group, og Salling Group oplyste, at koncernen ikke bruger de kølesystemer, der var involveret. Danfoss vurderede samtidig, at danske kunder er gode til at opdatere og udskifte deres systemer, og at sandsynligheden for hacking af danske kølediske er minimal.
Der er endnu ingen kendte meldinger om, at danske butikker blev ramt mandag. Sagen viser dog, at styringer til køl, varme og ventilation, der kan nås via internettet, er en reel risiko for alle virksomheder. Har man ældre styringer, som ikke længere får opdateringer, bør de kobles fra nettet eller sættes bag en firewall, indtil de kan udskiftes.
Overblik over de ramte lande
| Land | Ramte kæder | Omfang | Dato |
|---|---|---|---|
| Frankrig | Intermarché, Netto, Coopérative U, Carrefour, E.Leclerc, Monoprix | Ca. 700 supermarkeder | 12. oktober 2026 |
| Belgien og Luxembourg | Delhaize, Carrefour, Spar (Colruyt) | Ca. 40 Delhaize, 15 Carrefour, 5 Spar | 2. november 2026 |
| Sverige | ICA, Coop | Begrænset antal ICA, 6 Coop | 2. november 2026 |
| Irland | SuperValu (Musgrave) | 13 butikker | 2. november 2026 |
| Estland | Ikke oplyst (stor kæde, kunde hos Kitman Coldtech) | Mindst 1 kæde | 2. november 2026 |
| Danmark | Ingen kendte | Ingen kendte |
Er det IOT eller indistruel teknik?
Styringerne minder om IOT, men det er mere simple. Fagfolk kalder det OT (operationel teknologi) eller industrielle styringssystemer og ikke IoT. Det er ikke de enkelte køleskabe, der er koblet til nettet. Det er butikkens centrale kølestyring, en lille indbygget computer, som styrer alle frysere og kølediske i butikken via én webside. Det er jo så bare uheldigt, at disse ikke er holdt opdateret.
Hvilket udstyr er ramt
Det franske cybersikkerhedscenter CERT-FR bekræftede i et varsel den 12. oktober, at angriberne havde kompromitteret mange Danfoss enheder af typerne AK-SM og AK-SC. Modellen AK-SM 800A styrer flere køleenheder gennem én webgrænseflade. Websiden hedder StoreView. Danfoss StoreView var blandt det udstyr, angrebet ramte, og StoreView bruges typisk som kontrolpanel for Danfoss kølestyringerne i mange franske supermarkeders frysere og køleskabe. Danfoss stod ikke alene. Ifølge det franske cybersikkerhedsagentur ANSSI angreb hackerne også sårbarheder i styringer fra Copeland og Dixell (XWEB).
Hvorfor de kunne nås fra internettet
Butikkerne havde selv lagt styringerne åbent på internettet for at gøre service nemmere. Ifølge forskerne hos Claroty er hovedgrunden, at centrale teknikerteams så kan fejlsøge på afstand. Forskerne fandt 2.765 AK-SM 800A enheder, som kunne nås direkte fra internettet, og mange viste StoreView siden. Det tyder på, at administratorer havde åbnet konsollerne for fjernvedligeholdelse. Over halvdelen af de enheder, man kan finde på internettet ved at søge efter Danfoss sider i søgemaskinen Shodan, står i Frankrig. Det passer med, at Frankrig blev ramt hårdest.
De kendte sårbarheder
| Sårbarhed | Hvad den gør | Rettet i version |
|---|---|---|
| CVE-2025-41450 | Skjult “dagens kode”, der bygger på datoen og omgår administratorens adgangskode | R4.2 |
| CVE-2025-41451 | Indsprøjtning af kommandoer via indstillingerne for e-mail | R4.3.1 |
| CVE-2025-41452 | Manipulation af webserverens indstillinger, kan lamme grænsefladen | R4.3.1 |
Clarotys Team82 fandt en skjult login vej i AK-SM 800A, som bygger på datoen og kan omgå den adgangskode, administratoren har sat. Styringen laver hver dag en ny kode ud fra den aktuelle dato. Kombineret med den skjulte daglige kode kan sårbarheden i e-mail opsætningen give en angriber en vej fra uautoriseret login til at køre kommandoer på styringen. Danfoss havde altså rettet hullerne, men butikkerne havde ikke opdateret. Den nyeste StoreView version er 5.3.2, men de fleste Danfoss styringer, man kan finde med en Censys skanning, kører stadig uopdaterede versioner ældre end 4.2. Derudover var mange enheder så gamle, at de slet ikke kunne opdateres. Danfoss forklarer selv, at angrebet i Frankrig lykkedes, fordi supermarkederne ikke havde opdateret deres systemer, selv om Danfoss havde mindet dem om det.
Selve sabotagen
Da angriberne først var inde, misbrugte de en almindelig funktion i stedet for at ødelægge noget. Afrimningen kører normalt kun to timer om dagen, men hackerne satte den til at køre konstant og tvunget med temperaturen sat til 50 grader. Det skete om natten, mens butikkerne var lukkede, så ingen opdagede det i flere timer.
Hvad er bekræftet, og hvad er ikke
Hverken Danfoss eller myndighederne har officielt bekræftet, præcis hvilken sårbarhed angriberne brugte. Danfoss har ikke bekræftet den præcise adgangsvej, men en sandsynlig forklaring er, at angriberne udnyttede uopdaterede sårbarheder i Danfoss styringer, der stod åbent på internettet. Mandagens angreb i Sverige passer heller ikke helt ind i billedet. Coop Sverige siger, at deres angreb kom gennem en teknisk opkobling og ikke ramte Danfoss produkter. I Estland var det til gengæld en ældre Danfoss styring. Det tyder på, at angriberne går efter alle kølestyringer, de kan nå via internettet, og ikke kun Danfoss.
