Gelombang kedua serangan siber terhadap sistem penyejukan pasar raya dilaporkan mengganggu peruncit makanan di seluruh Eropah pada awal November 2026. Setakat 4 November, laporan menyebut sekurang-kurangnya 11 negara terjejas. Ada unit penyejukan yang dikatakan mencapai suhu 50°C, menyebabkan peruncit mengeluarkan atau membuang stok makanan. Coraknya menyerupai serangan pada Oktober yang menjejaskan kira-kira 700 pasar raya di Perancis, tetapi pelaku dan cara akses tepat masih belum diketahui.
10
13
18
Apa yang berlaku, dan sejauh mana kesannya?
Insiden November dilaporkan berlaku sepanjang malam hingga Isnin, 2 November. Penyerang dipercayai mengubah tetapan sistem penyejukan dari jauh. Laporan menyebut peralatan dimatikan atau ditetapkan kepada mod nyahbeku, lalu suhu meningkat.
5
9
10 Menurut laporan yang diterbitkan pada 3 November, Danfoss berkata kaedah itu sama seperti dalam insiden terdahulu di Perancis.
5
Laporan 4 November menganggarkan gelombang kedua menjejaskan lebih 100 kedai di sekurang-kurangnya 11 negara Eropah.
14 Angka itu ialah jumlah yang dilaporkan, bukannya kiraan tunggal yang disahkan secara bebas. Serangan di Perancis pada 11–12 Oktober pula dilaporkan menjejaskan kira-kira 700 pasar raya.
13 Dalam kedua-dua gelombang, kesan serta-merta ialah stok sejuk dan beku yang rosak atau berkemungkinan tidak lagi selamat dijual, lalu dikeluarkan atau dibuang oleh peruncit.
8
13
Angka 50°C yang dilaporkan merujuk kepada suhu yang dicapai di sesetengah unit terjejas, bukan di setiap kedai atau peti sejuk beku.
10 Laporan pada 4 November turut menyenaraikan Jerman, Romania dan UK sebagai negara terjejas; pegawai dan wakil syarikat menyebut empat cawangan di Jerman dan enam di Romania.
17
18
Peruncit dan bilangan cawangan yang dilaporkan
Angka berbeza mengikut peruncit dan perkara yang dikira—sama ada kedai yang terjejas, sistem penyejukan yang diusik, atau kedai yang terpaksa membuang makanan. Oleh itu, angka berikut bukan senarai lengkap dan tidak semestinya boleh dibandingkan secara langsung.
- Belgium dan Luxembourg: BBC melaporkan kira-kira 40 pasar raya Delhaize terjejas di kedua-dua negara, tanpa pecahan mengikut negara. Laporan berasingan menyebut 15 kedai Carrefour dan lima kedai Spar di Belgium mengalami masalah penyejukan.
- Ireland: Musgrave berkata sistem penyejukan di 13 kedai SuperValu terjejas.
- Sweden: ICA, Coop dan sebuah pasar raya besar IKEA melaporkan insiden.
2
3 Satu laporan menyebut 23 kedai ICA mengalami gangguan pada sistem penyejukan; satu lagi menyatakan enam kedai Coop terpaksa membuang makanan. Laporan berasingan pula mengira tujuh kedai Coop yang mempunyai peralatan terjejas—ukuran yang berbeza daripada bilangan kedai yang dilaporkan membuang makanan.
5
- Itali: Itali disenaraikan sebagai antara negara terjejas, tetapi laporan yang tersedia tidak memberikan jumlah cawangan mengikut peruncit.
8
18
Teknologi yang terdedah—dan perkara yang belum dipastikan
Serangan menyasarkan kawalan sistem penyejukan, bukan sekadar mengganggu kaunter bayaran atau sistem IT runcit yang biasa. Laporan menggambarkan penyerang mengakses peranti yang bersambung ke internet dan mengubah tetapannya.
