← Alle artikelen

Koeling op afstand gekaapt: CERT-FR waarschuwt (12-10-2026)

Gepubliceerd op 13 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Een cyberaanval joeg de vriezers van honderden Franse supermarkten naar 50 graden. Het kastje dat het mogelijk maakte was geen ICT-server, maar een koelregelaar die de installateur had opgehangen: bereikbaar via internet, nooit bijgewerkt. Duizenden mkb-bedrijven hebben er zo een.

Kort samengevat

In de nacht van 11 op 12 oktober 2026 namen aanvallers op afstand de besturing over van Danfoss-koelregelaars en zetten zij de temperatuurinstelling op 50 graden in winkels van Intermarche, Systeme U, E.Leclerc en Monoprix^[2]. Het Franse CERT-FR publiceerde op 12 oktober waarschuwing CERTFR-2026-ALE-012: het ziet talrijke compromitteringen van apparatuur uit de series AK-SM en AK-SC, en herhaalt dat het beheerscherm van zulke apparaten niet aan het internet hoort te hangen^[1]. Danfoss laat weten dat de meeste getroffen apparaten verouderde producten waren of op oude firmware draaiden^[2][4].

Wat er precies gebeurde

In het hart van de zaak staat de AK-SM 800A, een system manager: een kleine webserver die de koelmeubels en koelcellen van een vestiging aanstuurt, de voelers uitleest, ontdooicycli start en de temperatuurgrenzen bepaalt. Hij wordt vrijwel altijd geplaatst door de koeltechnisch installateur, en is vrijwel altijd op afstand bereikbaar zodat die niet voor elke storing hoeft langs te komen.

Onderzoekers van Claroty Team82 beschreven eerder een omzeiling van de authenticatie op deze serie, CVE-2025-41450, met een score van 8,2 op 10: een verborgen dagcode die wordt afgeleid uit de datum van het apparaat zelf, en die een aanvaller dus kan naspelen om een beheerderssessie te openen^[3]. Firmware R4.2 verhelpt dat lek, R4.3.1 nog twee andere kwetsbaarheden^[3][5]. Bij een scan van het internet telde Claroty destijds 2.765 blootgestelde regelaars^[3].

Die updates waren lang niet overal doorgevoerd. CERT-FR adviseert de AK-SM- en AK-SC-installaties los te koppelen of af te schermen en, bij vermoeden van misbruik, de netwerktoegang te beperken, het apparaat terug te zetten naar fabrieksinstellingen, alle updates te installeren, wachtwoorden en sleutels te vervangen, bestaande accounts te controleren en het apparaat volledig opnieuw in te richten^[1]. Cooling Post spreekt over ongeveer 500 getroffen supermarkten en voorraadschade die in de miljoenen euro's loopt^[4]. De aanval is tot nu toe door niemand opgeeist.

Waarom dit ook een mkb-bedrijf raakt dat geen supermarkt is

De eerste reflex is om dit weg te zetten als een probleem van de supermarktketens. Dat is een leesfout. Wat hier is aangevallen, is geen bedrijfsnetwerk van een concern, maar een kastje in een technische ruimte, door een leverancier aan het internet gehangen, met firmware die sinds de oplevering niet meer is aangeraakt. Precies zo'n kastje hangt bij duizenden mkb-bedrijven.

De lijst is langer dan je denkt: de koelcel van een slager, een traiteur of een teler, de voorraadkoeling van een restaurant, de vaccinkoelkast van een apotheek, de vriezers van een laboratorium, een geconditioneerd distributiecentrum, een brouwtank. En buiten de koeling geldt hetzelfde voor gebouwbeheersystemen, klimaatinstallaties, inbraakalarm, camera's, toegangscontrole, liften, omvormers van zonnepanelen en laadpalen.