Vejledning til danske supermarkeder
Det vigtigste er, at kølestyringen aldrig må kunne nås direkte fra internettet. Alt andet er ekstra sikring oven på det. Her er tiltagene i den rækkefølge, de bør laves:
1. Tag styringen af internettet. Det er det mest effektive enkelttiltag, og det kan gøres med det samme. Efter angrebet i Frankrig rådede det franske cybersikkerhedsagentur virksomheder med de ramte frysermodeller til straks at koble dem fra internettet eller begrænse adgangen til dem og opdatere softwaren. Mange butikker gjorde netop det. Ifølge Infosecurity Magazine valgte mange operatører at tage deres Danfoss styringer offline i stedet for at opdatere dem, og antallet af styringer, der kunne nås fra internettet i Frankrig, faldt 71 procent.
2. Fjernadgang kun via VPN. Teknikere skal stadig kunne servicere anlægget på afstand, men det skal ske gennem en lukket forbindelse. Claroty anbefaler at begrænse administrationsadgangen til betroede administrationsnetværk eller beskyttede VPN forbindelser. Danfoss har længe rådet kunderne til at holde understøttede systemer opdateret med den nyeste firmware og at køre dem bag en firewall. VPN’en skal have totrinsgodkendelse, og adgangen bør kun være åben, når der faktisk skal laves service.
3. Opdater firmwaren. Til AK-SM 800A er minimumskravet version R4.3.1, som retter alle tre kendte huller. Danfoss rettede CVE-2025-41450 i version R4.2 og CVE-2025-41451 og CVE-2025-41452 i version R4.3.1. Brug helst den nyeste version.
4. Udskift udgåede modeller. Ældre styringer som AK-SM 800 og AK-SC 355 får ikke længere sikkerhedsopdateringer og kan ikke gøres sikre. De skal udskiftes. Indtil det sker, skal de være helt afskåret fra internettet.
5. Adskil netværkene. Kølestyringen skal ligge på sit eget lukkede netværk, adskilt fra butikkens kasser, gæste wifi og kontornet. Så kan et angreb ét sted ikke sprede sig til kølingen.
6. Lav en liste over alt, der kan nås udefra. Det gælder også ventilation, varme, adgangskontrol og kameraer. Ofte er det installatøren, der har sat systemet op, så styringen står hverken i IT afdelingens opdateringsplan eller i serviceaftalen. Spørg installatøren direkte, hvordan der er fjernadgang til anlægget, og hvem der har adgangskoderne.
7. Skift standardkoder og begræns brugerne. Hver bruger skal have sin egen stærke adgangskode, og gamle teknikerkonti skal lukkes.
8. Byg en fysisk sikring ind i anlægget. Det er det sidste sikkerhedsnet. En maksimal afrimningstemperatur eller en fysisk termostat, som ikke kan ændres via software, gør, at anlægget ikke kan sættes til 50 grader, uanset hvad en hacker gør.
9. Alarm uden for åbningstid. Angrebene skete om natten, når ingen var i butikken. En temperaturalarm, der sender sms til en vagt, fanger angrebet efter få minutter i stedet for seks timer. Det var præcis det, der reddede situationen i Estland, hvor leverandøren reagerede inden for 10 minutter, og der derfor ikke opstod skader.
Er du selv i tvivl, så søg din butiks offentlige IP adresse op på Shodan.io. Dukker der en StoreView side eller en anden styring op, ligger den åbent på internettet og skal lukkes med det samme.
Forfatter:
| Kilde: | DR, TV 2, Reuters, ERR, Aftonbladet, The Brussels Times, The Irish Times, AP, Tom’s Hardware, ICARE.DK, Jesper Christiansen. |
| Kildelinks: | https://www.cp24.com/news/world/2026/11/02/european-supermarkets-hit-by-new-fridge-cyber-attack/, https://shiftdelete.net/en/supermarket-cyberattack, https://clashreport.com/world/articles/suspected-cyberattack-hits-supermarket-freezers-across-europe-weeks-after-france-alcuik3pdvg, https://abcnews.com/Business/wireStory/cyberattack-targeting-refrigeration-systems-hits-700-supermarkets-french-137230099, https://www.tomshardware.com/tech-industry/cyber-security/supermarket-freezers-across-europe-struck-in-second-crippling-cyberattack-hackers-raise-temperatures-to-50-degrees-celsius-in-belgium-and-sweden-destroying-food-stocks |
| Fotokredit: | stock.adobe.com |
| Tags: | #Cyberangreb, #Hackerangreb, #Kølediske, #Frysere, #Supermarkeder, #Danfoss, #ICA, #Coop, #Delhaize, #Ahold Delhaize, #Carrefour, #Spar, #Colruyt, #SuperValu, #Musgrave, #Intermarché, #Coopérative U, #Kitman Coldtech, #Sabcobel, #Sverige, #Belgien, #Luxembourg, #Irland, #Estland, #Frankrig, #Fødevaresikkerhed, #Hybridkrig, #OT sikkerhed, #Styrelsen for Samfundssikkerhed |
| Copyrights: | Ⓒ 2026 Copyright by icare.dk, kan deles ved aktivt link til denne artikel. |
