Cyberaanval schakelt koelsystemen uit in honderden Franse supermarkten

Honderden Franse supermarkten hadden hun koelsystemen in de nacht van 11 op 12 oktober 2026 uitgeschakeld nadat hackers op afstand continue ontdooingscycli in koeleenheden hadden geactiveerd, volgens retailers en Franse ambtenaren. De inbraak richtte zich op apparatuur van de Deense fabrikant Danfoss en maakte verse- en diepvriesprodukten in winkels van verschillende van Frankriks grootste voedselketens onbruikbaar.

Wat gebeurde er

Koelkasten en vriezers in getroffen winkels werden op afstand op ongeveer 50°C ingesteld in plaats van koel temperaturen, volgens Franse openbare omroepmaatschappij franceinfo, dat een bron dicht bij de zaak aanhaalde. Het geforceerde ontdooien duurde uren in de nacht, smolt vorstbeschermingssystemen en bedierf vlees, zuivelproducten en diepvriesvoedsel in slagersstanden en koeleenheden.

De directeur van Coopérative U, Dominique Schelcher, omschreef het incident als 'ongekend', stellende in een verklaring gerapporteerd door IT-Connect en Euronews: 'Het richten op apparatuur die essentieel is voor het behoud van verse producten en de voedselvoorziening van het Franse volk is uiterst ernstig en is ongekend.'

Welke ketens en hoeveel winkels

Exacte winkelnummers verschillen tussen de eigen mededelingen van retailers en verslaggeving vanaf 12 oktober, wat weerspiegelt hoe snel bewegend en nog steeds onbevestigd delen van het incident zijn.

Euronews rapporteerde dat de betrokkenheid van E.Leclerc en Monoprix niet door de bedrijven zelf op het moment van rapportage was bevestigd, terwijl franceinfo hogere Intermarché-cijfers en een specifiek Monoprix-percentage gaf, wat illustreert dat de volledige omvang nog steeds werd vastgesteld terwijl het verhaal zich ontvouwde.

Hoe de aanval werkte

Volgens franceinfo identificeerde Danfoss de kwetsbare apparatuur als twee controllermodellen, de AK-SM800 en AK-SC355, die het zei 'het einde van hun levensduur hebben bereikt en niet langer profiteren van software-updates of beveiligingspatches.'

IT-Connect rapporteerde dat aanvallers oudere versies van Danfoss's koelbesturingssoftware exploiteerden, voorafgaande aan versie 4, en verbonden het incident met kwetsbaarheden die beveiligingsonderzoekers al openbaar hadden bekendgemaakt op de DEF CON-conferentie in augustus 2026. Danfoss had al een gerepareerde firmwareversie uitgebracht, R4.3.1, die de gebreken na deze bekendmaking aanpakte, rapporteerde IT-Connect.

• CVE-2025-41450: een authenticatiebypas met behulp van een op datum gebaseerd verborgen wachtwoord
• CVE-2025-41451: een command-injection fout waarmee externe code-uitvoering mogelijk is
• CVE-2025-41452: een Nginx-configuratie-injectieprobleem dat denial of service veroorzaakt

Officiële reactie en onderzoek

Volgens Euronews bevestigde het openbaar ministerie van Parijs dat het een onderzoek had geopend naar wat het een grootschalige cyberaanval noemde die koelstorage-apparatuur bij verschillende grote Franse voeddistributieketens trof, met als doel degenen die verantwoordelijk zijn te identificeren en verbanden tussen de inbraak en gerapporteerde voedselverliezen vast te stellen.

franceinfo rapporteerde dat Frankriks premier persoonlijk de situatie volgde en dat ANSSI, het nationale cyberbeveiligingsbureau, betrokken was en de kwetsbaarheid in de Deense software had geïdentificeerd. Geen groep of individu had tot 12 oktober verantwoordelijkheid voor de aanval opgeëist, en geen van de onderzochte bronnen noemde een verdachte.

Financiële en voedselveiligheidseffecten

Getroffen winkels waren verplicht bederf voorraad met een rapport van een deurwaarder te documenteren voordat bederfelijke goederen werden weggegooid, rapporteerde franceinfo. Een bron geciteerd door franceinfo stelde potentiële verliezen op 'meerdere miljoenen euro's' landelijk, hoewel geen retailer op het moment van onderzoek van de outlets een nauwkeurig cijfer had gepubliceerd. Euronews rapporteerde dat Intermarché waarschuwde dat sommige verliezen mogelijk niet door bestaande verzekeringspolissen waren gedekt.

Geen van de drie voor dit artikel onderzochte bronnen meldde enig bevestigd effect op online bestellingen, afleveringschema's of plankprijssystemen bij de Franse ketens; franceinfo merkte specifiek op dat geen informatie over deze systemen was verstrekt, en de verslaggeving richtte zich op fysieke koelingsapparatuur.

Wat onbekend blijft

• Geen aanvaller of groep is openbaar geïdentificeerd of heeft verantwoordelijkheid opgeëist.
• Het exacte totale aantal getroffen winkels verschilt tussen bronnen en was tot 12 oktober niet afgerond.
• Nauwkeurige, door bedrijven bevestigde financiële verliesfiguren waren niet gepubliceerd.
• Of online retailsystemen, voorbij koelingsapparatuur, in Frankrijk waren getroffen, was niet door enige onderzochte bron bevestigd.