Koelvitrines in Franse supermarkten waren maandenlang online kwetsbaar

IPinfo heeft wekelijkse scans van het internet geanalyseerd om deze systemen vóór de aanval te onderzoeken. De belangrijkste bevindingen zijn als volgt:

• Frankrijk had meer blootgestelde dashboards voor koelsystemen dan de rest van de wereld samen: 1.331 in Frankrijk tegenover 1.197 in de overige 72 landen en territoria gezamenlijk.
• 85% draaide op software met bekende beveiligingslekken. Dit omvat 527 oudere controllers die door Danfoss niet langer worden ondersteund. Slechts 195 systemen waren volledig up-to-date.
• De meeste systemen waren al minstens zes maanden blootgesteld. 1.019 van de Franse dashboards waren op 30 maart al op hetzelfde adres vindbaar; het aandeel volledig bijgewerkte systemen steeg in die periode slechts van 14% naar 24%.
• Frankrijk patchte niet slechter dan andere landen. Het aandeel kwetsbare systemen elders was bijna hetzelfde (84%). Frankrijk had simpelweg veel meer van deze systemen online staan.
• De meeste systemen gingen na de aanval offline. Van de 1.331 dashboards waren er op 14 oktober nog slechts 316 online.

Wat er is gebeurd

De cijfers van de supermarktketens lopen op. Volgens Futura-Sciences werden in totaal meer dan 400 winkels getroffen, waarbij de verliezen kunnen oplopen tot enkele miljoenen euro's. Carrefour meldde dat 80 van hun winkels waren getroffen, terwijl Intermarché en Netto (beiden onderdeel van de Franse retailgroep Les Mousquetaires) meer dan 300 getroffen winkels hadden. Monoprix rapporteerde dat ongeveer 5% van hun winkels was getroffen.

Ook Leclerc en Coopérative U bevestigden de aanvallen. Dominique Schelcher, CEO van Coopérative U, vertelde RTL dat 80 van de 2.000 winkels waren geraakt. Hij voegde eraan toe dat de winkels niet direct bij Danfoss inkopen, maar gebruikmaken van een Danfoss-systeem dat wordt geleverd door hun koeltechnische aannemers.

Danfoss verklaarde dat het grootste deel van de getroffen apparatuur "legacy" (verouderd) was, waarbij specifiek twee oudere controller-modellen werden genoemd: de AK-SM 800 en AK-SC 355. CERT-FR (de Franse cybersecurity-instantie) gaf aan op de hoogte te zijn van talrijke compromissen van AK-SM en AK-SC controllers. De instantie adviseerde operators om deze systemen los te koppelen of de toegang te beperken. Op 13 oktober werd de waarschuwing uitgebreid naar XWEB-supervisors (systemen die de koelingen in een winkel bewaken) van Copeland, een Amerikaanse fabrikant van koelapparatuur, en diens Italiaanse merk Dixell. Volgens de waarschuwing zijn aanvalscampagnes waarschijnlijk nog steeds gaande. Er is nog niet bekend wie erachter zit of hoe ze binnenkwamen; het Openbaar Ministerie in Parijs heeft een onderzoek gestart.

Frankrijk viel sterk op

IPinfo scant wekelijks het IPv4-internet en registreert welke systemen reageren op de gebruikelijke poorten. In de scan van 6 en 7 oktober, vijf dagen vóór de aanval, vertoonden 2.528 adressen een Danfoss StoreView-dashboard. Dit is de webpagina die winkels en technici gebruiken om deze controllers te beheren—vergelijkbaar met een bedieningspaneel in de achterkamer, maar dan toegankelijk voor iedereen die het adres intypt.

Volgens de data had Frankrijk er 1.331 (53%). Dat is meer dan de overige 72 landen en territoria samen (1.197). Daarna volgden Polen (179), de Verenigde Staten (101), Portugal (92) en België (85).

