Serangan siber menonaktifkan pendingin di ratusan supermarket Prancis

Ratusan supermarket Prancis mengalami pemadaman sistem pendingin mereka pada malam hari antara 11 dan 12 Oktober 2026, setelah peretas secara jarak jauh memicu siklus pencairan terus-menerus dalam unit pendingin, menurut pengecer dan pejabat Prancis. Intrusi menargetkan peralatan yang dibuat oleh pabrikan Denmark Danfoss dan meninggalkan bagian makanan segar dan beku di toko yang dijalankan oleh beberapa kelompok toko kelontong terbesar di Prancis tidak dapat digunakan.

Apa yang terjadi

Lemari es dan freezer di toko yang terpengaruh direset jarak jauh ke sekitar 50°C daripada suhu pendingin, menurut penyiaran publik Prancis franceinfo, yang mengutip sumber dekat dengan masalah ini. Pencairan paksa berlangsung selama berjam-jam semalaman, mencairkan sistem kontrol beku dan merusak daging, produk susu, dan barang beku di meja daging dan lorong dingin.

CEO Coopérative U Dominique Schelcher menggambarkan insiden ini sebagai 'belum pernah terjadi sebelumnya', mengatakan dalam pernyataan yang dilaporkan oleh IT-Connect dan Euronews: 'Menargetkan peralatan penting untuk pelestarian produk segar dan untuk pasokan makanan rakyat Prancis sangat serius dan belum pernah terjadi sebelumnya.'

Rantai dan toko mana saja

Jumlah toko yang tepat berbeda antara pengungkapan pengecer sendiri dan pelaporan per 12 Oktober, mencerminkan seberapa cepat bergerak dan masih belum dikonfirmasi bagian dari insiden tersebut.

Euronews melaporkan bahwa keterlibatan E.Leclerc dan Monoprix belum dikonfirmasi oleh perusahaan pada saat laporannya, sementara franceinfo memberikan angka Intermarché yang lebih tinggi dan persentase spesifik Monoprix, menggambarkan bahwa skala penuh masih ditetapkan saat cerita berkembang.

Bagaimana serangan bekerja

Menurut franceinfo, Danfoss mengidentifikasi peralatan rentan sebagai dua model pengontrol, AK-SM800 dan AK-SC355, yang dikatakan 'telah mencapai akhir masa pakai mereka dan tidak lagi mendapatkan manfaat dari pembaruan perangkat lunak atau patch keamanan.'

IT-Connect melaporkan bahwa penyerang mengeksploitasi versi perangkat lunak kontrol pendingin Danfoss yang lebih lama, sebelum versi 4, dan menghubungkan insiden ke kerentanan yang telah diungkapkan oleh peneliti keamanan secara publik di konferensi DEF CON pada Agustus 2026. Danfoss telah merilis versi firmware yang diperbaiki, R4.3.1, mengatasi cacat setelah pengungkapan tersebut, menurut IT-Connect.

• CVE-2025-41450: bypass autentikasi menggunakan kata sandi tersembunyi berbasis tanggal
• CVE-2025-41451: kerentanan injeksi perintah yang memungkinkan eksekusi kode jarak jauh
• CVE-2025-41452: masalah injeksi konfigurasi Nginx yang menyebabkan penolakan layanan

Respons dan penyelidikan resmi

Menurut Euronews, kantor jaksa Paris mengkonfirmasi bahwa ia telah membuka penyelidikan tentang apa yang disebut serangan siber skala besar yang mempengaruhi peralatan penyimpanan dingin di beberapa rantai distribusi makanan Prancis utama, dengan tujuan mengidentifikasi mereka yang bertanggung jawab dan menetapkan hubungan antara intrusi dan kerugian makanan yang dilaporkan.

franceinfo melaporkan bahwa Perdana Menteri Prancis secara pribadi mengikuti situasi dan bahwa ANSSI, badan keamanan siber nasional, terlibat dan telah mengidentifikasi kerentanan dalam perangkat lunak buatan Denmark. Tidak ada kelompok atau individu yang mengklaim tanggung jawab atas serangan pada 12 Oktober, dan tidak ada sumber yang dikaji yang menyebutkan tersangka.

Dampak keuangan dan keselamatan pangan

Toko yang terkena dampak diwajibkan untuk mendokumentasikan stok yang rusak dengan laporan baillif sebelum membuang barang yang mudah rusak, menurut franceinfo. Sumber yang dikutip oleh franceinfo menempatkan potensi kerugian pada 'beberapa juta euro' di seluruh negara, meskipun tidak ada pengecer yang menerbitkan angka yang tepat pada saat outlet ditinjau. Euronews melaporkan bahwa Intermarché memperingatkan bahwa beberapa kerugian mungkin tidak dicakup oleh kebijakan asuransi yang ada.

Tidak ada dari ketiga sumber yang ditinjau untuk artikel ini yang melaporkan dampak yang dikonfirmasi pada pemesanan online, penjadwalan pengiriman rumah, atau sistem harga rak di rantai Prancis; franceinfo secara khusus mencatat bahwa tidak ada informasi yang diberikan tentang sistem tersebut, dan pelaporan berfokus pada peralatan pendingin fisik.

Apa yang tetap tidak diketahui

• Tidak ada penyerang atau kelompok yang secara terbuka diidentifikasi atau mengklaim tanggung jawab.
• Jumlah total toko yang tepat yang terpengaruh bervariasi antar sumber dan belum diselesaikan pada 12 Oktober.
• Angka kerugian keuangan yang tepat dan dikonfirmasi perusahaan belum dipublikasikan.
• Apakah sistem ritel online, selain perangkat keras pendingin, terpengaruh di Prancis belum dikonfirmasi oleh sumber apa pun yang ditinjau.