Hack van Franse supermarktkoeling is ook een waarschuwing voor Nederlandse bedrijven

De grootste hacks hebben vaak kleine aanleidingen. Terwijl in Nederland Albert Heijn door een hack getroffen werd, namen hackers zondagnacht in Frankrijk de koelsystemen van honderden supermarkten over en schroefden zij de temperatuur op, soms naar vijftig graden – met brandjes en grote financiële schade tot gevolg.

De oorsprong van de hack in Frankrijk ligt volgens cybersecurityspecialisten bij software van de Deense fabrikant Danfoss. Twee specifieke systemen voor koelinstallaties bevatten volgens het nationale Franse cyberveiligheidsagentschap CERT-FR „talrijke tekortkomingen”. Ook systemen van de fabrikanten van Copeland en Dixell zijn kwetsbaar, voegden de Fransen daar dinsdag aan toe. „De aanvalscampagne tegen deze apparatuur is waarschijnlijk nog steeds gaande.” 

Inmiddels luidt het advies om al deze apparaten van het internet af te sluiten. De systemen hadden sowieso nooit aan het internet verbonden moeten zijn, stelt CERT-FR. „Dat is in strijd met de voorschriften.” 

Fabrikant Danfoss reageerde niet op vragen van NRC, maar stuurde wel een persverklaring aan vakblad Cooling Post. Het Deense bedrijf stelde dat vooral verouderde koelinstallaties getroffen zijn, apparaten die al sinds 2021 en soms al sinds 2016 officieel afgeschreven waren – en dus niet meer werden ondersteund met beveiligingsupdates. Nieuwere koelsystemen die getroffen zijn, hebben volgens het bedrijf kritische updates niet geïnstalleerd. 

Basisprincipes

Hoewel de hacks op Ahold en de Franse supermarkten allebei de levensmiddelensector als doel hebben, ziet het Nederlandse nationaal cybersecurity centrum (NCSC) „geen reden om aan te nemen” dat de incidenten „verband houden met elkaar”.

In Frankijk zijn volgens de fabrikant twee basisprincipes van cyberveiligheid geschonden. De eerste: beperk de toegang via internet tot gevoelige apparatuur. Industriële koelsystemen hoeven niet publiekelijk aan het internet te hangen, de toegang moet beperkt zijn tot beveiligde verbindingen of verlopen via bepaalde, vooraf goedgekeurde computers.

Het tweede basisprincipe: software bevat altijd gaten, het is slechts een kwestie van tijd voor ze gevonden worden. Het maakt alle IT rond industriële apparatuur nog kwetsbaarder, die immers jaren mee moet. Alleen toegang afschermen is onvoldoende: beveiligingsupdates – zogeheten patches – moeten zo snel mogelijk geïnstalleerd worden.

Kwetsbare apparaten die onnodig aan het publieke internet hangen, blijven desalniettemin een hardnekkig probleem, concludeerde Team 82, de onderzoekstak van cybersecuritybedrijf Claroty, begin augustus al. Zij publiceerden toen de resultaten van hun onderzoek naar kwetsbaarheden in de software van Danfoss. „We nemen altijd aan dat industriële IT-systemen veilig weggestopt zijn in geïsoleerde netwerken. Helaas is die aanname niet altijd waar”, schreef Team 82. Ze troffen in openbare bronnen bijna 2.800 Danfoss-systemen aan die ondanks de voorschriften tóch met het openbare internet verbonden zijn.

Vervolgens bleken die systemen ook nog te hacken. De onderzoekers ontdekten een verborgen inlogpaadje in de software van Danfoss, „waarschijnlijk bedoeld voor beheer en onderhoud”. Om in te loggen als beheerder – en allerlei schade aan te richten door met de temperatuurinstellingen te gaan rommelen – was geen wachtwoord nodig, maar een code die volgens de onderzoekers „alleen gebaseerd was op de huidige datum”. Team 82 laat in het midden hoe dat precies werkte.

Het onderzoek van Team 82 begon vorig jaar en Danfoss werd ruim van tevoren ingelicht over het bestaan van het heimelijke paadje. Zoals wel vaker verspreidde het Deense bedrijf zonder al te veel ruchtbaarheid aan het lek te geven al in augustus 2025 een update die het gat dichtte. 

Dertig portalen actief

Ook in Nederland zijn zo’n dertig inlogportalen van Danfoss via het internet te bereiken, blijkt uit onderzoek van NRC. Als die installaties niet bijgewerkt zijn, kunnen ze ook gehackt worden. Het is vaak niet te zeggen bij welk bedrijf de installatie hoort. Maar in vier gevallen kon NRC contact opnemen met een cateraar, een champignonteler en een installateur van koelinstallaties. Geen van allen ondervond problemen. Eén bedrijf had de Danfoss-installatie al een tijd terug uitgefaseerd. 

In één geval lijkt de software al sinds 2011 niet meer te zijn bijgewerkt. Het bedrijf zelf is niet te achterhalen, maar de internetverbinding verloopt via Weserve, een internetprovider uit Hengelo. Directeur Frank Hassink mag naar eigen zeggen niet vertellen wie zijn klant is, maar schrikt van de link naar het inlogportaal die NRC doorstuurt. „Dat dit online staat. Je staat versteld wat sommige klanten allemaal open hebben staan. We kunnen alleen informeren en bellen, of waarschuwingen van het NCSC doorsturen. Daarna is het aan hen. Vaak beheren de bedrijven zulke installaties niet eens zelf, maar hebben ze daar ook weer een partij voor.” Hij zegt de melding direct door te sturen. De site is inmiddels offline.

Het NCSC laat weten niet te kunnen reageren op kwetsbaarheden in software van individuele bedrijven. „We onderhouden nauw contact met binnenlandse en buitenlandse partners en monitoren de situatie doorlopend. Het NCSC doet geen inhoudelijke uitspraken over individuele organisaties of lopende onderzoeken.”

Hassink is maar al te bekend met het probleem van kwetsbare industriële software. „Het is niet nieuw. Veel van die apparaten worden op een gegeven moment niet meer geüpdatet. Je moet ze zeker niet aan het internet hangen zodat iedereen erbij kan. Maar als je dat dus wel doet komt er een moment dat de achterdeurtjes niet langer gedicht worden.”

De schade in de Franse supermarkten zal in de miljoenen euro’s lopen. In totaal gaat het volgens een inventarisatie van The New York Times om minstens 380 winkels. De directeur van Coopérative U, waarvan zo’n tachtig supermarkten getroffen zijn, kondigde dinsdag direct maatregelen aan op X. „Geen enkele installatie mag met internet worden verbonden voor toezicht op afstand. De temperaturen worden overdag ter plaatse gecontroleerd, zodat bij een afwijking snel kan worden ingegrepen.” 

Lees ook

Een klein lek legt de kwetsbaarheid van de digitale overheid bloot

Kies NRC als voorkeursbron