De data kan niet verklaren waarom Frankrijk zo sterk uitstak, maar sluit wel sommige zaken uit. Franse dashboards draaiden op dezelfde mix van softwareversies als elders, dus ze waren niet slechter gepatcht. Ook was de manier van connectiviteit niet ongebruikelijk. In Frankrijk maakt ongeveer tweederde gebruik van één nationale provider, vergelijkbaar met de situatie in Portugal, Duitsland of Roemenië. Bijna alle systemen (98%) bevinden zich op netwerken van telecomproviders in plaats van in datacenters of clouds, wat past bij een controller die is aangesloten op de internetverbinding van de winkel voor toegang door technici of het hoofdkantoor.

Het advies van CERT-FR suggereert waarom winkels ze online houden: zij adviseren operators om hun verzekeringsvoorwaarden te controleren voordat ze de datastroom naar koelaannemers stopzetten.

De meeste software was verouderd

De dashboards onthullen hoe oud de software is. Er zijn twee generaties:

1. De oudere generatie: Een pagina gebouwd met Flash (een browser-plug-in die in 2020 is stopgezet) en bediend door de AK-SM 800. Danfoss verklaarde deze controllers in 2023 als "end of life". In datzelfde jaar publiceerde het beveiligingsbedrijf Synacktiv een login bypass (een manier om binnen te komen zonder wachtwoord). Het advies van Danfoss was om de netwerktoegang te beperken. Dit is de "legacy" apparatuur waar Danfoss naar verwees.
2. De nieuwere generatie: Deze draait op de AK-SM 800A, het huidige model van Danfoss. Het dashboard toont de productiedatum van de software (firmware):

• 242 systemen toonden 19 mei 2023, de datum van firmware 3.3.
• Controllers ouder dan versie 3.3 missen drie fixes uit 2023, waaronder één voor een kritiek lek.
• Versies ouder dan 4.2 missen een fix voor een login bypass uit 2025.
• Versies ouder dan 4.3.1 missen twee aanvullende fixes uit 2025.

In totaal draaiden 85% van de Franse dashboards (1.136 van de 1.331) op software met bekende beveiligingslekken, wat bijna gelijk is aan het wereldwijde gemiddelde van 84%. Dit betreft 527 oudere controllers die niet meer worden ondersteund, 280 die de fixes uit 2023 missen en 329 die de fixes uit 2025 missen. Slechts 195 systemen waren volledig up-to-date.

Maandenlange blootstelling

Elke scan vanaf eind maart 2026 tot aan de aanval vond ongeveer hetzelfde aantal blootgestelde Danfoss-dashboards: tussen de 2.464 en 2.622, waarvan ongeveer de helft in Frankrijk.

Het ging grotendeels om dezelfde apparaten. Van de 1.331 Franse dashboards die op 6 oktober werden gevonden, waren er 1.019 op exact hetzelfde adres al zichtbaar op 30 maart, zes maanden eerder. In die periode daalde het aantal ongesteunde oudere controllers in Frankrijk niet (519 eind maart tegenover 527 in oktober). Updates werden traag doorgevoerd: het aandeel volledig bijgewerkte nieuwe controllers steeg slechts van 14% naar 24%, een stijging van minder dan twee procentpunten per maand.

Ontkoppeling na de aanval

De meeste winkels hebben hun systemen na de aanval losgekoppeld. Een scan op 14 oktober, twee dagen na de aanval, wees uit dat van de 1.331 Franse dashboards er nog slechts 316 online waren—een daling van 76%. Ter vergelijking: in de wekelijkse scans van augustus tot begin oktober verdween er normaal gesproken slechts 3% tot 7% per week.

De oudere, niet meer ondersteunde controllers verdwenen het meest (van 527 naar 64). Ook volledig bijgewerkte systemen namen af (van 195 naar 54), wat erop wijst dat winkels de systemen volledig offline haalden in plaats van ze te updaten.

Buiten Frankrijk verdween 25% van de systemen, wat meer is dan de gebruikelijke 9% tot 12%. Censys, een ander scanbedrijf, zag een soortgelijke daling van 71% in Frankrijk tussen 11 en 14 oktober.