De gemene deler is niet het merk, maar hoe zulke apparatuur leeft: geplaatst door een vakman die geen ICT'er is, op afstand beheerd, met een wachtwoord dat monteurs onderling delen, firmware die nooit wordt opgepakt, en niemand in het bedrijf die weet dat het ding een publiek IP-adres heeft. Dezelfde mechaniek zagen we bij de NetScaler-lekken die al voor de patch werden misbruikt en in het ANSSI-rapport over gestolen inloggegevens bij de DGFiP: binnenkomen via een deur waar niemand naar keek.

Vier landen: wie je belt

In Frankrijk is de ANSSI op verzoek van de premier ingeschakeld en heeft die dienst de getroffen bedrijven benaderd^[2]. In de drie andere landen waar CyberNovaLabs.io werkt verandert het loket, maar niet de reflex: meld het bij de cyberautoriteit, en behandel de vraag over persoonsgegevens apart.

Die tweede reflex staat los van de eerste. Het lek dat Claroty beschrijft maakt het onder meer mogelijk een rapport te genereren met interne IP-adressen, gebruikersnamen en vestigingsnamen^[3]. Zijn er inloggegevens van medewerkers in te zien geweest, dan gaat het niet langer alleen om een technisch incident maar om een mogelijk datalek, met de termijn van 72 uur om het bij de toezichthouder te melden. Die route beschreven we in ons stuk over het datalek bij Flink dat begon bij een oud-medewerker.

De rekensom voor vanochtend

Aannames die je vervangt door je eigen cijfers: een koelcel met 8.000 euro aan goederen, een nacht zonder koeling, twee dagen dicht bij 3.000 euro omzet per dag, 600 euro voor het spoedbezoek. Dat is 14.600 euro voor een enkele ruimte, nog zonder het verzekeringsdossier en de HACCP-registraties die je moet kunnen verantwoorden. Daartegenover kost het afsluiten van de internettoegang en het inrichten van een VPN een paar uur werk van je leverancier.

Wat deze zaak zegt, voorbij de koeling

Een mkb-bedrijf kent zijn ICT ongeveer: werkplekken, een server, e-mail, een website. Zijn park aan regelaars kent het zelden, want die zijn gekocht als vakapparatuur en niet als ICT. Toch hebben ze een adres, een webinterface, accounts en kwetsbaarheden, net als een server, alleen houdt niemand hun updates bij.

De inventarisatie is daarom de echte actie van deze week, nog voor de update zelf. Je beschermt niet wat je nooit hebt opgeschreven, en de rekening van de nacht van 11 op 12 oktober loopt in de miljoenen euro's aan voorraad, bij bedrijven die een dag eerder dachten dat hun cyberrisico ophield bij hun mailbox.

Bij CyberNovaLabs.io

Wij verkopen geen audits van industriele installaties. Maar ben je ICT-dienstverlener, MSP of installateur, dan is deze waarschuwing een directe aanleiding voor een gesprek bij je klanten: een inventarisatie van blootgestelde apparatuur is een korte, goed te beprijzen en urgente opdracht. Precies zulke gesprekken openen wij voor je door B2B-afspraken te laten maken, in Rotterdam en in de drie andere landen waar we werken. Kwalificatiecriteria die voor de start op papier staan, geen looptijdverplichting, per afspraak of op basis van een vast bedrag, op offerte. Laten we je doelgroep in 20 minuten doornemen.

Bronnen

1. CERT-FR — CERTFR-2026-ALE-012, Incident de securite ciblant les Danfoss serie AK-SM et AK-SC (12/10/2026)
2. franceinfo — Des magasins Systeme U et Intermarche touches par une cyberattaque contre leurs installations frigorifiques (12/10/2026)
3. Claroty Team82 — CVE-2025-41450, Danfoss AK-SM 8xxA Series, contournement d'authentification (CVSS 8,2)
4. Cooling Post — Danfoss moves to mitigate cyberattack (12/10/2026)
5. Refindustry — Danfoss, Copeland and Trane address controller security vulnerabilities (13/08/2026)

Lees ook