CCB waarschuwt voor publiek bereikbare koelregelaars

Koelregelaars van Danfoss, Copeland en Dixell zijn gecompromitteerd bij Franse supermarktketens en hadden vermoedelijk publiek bereikbare beheerinterfaces, meldt het Belgische CCB.

Een verbinding voor onderhoud op afstand kan zo ook een route naar de regeling van temperatuur en ontdooicycli worden. Voor Nederlandse retailers, koelhuizen en voedselbedrijven raakt dat direct de voorraad en de bedrijfsvoering. Het CCB adviseert publieke internettoegang weg te halen. Het waarschuwt tegelijk dat het uitschakelen van dataverkeer gevolgen kan hebben voor de koeltechnische dienstverlener en verzekeringsvoorwaarden.

Vier productfamilies, geen modelnummers

Het CCB publiceerde de waarschuwing op 13 oktober na meerdere compromitteringen bij Franse supermarktketens. De Franse CERT-FR publiceerde de eerste versie op 12 oktober en voegde een dag later andere systemen toe. De waarschuwing noemt Copeland xweb, Danfoss AK-SC, Danfoss AK-SM en Dixell xweb. De genoemde beheerinterfaces leken vanaf het publieke internet bereikbaar. De waarschuwing geeft geen exacte apparaatmodellen of softwareversies. Ook stelt het CCB niet vast of publieke bereikbaarheid de aanvalsvector was.

De waarschuwing brengt de aanval van het winkelvloer-effect naar de koelbesturing zelf. In de nacht van 11 op 12 oktober raakte de koeling bij honderden Franse winkels ontregeld en moesten ketens voorraad afvoeren. AFP meldde dat minstens 300 Intermarché- of Netto-winkels en ruim 100 Coopérative U-vestigingen doelwit waren. Ook enkele E.Leclerc-winkels werden geraakt. De Parijse aanklager onderzocht voedselverlies en branden die met de aanval in verband werden gebracht.

Een dag later zei een bron rond premier Sébastien Lecornu tegen Reuters dat andere landen mogelijk waren geraakt. Sekoia-analist Felix Aime noemde Spanje, Portugal, Polen, Duitsland en België. Danfoss zei tegen Reuters dat het incidenten kende in een beperkt aantal koelbeheersystemen. Dat verschil laat zien dat de landenlijst van Sekoia geen officiële bevestiging is: de Franse bron sprak alleen over mogelijke impact. De Sekoia-claim over vijf landen bevat geen aantallen of bevestiging per land.

Het afgebeelde AK-SM 800A-systeem is een productvoorbeeld van Danfoss, niet een bevestigd model uit de Franse incidenten.

De patchgeschiedenis verschilt per model

Security.NL meldde op 14 oktober dat patches voor misbruikte Danfoss-kwetsbaarheden al ongeveer anderhalf jaar beschikbaar waren. Danfoss’ eigen adviezen laten zien welke update daarvoor al uit was. Op 24 maart 2025 publiceerde het bedrijf patch 4.2 voor CVE-2025-41450. Die update gold voor AK-SM 8xxA-apparaten van vóór versie 4.2 en verholp een fout waarmee authenticatie kon worden omzeild.

Op 1 augustus 2025 publiceerde Danfoss een tweede advies voor twee andere kwetsbaarheden in de AK-SM 8xxA-serie. De fabrikant noemde versie 4.3.1 als oplossing voor apparaten van vóór die versie. Een van de fouten kon na authenticatie tot uitvoering van code leiden. Dat was ruim veertien maanden voor de Franse aanval. De eerdere patch 4.2 was toen ruim achttien maanden oud.

Die tijdlijn maakt de melding over beschikbare patches concreet, maar bewijst niet welke fout de aanvallers gebruikten. De CCB- en CERT-FR-waarschuwingen noemen geen CVE, firmwareversie of specifieke AK-SM 8xxA-modellen die in Frankrijk zijn aangetroffen. De openbare informatie verbindt de Danfoss-adviezen dus niet rechtstreeks aan de compromitteringen.

Afsluiten raakt ook het onderhoud

Voor installaties zonder bekende compromittering adviseert het CCB om publieke IP-toegang direct te verwijderen. Beheer hoort alleen via een beveiligde VPN of een beschermd intern netwerk mogelijk te zijn. Het advies noemt ook actuele firmware, het vervangen van standaardwachtwoorden, de Strict-instelling voor Danfoss-apparatuur en controle van de volledige configuratie, waaronder de ontdooibereiken.

Het CCB zegt dat aanvalscampagnes waarschijnlijk nog lopen. Als een installatie wel is gecompromitteerd, adviseert het een fabrieksreset en daarna herconfiguratie. Een reset alleen is onvoldoende als het apparaat online blijft, zeker bij apparatuur die niet meer wordt ondersteund. Het Belgische CCB vraagt organisaties bevestigde compromitteringen ook via zijn CERT-portaal te melden. In noodgevallen kan een firewall tijdelijk alleen de IP-adressen van de koeltechnische dienstverlener toelaten. Het CCB noemt dat uitdrukkelijk geen blijvende oplossing. Voor het uitschakelen van internetrapportage moet een bedrijf eerst de afspraken met die dienstverlener en de verzekeringsvoorwaarden controleren.

Dat laatste maakt de waarschuwing ook een beheervraagstuk. De partij die temperatuurdata op afstand uitleest, kan afhankelijk zijn van dezelfde verbinding die nu moet worden afgesloten. Bij OT kan een software-update een draaiend fysiek proces stilleggen, waardoor patchbeleid en bedrijfscontinuïteit samen moeten worden gepland.

Ook kleine koelinstallaties vallen onder OT

Op 13 oktober adviseerde ook het Duitse BSI om internetbereikbare besturingssystemen volgens de actuele stand van de techniek te beveiligen. De aanbeveling richt zich nadrukkelijk op kleine industriële of vergelijkbare installaties, waaronder voedselkoeling. Volgens het BSI laten de Franse incidenten zien hoe aanvallen het dagelijks leven kunnen verstoren. De beschreven maatregelen zouden het risico op succesvolle aanvallen verkleinen.

De officiële waarschuwingen lopen daarmee van supermarktkoeling door naar andere kleine OT-installaties die een fysiek proces aansturen. Voor een Nederlandse winkel, koelcel of voedselproducent gaat de inventaris niet alleen over merk en model, maar ook over firmware, externe beheerverbindingen en de partij die daarop inlogt. De openbare meldingen noemen nog geen exacte modelnummers of versies uit de Franse winkels. Welke regelaars zijn daar precies geraakt, en welke daarvan zijn nog vanaf internet bereikbaar?