Andere landen met open controllers

Frankrijk was niet het enige land. Danfoss-dashboards met bekende lekken waren open in 69 andere landen en territoria, aangevoerd door Polen (157), de Verenigde Staten (85) en Portugal (77). In sommige landen waren het vooral de verouderde modellen: 80% in IJsland, 75% in Australië en 72% in Duitsland.

Er zijn rapporten dat ook andere Europese landen zijn getroffen. Een analist geciteerd door de Australische ABC noemde Spanje, Portugal, Polen, Duitsland en België. Hoewel de data niet kan bevestigen of zij daadwerkelijk zijn aangevallen, laat het wel zien dat al deze vijf landen vijf dagen vóór de aanval verouderde Danfoss-dashboards openstonden op het internet.

De situatie rond Dixell

De geactualiseerde waarschuwing van CERT-FR noemde ook XWEB-supervisors van Dixell (het Italiaanse merk van Copeland). De scan vond 1.611 XWEB-dashboards in 66 landen, maar slechts 70 in Frankrijk. Italië, waar Dixell is gevestigd, had er 467.

Van de 752 nieuwere XWEB PRO-units hadden er slechts 180 de fixes van februari 2026. De overige 859 waren oudere modellen die sinds 2018 geen software-update van Copeland hadden ontvangen. Ook hier reageerden Franse operators na de aanval door hun dashboards offline te halen: op 14 oktober waren er nog maar 20 van de 70 online (een daling van 71%). In andere landen, waaronder Italië, daalde het aantal slechts in het gebruikelijke wekelijkse tempo.

Methodologie van de telling

De dashboards werden geïdentificeerd met twee "fingerprints" (patronen):

• De nieuwere interface wordt herkend aan de paginatitel.
• De oudere interface wordt herkend aan de combinatie van de webserver en de Flash-laadpagina (specifiek voor de AK-SM 800).

AK-SC 355 controllers zijn mogelijk niet in deze telling meegenomen. Zestien apparaten die dezelfde oude webserver deelden maar geen Danfoss-systemen waren (zoals netwerkkaarten in noodstroomvoorzieningen en thermostaten) zijn verwijderd, samen met twee adressen die op bijna elke poort reageerden, wat wijst op een honeypot (een lokvogel voor aanvallers).

Een onafhankelijke telling door security-onderzoeker Baptiste Robert vond 2.752 Danfoss-systemen online, waarvan 1.590 in Frankrijk. Censys vond nog meer: 1.825 van de nieuwere dashboards in Frankrijk op 11 oktober. Deze cijfers zijn minima, aangezien ze alleen IPv4 en specifieke poorten beslaan, en één IP-adres niet altijd gelijkstaat aan één winkel.

Advies voor operators

CERT-FR adviseert om deze controllers volledig van het openbare internet te halen. Indien een aannemer op afstand toegang nodig heeft, moet dit gebeuren via een beveiligde VPN (een private, versleutelde verbinding). Het beperken van toegang tot alleen de IP-adressen van de aannemer is een tijdelijke oplossing, geen definitieve fix.

Een factory reset is alleen niet voldoende: een blootgestelde controller die geen updates meer krijgt, zal waarschijnlijk opnieuw worden gecompromitteerd. Voor Danfoss-systemen adviseert CERT-FR daarnaast:

• De firmware updaten.
• Het beveiligingsniveau op "Strict" zetten.
• De standaardwachtwoorden wijzigen.

Beperkingen van de data

Uit de scans kan niet worden opgemaakt hoe de aanvallers precies zijn binnengekomen of wie zij waren, noch welke specifieke ketens of winkels precies zijn geraakt. Het feit dat een dashboard via internet toegankelijk is, betekent niet automatisch dat iedereen erin kan breken, en er is nog niet bevestigd of de bovengenoemde lekken daadwerkelijk zijn gebruikt.

De data toont echter wel het contrast: vijf dagen voor de aanval had Frankrijk meer openstaande dashboards dan de rest van de wereld samen, en waren de meeste daarvan niet up-to-date. Na de aanval gingen de meeste systemen binnen enkele dagen offline.