6
9 Menurut laporan Censys yang dipetik oleh Facilities Dive, kira-kira 1,000 sistem Danfoss StoreView terdedah kepada internet di seluruh dunia.
6
Peralatan Danfoss dan Copeland dilaporkan antara sistem yang terjejas di Perancis. Amaran CERT-FR pula menyenaraikan keluarga pengawal Danfoss, Copeland dan Dixell serta papan pemuka StoreView dalam kelompok peralatan berkaitan.
9
13 Namun, ini tidak menentukan model atau kelemahan khusus yang terlibat dalam setiap insiden November. Laporan yang tersedia belum mengesahkan satu kelemahan perisian yang dieksploitasi dalam semua kes, atau membuktikan bahawa kata laluan atau pengesahan yang lemah menjadi pintu masuk setiap serangan.
Coop Sweden berkata pihaknya sedang memindahkan sistem kepada rangkaian 5G dan modem lebih baharu, menggantikan 4G, serta telah memutuskan sambungan sistem penyejukan di kedai terjejas daripada internet.
12 Itu ialah langkah yang dilaporkan, bukan bukti bahawa beralih kepada 5G sahaja dapat menyelesaikan risiko keselamatan. Maklumat yang tersedia juga tidak cukup terperinci untuk mengesahkan saranan khusus Danfoss atau menunjukkan bahawa sambungan 4G lama menyebabkan serangan tersebut.
Tindak balas pihak berkuasa dan persoalan siapa dalangnya
Kesatuan Eropah menyifatkan insiden itu sebagai cubaan sengaja untuk mengganggu rantaian bekalan makanan.
8 Satu laporan turut menyebut Suruhanjaya Eropah mengadakan mesyuarat tergempar bersama ENISA, Europol dan rangkaian CyCLONe.
14 Kerajaan Itali pula mengadakan perbincangan tergempar dengan ketua-ketua perisikan, menurut Euronews.
20
Ketua keselamatan siber Romania menyifatkan kegiatan itu sebagai “separa amatur” dan berkata pihak berkuasa tidak mengesyaki penglibatan aktor negara.
17 Kenyataan itu bukan penentuan tentang siapa yang bertanggungjawab. Sehingga 4 November, laporan menyebut tiada kumpulan mengaku bertanggungjawab dan motif serangan masih tidak diketahui.
18
21
Maklumat yang tersedia tidak mengesahkan tindakan khusus pendakwa Belgium atau Pusat Keselamatan Siber Kebangsaan UK, mahupun dakwaan tentang kebimbangan terhadap keyakinan pengguna. Perkara tersebut tidak wajar disimpulkan hanya daripada amaran umum pihak berkuasa mengenai gangguan terhadap bekalan makanan.
Adakah insiden ini berkait dengan kes di pangkalan tentera AS?
NPR melaporkan insiden sistem penyejukan di pangkalan tentera AS pada Ogos, bersama laporan tentang serangan di pasar raya Perancis dan Eropah.
1 Namun, susunan masa itu sahaja tidak membuktikan bahawa insiden-insiden tersebut berkaitan. Laporan yang tersedia tidak mengesahkan hubungan antara kes di AS dengan kes di Eropah, atau menyokong dakwaan khusus tentang Fort Huachuca, siasatan inspektor jeneral Pentagon, mahupun kerjasama antara Pejabat Lapangan Siber Tentera Darat AS dan penguat kuasa Perancis.
Kesimpulan yang paling kukuh setakat ini lebih terbatas: penyerang mengubah tetapan sistem penyejukan dari jauh di peruncit beberapa negara Eropah, menyebabkan kerugian makanan; pendedahan peralatan kepada internet pula menimbulkan kebimbangan keselamatan yang nyata. Namun, berdasarkan bukti yang tersedia pada 4 November, pihak yang bertanggungjawab masih belum dikenal pasti dan belum diketahui sama ada insiden berasingan di AS mempunyai punca yang sama.