Hackere varmet opp kjøle- og frysedisker i hundrevis av franske butikker – Rema 1000 tar en ekstra sjekk

Da ansatte i franske matbutikker kom på jobb mandag morgen, var kjøle- og frysediskene blitt varme. I løpet av natten hadde angripere tatt seg inn i styringsenhetene som regulerer temperaturen i anleggene, og tvunget dem over i kontinuerlig avriming. Det skriver bransjenettstedet Cooling Post, som har fått en uttalelse fra produsenten Danfoss.

Bildet øverst er et illustrasjonsfoto og er ikke fra en av de rammede butikkene.

Enkelte steder skal temperaturen ha nådd 50 grader, ifølge det britiske teknologinettstedet The Register og det danske nyhetsbyrået Ritzau, som viser til en supermarkedseier. I noen tilfeller oppsto det også branner, skriver The Register.

Flere hundre butikker rammet

Hvor mange butikker som er rammet, er ikke kjent, og tallene spriker. Cooling Post skriver at rapporterte hendelser tyder på rundt 500 butikker.

Intermarché-eier Les Mousquetaires har ifølge The Register oppgitt rundt 150 rammede butikker, mens konsernsjef Thierry Cotillard ifølge ISMG/GovInfoSecurity sa til TV-kanalen BFM Business at 300 av gruppens butikker var rammet. Carrefour har bekreftet rundt 80 butikker, og Monoprix rundt fem prosent av sine 490 butikker, ifølge The Register.

Coopérative U-sjef Dominique Schelcher har sagt at 80 av kjedens 2000 butikker ble rammet, og kalte angrepet «enestående, ekstremt alvorlig og uakseptabelt», ifølge The Register. Til radiokanalen RTL sa han samtidig at kjeden ikke er Danfoss-kunde.

Ingen har tatt på seg ansvaret. Verken franske myndigheter eller Danfoss har sagt hvem som sto bak, eller hvordan angriperne kom seg inn. Påtalemyndigheten i Paris har åpnet etterforskning, ifølge flere medier.

EUs landbruks- og matkommissær Christophe Hansen fordømte angrepet og sa at matsikkerhet krever mer oppmerksomhet på alle nivåer, fordi bruk av mat som våpen har blitt en realitet, ifølge Cooling Post.

Gamle styringsenheter rett på internett

Danfoss sier til Cooling Post at de fleste rammede enhetene var eldre produkter eller nyere produkter med utdatert fastvare. Selskapet nevner AK-SM800, som ble erklært utgått i 2021, og AK-SC355, som ble faset ut i 2016. Ingen av dem får lenger programvare- eller sikkerhetsoppdateringer. Rammede enheter av den nyere modellen AK-SM800A kjørte utdatert fastvare, ifølge selskapet.

– Vi jobber med berørte kunder for å iverksette nødvendige tiltak, blant annet fastvareoppdateringer der det er tilgjengelig, sterkere nettverksbeskyttelse og å fjerne direkte internetteksponering der det er aktuelt, sier Danfoss i uttalelsen (vår oversettelse).

Danfoss er ikke den eneste produsenten som er nevnt. Det franske nasjonale responsmiljøet for datasikkerhet, CERT-FR, skriver i sitt varsel at det kjenner til «mange kompromitteringer» av Danfoss-enheter i seriene AK-SM og AK-SC, og har i en oppdatering 13. oktober lagt til Copeland xweb og Dixell xweb.

CERT-FR advarer om at angrepskampanjene trolig fortsatt pågår, og ber virksomhetene fjerne enhetene fra det åpne internettet. Å bare tilbakestille en utgått enhet til fabrikkinnstillinger er ikke nok, skriver CERT-FR: Enheten vil fortsatt være sårbar og «vil helt sikkert bli kompromittert igjen».

Sårbarhetene var kjent

Sikkerhetsselskapet Claroty fant i 2025 sårbarheter i AK-SM800A, blant annet en skjult innloggingsmekanisme som godtok en kode generert ut fra enhetens dato. Feilene ble rettet i august 2025, skriver The Register. Det er ikke bekreftet at disse sårbarhetene ble brukt i angrepet nå.

Søk i tjenesten Shodan viste mandag at mer enn 4500 Danfoss-styringsenheter var direkte tilgjengelige fra internett, over halvparten av dem i Frankrike, ifølge The Register.

Frankrike er heller ikke nødvendigvis alene. Félix Aimé i sikkerhetsselskapet Sekoia har sagt til nyhetsbyrået Reuters at også Spania, Portugal, Polen, Tyskland og Belgia er rammet. Det er ikke gitt detaljer om disse tilfellene.

Slik står det til i Norge

Danfoss-utstyr brukes også i norske matbutikker. Rema 1000 bruker samme leverandør, men sier at kjeden de siste årene har oppgradert og byttet ut kjøle- og fryseanleggene sine, og at den ikke har de utsatte komponentene, ifølge NTB.

– Vi er derimot i dialog med leverandør og tar en ekstra sjekk for å være helt sikre, sier Harald Kalvøy, leder for sikkerhet og beredskap i Rema 1000, til Digi, ifølge NTB.

Kjøleleverandøren Aneo Retail, som bruker Danfoss-programvare, sier til Nationen at oppsettet er et annet i Norge, og at selskapets anlegg skal ha oppdatert programvare og ligge bak brannmurer. Sikkerhetsekspert Lars Eirik Berg i Semaphore sier til kode24 at et lignende angrep kan skje i Norge.

Nasjonal sikkerhetsmyndighet (NSM) hadde onsdag morgen ikke publisert noe eget varsel om saken på sin varselside.

Rådet fra både CERT-FR og Danfoss er det samme: Styringsenheter skal ikke ligge åpent på internett. Trengs fjerntilgang, skal den ifølge CERT-FR gå gjennom en sikker VPN-forbindelse eller et beskyttet nettverk.

Kilder

CERT-FR (ANSSI): varsel CERTFR-2026-ALE-012 «Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération», 12.10.2026, oppdatert 13.10.2026 – https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/

Danfoss' uttalelse til Cooling Post: «Danfoss moves to mitigate cyberattack», 12.10.2026 – https://www.coolingpost.com/world-news/danfoss-moves-to-mitigate-cyberattack/

NSM: Varsler fra NSM – https://nsm.no/fagomrader/digital-sikkerhet/digital-hendelseshandtering/varsler-fra-nsm/

Øvrige opplysninger er hentet fra og kreditert The Register (13.10.2026), Ritzau (13.10.2026), ISMG/GovInfoSecurity (BFM Business, 13.10.2026), Reuters, RTL, NTB/Digi (13.10.2026), Nationen (13.10.2026) og kode24 (13.10.2026).

Bilde: Foto: Raysonho / Wikimedia Commons (CC0). Original: https://commons.wikimedia.org/wiki/File:FrozenFoodSupermarket.jpg