Een reeks gemelde inbraken in koelsystemen verstoorde de koeling bij Europese supermarkten. Daarop publiceerden CISA, de FBI en de Amerikaanse ministeries van Volksgezondheid, Landbouw en Transport op 5 november 2026 een waarschuwing. De instanties zeggen dat kwaadwillenden industriële koelsystemen en systemen voor het monitoren van de koelketen aanvallen. De openbare berichtgeving wijst op reële risico’s voor de bedrijfsvoering, maar maakt niet duidelijk wie achter de incidenten zat of dat alle gemelde gevallen met elkaar verband hielden.
17
19
Welke systemen doelwit waren — en hoe
De Amerikaanse waarschuwing noemt elektronische temperatuurregelaars en commerciële koelcontrollers zoals die worden gebruikt in supermarkten en koelopslag. Ze regelen onder meer de temperatuur en functies als ontdooicycli. Volgens de instanties kunnen aanvallers zwakke plekken benutten in controllers die niet zijn bijgewerkt of via internet bereikbaar zijn. Zo zouden ze instellingen op afstand kunnen aanpassen.
17
21
26
In berichtgeving over de Europese incidenten stond dat koelinstallaties in de ontdooistand werden gezet of op ongebruikelijk hoge temperaturen werden ingesteld. Sommige meldingen spraken van temperaturen rond de 50 °C.
5
8
16 De incidenten laten zien dat een aanval op operationele technologie — systemen die fysieke apparatuur aansturen — niet alleen de IT raakt, maar ook apparatuur en voorraden. Amerikaanse instanties waarschuwden voor mogelijk voedselbederf, schade aan apparatuur en brandgevaar.
13
De waarschuwing is niet alleen relevant voor supermarkten. Volgens de Amerikaanse instanties gebruiken ook de zorg, de chemische industrie, de voedsel- en landbouwsector en het transport veel industriële koeling en monitoring van de koelketen. Beveiligde koelinstallaties zijn dus van belang overal waar temperatuurgevoelige producten of processen ervan afhankelijk zijn.
17
Wat er in Europa gebeurde
In Frankrijk meldden media aanvallen op honderden supermarkten in oktober. Volgens cijfers van retailers die WFAE aanhaalde, ging het om 150 tot 200 winkels van Intermarché en bijna 100 vestigingen van Coopérative U.
2 Schattingen van het totale aantal getroffen winkels lopen uiteen; één exact aantal is daarom niet vastgesteld.
2
6
Op 2 november berichtte Reuters dat koelproblemen meer dan 100 winkels in verschillende Europese landen troffen.
45 De eerste berichten verschilden over welke landen waren geraakt. De BBC meldde later incidenten in minstens tien landen en schreef dat sommige retailers voedsel weggooiden nadat de temperatuur was gestegen.
44 De aantallen verschillen mede doordat berichten op verschillende momenten verschenen; ze vormen geen definitieve telling van alle getroffen locaties.
Ook de temperatuurmonitoring of -regeling bij drie koelopslaglocaties van de Franse nationale bloeddienst werd getroffen, volgens berichtgeving over het incident. De dienst zei dat er geen bloedproducten verloren gingen. NPR meldde dat Health ISAC, een informatie- en samenwerkingsverband voor de zorgsector, leden waarschuwde na aanvallen op koelopslag, waaronder het incident bij de bloeddienst. De beschikbare berichtgeving toont niet aan dat dit geval verband hield met de aanvallen op supermarkten.
20
29
39
Welke maatregelen de instanties adviseren
In een gezamenlijk informatieblad roepen de instanties operators op de blootstelling van systemen te beperken en de toegangsbeveiliging te verbeteren:
19
- Gebruik sterke authenticatie.
- Houd systemen bijgewerkt.
- Breng in kaart welke koelsystemen via internet bereikbaar zijn.
- Schakel externe toegang uit als die niet nodig is.
- Beveilig externe toegang die wel nodig blijft.
Deze maatregelen sluiten aan op de risico’s in de waarschuwing: controllers die online bereikbaar zijn of niet worden bijgewerkt, kunnen makkelijker worden benaderd of misbruikt. Operators doen er daarom goed aan de controllers en externe verbindingen voor koeling mee te nemen in hun cybersecuritybeleid, in plaats van ze buiten de verantwoordelijkheid van de organisatie te plaatsen.
19
21
Wie erachter zat, is niet vastgesteld
De aangeleverde openbare berichtgeving bevat geen betrouwbaar bewijs over wie de incidenten uitvoerde of dat er één partij achter de verschillende gebeurtenissen zat. NoName057(16) en Z-Pentest zouden voor sommige aanvallen de verantwoordelijkheid hebben opgeëist, maar zo’n claim is geen onafhankelijke bevestiging.
32
33 Op basis van het beschikbare bewijs kunnen de incidenten en de waarschuwing van de instanties worden beschreven; de toeschrijving aan een bepaalde groep staat niet vast.
De praktische conclusie is helder: koeling en systemen voor de koelketen zijn belangrijke onderdelen van de bedrijfsvoering. Beperk hun bereikbaarheid, beveilig noodzakelijke externe toegang en houd systemen bijgewerkt om de kans te verkleinen dat een cyberincident ook fysieke gevolgen heeft.