Eine Serie von koordinierten Cyberangriffen hat die Lebensmittelversorgung in mehreren europäischen Ländern erschüttert. In der Nacht auf Montag wurden in Schweden, Belgien und Luxemburg die Temperaturen in Kühl- und Tiefkühlgeräten von Dutzenden Filialen aus der Ferne auf bis zu 55 Grad hochgedreht. Betroffen sind unter anderem die schwedischen Ketten Ica und Coop sowie die belgischen Unternehmen Delhaize und Carrefour. Rickard Nilsson, Chef eines Ica-Markts in Sjöbo, berichtete gegenüber der Zeitung Aftonbladet, dass heiße Luft in die Truhen geblasen wurde und die Ware ruiniert sei.

Die Dimension der Störungen ist erheblich: In Belgien meldeten mindestens 40 Delhaize-Filialen und 15 Carrefour-Standorte Probleme. Der Mutterkonzern Ahold Delhaize bestätigte einen IT-Vorfall, während Coop in Schweden sechs betroffene Märkte meldete. Erste Schätzungen beziffern die Schäden in diesem jüngsten Wellengang auf mehrere Millionen Euro. Zudem gab es Berichte über Angriffsversuche in der Schweiz, nachdem bereits zuvor Störungen in Deutschland, Polen, Spanien, Portugal und den Niederlanden registriert worden waren.

Das Muster dieser Angriffe wurde bereits am 12. Oktober in Frankreich deutlich, wo bis zu 700 Supermärkte betroffen waren. Davon waren über 300 Filialen von Intermarché und Netto, je 80 von Carrefour und Coopérative U sowie rund 30 Monoprix-Märkte betroffen. Die Geräte wurden in einen ungewöhnlichen Abtauzyklus versetzt, was in einem Markt in der Normandie zu Temperaturen von 80 Grad führte. Die Folgen waren verbrannte Geräte, Wasserschäden durch Sprinkleranlagen und immense Warenverluste, die laut dem Chef von Les Mousquetaires im Bereich von mehreren zehn Millionen Euro liegen.

Ursache der Vorfälle sind kritische Sicherheitslücken in Steuergeräten des dänischen Herstellers Danfoss, insbesondere den Modellen AK-SM 800 und AK-SC 355. Diese Geräte befinden sich seit 2016 bzw. 2021 am Ende ihres Lebenszyklus und erhalten keine Sicherheitsupdates mehr. Sicherheitsforscher von Claroty wiesen darauf hin, dass die Geräte über ein öffentlich erreichbares Login mit dem Namen „admin“ und einem aus dem Datum ableitbaren Code verfügen. Auch aktuelle Geräte mit veralteter Firmware sowie Steuerungen von Copeland und Dixell waren betroffen. Danfoss arbeitet derzeit an Firmware-Updates und der Beendigung der direkten Internet-Erreichbarkeit.