Cyberangriff auf Supermarkt-Kühlungen in Frankreich

Angreifer haben in der Nacht vom 11. auf den 12. Oktober die Kühlungscontroller in Hunderten französischen Supermärkten übernommen und aufheizen lassen; der Cyberangriff auf Supermarkt-Kühlungen zwang mehrere Handelsketten, Ware wegzuwerfen. Les Mousquetaires, zu der Intermarché gehört, teilte mit, die Kühl- und Gefriergeräte seien in den Abtaumodus versetzt und auf bis zu 50 °C erhitzt worden. Der Controller stammt von Danfoss und lässt sich laut The Hacker News von Wartungsfirmen aus der Ferne verwalten. Genau dieser Fernzugriff, der einen Technikereinsatz spart, steht nun im Fokus.

Was ist passiert?

Intermarché, Netto, Coopérative U, Carrefour, Monoprix und E.Leclerc meldeten betroffene Filialen. Die Zahlen unterscheiden sich je nach Quelle und Zählweise: Sie reichen von rund 150 Mousquetaires-Filialen (Reuters) über mindestens 300 bei Intermarché und Netto (AFP) bis zu 80 von etwa 2.000 Coopérative-U-Märkten und 80 Carrefour-Supermärkten. Der Chef von Coopérative U sagte, die Kühlkette habe in den meisten betroffenen Märkten gehalten, nur eine Minderheit habe Ware verloren; Intermarché erklärte, seine betroffenen Märkte hätten die betreffenden Produkte entsorgen müssen. Mousquetaires bezifferte den Schaden gegenüber TIME auf mehrere Millionen Euro, der Konzernchef sprach bei BFMTV von zweistelligen Millionenbeträgen in ganz Frankreich. Die Pariser Staatsanwaltschaft hat Ermittlungen eingeleitet.

CERT-FR, das CERT der französischen Regierung, veröffentlichte am 12. Oktober den Alert CERTFR-2026-ALE-012 und überarbeitete ihn am 13. Oktober. Er meldet zahlreiche Kompromittierungen bei Fernsteuerungen für Kühlanlagen: den Danfoss-Serien AK-SM und AK-SC sowie auch bei Copeland xweb und Dixell xweb. Betreiber sollen die Internetexposition der betroffenen Geräte und aller Geräte mit öffentlicher IP-Adresse beseitigen. Der ANSSI-Chef bezeichnete es als dringend, die beiden Danfoss-Serien vom Internet zu nehmen oder den Zugriff streng zu beschränken. Laut The Hacker News sagte Danfoss, die meisten betroffenen Geräte seien ältere Modelle, die es nicht mehr aktualisiert. Stand 13. Oktober haben weder die französischen Behörden noch Danfoss mitgeteilt, wer hinter dem Angriff steckt oder wie die Angreifer in die Controller gelangt sind; eine Lösegeldforderung wurde nicht gemeldet. Wir haben weder eine CVE noch ein Danfoss-Advisory zu dieser Kampagne gefunden.

Warum das wichtig ist

Für den Schaden mussten keine Daten gestohlen werden. Ein Controller, der Temperaturen steuert und über das Internet oder den Zugang eines Wartungsdienstleisters erreichbar ist, genügte, um Ware zu verderben und Geld zu kosten. Das ist ein OT-Problem in einem Handelsunternehmen, meist in der Verantwortung der Haustechnik statt der IT und oft nicht in der Asset-Liste des Security-Teams.

Die Schwachstelle liegt wieder beim Lieferanten oder Dienstleister, nicht im Hauptnetz. In unserem Beitrag vom 9. Oktober zum dänischen CPR-Register war es wieder der Zugang über einen Dritten. Hier ist der Weg noch nicht öffentlich, deshalb behaupten wir nicht, es sei ein Wartungskonto gewesen. Einschätzung: Für DACH-Händler und Lebensmittelhersteller gilt dieselbe Lehre. Produktion und Vertrieb von Lebensmitteln fallen unter NIS2 als wichtiger Sektor, daher gehört der Lieferantenzugriff auf Kühl- und Gebäudesteuerungen ins Risikoregister. Den rechtlichen Geltungsbereich klären Sie bitte mit Ihren Beraterinnen und Beratern.

Was Sie jetzt tun sollten

1. Prüfen Sie, ob Sie Danfoss-Controller AK-SM oder AK-SC, Copeland xweb oder Dixell xweb oder andere von einem externen Dienstleister verwaltete Kühl- oder Gebäudecontroller betreiben. Fragen Sie Haustechnik und Wartungsfirmen, nicht nur die IT.
2. Folgen Sie der CERT-FR-Empfehlung: Beseitigen Sie die Internetexposition der betroffenen Geräte und aller Geräte mit öffentlicher IP-Adresse. Prüfen Sie die Bedingungen Ihrer Versicherung, bevor Sie die Datenübertragung an den Kältedienstleister abschalten.
3. Prüfen Sie die vollständige Controllerkonfiguration, besonders die Abtaubereiche. Bei einem möglicherweise kompromittierten Gerät empfiehlt CERT-FR einen Werksreset und die Neukonfiguration.
4. Stellen Sie den Fernzugriff nur über ein sicheres VPN oder ein geschütztes Netz wieder her. Eine Filterung der Quell-IP-Adressen des Dienstleisters auf einer Firewall ist als kurzfristige Notlösung vertretbar, nicht als Dauerlösung. Erfassen Sie, wer die Controller mit welchen Zugangsdaten aus der Ferne erreichen kann, und schalten Sie jeden Zugang ab, den Sie nicht begründen können.
5. Setzen Sie die Härtung des Herstellers um: Firmware aktualisieren, Danfoss-Geräte auf den Sicherheitsmodus Strict stellen und Standardpasswörter ändern. Prüfen Sie, ob Geräte darunter sind, die keine Updates mehr erhalten.
6. Bereiten Sie eine manuelle Rückfallebene vor: Temperaturalarme, die nicht vom selben Controller abhängen, ein Notfallablauf für das Marktpersonal und vereinbarte Reaktionszeiten mit dem Kältedienstleister.

Die DIESEC-Perspektive

Die Frage an Ihre Lieferanten ist einfach: Wer kann von außerhalb des Gebäudes einen Sollwert an unseren Anlagen ändern, und woran würden wir es merken? Kann das niemand beantworten, ist dieser Zugang ungesteuerte Angriffsfläche, egal wem der Controller gehört.

Sie möchten eine externe Sicht auf OT und Lieferantenzugriffe in Ihren Märkten oder Werken? Kontaktieren Sie DIESEC für einen externen Angriffsflächen-Check und eine Prüfung der Fernzugriffe Dritter.

Quellen: The Hacker News | BleepingComputer | CERT-FR | TIME
Veröffentlicht: 2026-10-14 | Kategorie: Lieferkettensicherheit | ca. 4 Min. Lesezeit