Gehackte supermarktkoelingen: moet echt alles online?

In de nacht van 1 op 2 november gingen in tientallen Belgische winkels de koelingen en diepvriezers op ontdooien: bij Delhaize, Carrefour, Intermarché, Spar, de IKEA in Bergen en een slagerij in Hove. Drie weken eerder overkwam hetzelfde zo’n 700 Franse supermarkten. Geen defect: iemand had van op afstand de instellingen veranderd.

Daar was weinig voor nodig. De koelsturingen waren rechtstreeks vanaf het internet bereikbaar, draaiden vaak verouderde software en hadden soms nog het standaardwachtwoord. Dat is geen probleem van één leverancier, maar van een reflex: alles online zetten omdat het kan. En dat raakt niet alleen grote ketens, maar net zo goed de slagerij, de buurtwinkel en het kantoor om de hoek.

Wat er gebeurde

In Frankrijk namen aanvallers in de nacht van 11 op 12 oktober de koelingen over van ongeveer 700 van de 10.000 supermarkten, volgens minister van Financiën Roland Lescure. Koelvitrines liepen op tot 50 °C en winkels gooiden hun verse en diepgevroren voorraad weg. Het Franse CERT-FR waarschuwde voor gehackte koelsturingen van Danfoss, Copeland en Dixell.

Op 2 november volgde rond 2 uur ‘s nachts een tweede golf over Europa. In België ging het om tientallen winkels van Delhaize, 15 van Carrefour, 10 tot 15 van Intermarché, vijf Spar-winkels en de IKEA in Bergen. Slagerij De Laet & Van Haver in Hove verloor voor zo’n 15.000 euro aan vlees. In Nederland trof het volgens Danfoss zeventien bedrijven, onder meer slagerijen en kleine buurtwinkels. Het federaal parket opende een strafonderzoek. Wie erachter zit, is niet bekend.

Hoe ze binnenkwamen

Koelsturingen zijn kleine computers die de koeling van een winkel regelen. Ze hangen aan het internet, zodat de koeltechnicus van op afstand kan meekijken. Volgens het Centrum voor Cybersecurity België (CCB) waren de aangevallen beheerpagina’s gewoon bereikbaar vanaf het internet, tegen elke goede praktijk in.

Vaak ging het ook om oude toestellen die geen updates meer krijgen, en in Nederland om systemen met een standaardwachtwoord. Danfoss had zijn klanten na de eerste golf aangeraden de koelingen van het internet te halen. Volgens Danfoss werden in Nederland net de winkels getroffen die dat niet hadden gedaan.

De zwakke plekken waren bekend. In augustus beschreven onderzoekers van Claroty een verborgen aanmelding in de Danfoss AK-SM 800A: met een “code van de dag”, afgeleid van de datum, komt een aanvaller binnen zonder wachtwoord (CVE-2025-41450). In de praktijk is dat een achterdeur. Er bestaat een update voor, maar die moet wel geïnstalleerd zijn. Of de aanvallers dit lek gebruikten, is niet bevestigd.

Hetzelfde patroon in uw kmo

Koelingen zijn maar één voorbeeld. Kijk naar wat er in een gewone kmo hangt: een camera boven de kassa, een videodeurbel aan de ingang, een alarm met een app, een slimme thermostaat, de printer. Vaak zijn het dezelfde toestellen als thuis, in een kwartier geïnstalleerd, en ze sturen hun beelden en gegevens standaard naar de cloud van de fabrikant. Een eigen IT-afdeling is er zelden, dus niemand houdt bij wie er toegang heeft en of er nog updates komen.

Wat er dan kan gebeuren:

Ring, de videodeurbel van Amazon. Volgens de Amerikaanse toezichthouder FTC kon elke werknemer of onderaannemer van Ring de video’s van klanten bekijken, en kregen hackers toegang tot de accounts van zo’n 55.000 klanten. Via de luidspreker van de camera bedreigden ze mensen, ook kinderen.
Wyze, goedkope camera’s. Na een storing in februari 2024 kregen zo’n 13.000 gebruikers beelden te zien van camera’s van anderen.
Amazon. Toen de cloud van Amazon in oktober 2025 urenlang verstoord was, gingen Ring-camera’s op zwart.

Bij een kmo gaat het dan niet om de woonkamer, maar om de kassa, de klanten en het personeel. Die beelden zijn persoonsgegevens, en daarvoor bent u als ondernemer verantwoordelijk onder de AVG.

Elk verbonden toestel is een mogelijke achterdeur

Elke verbinding naar buiten kan ook een deur naar binnen zijn. Soms zet de fabrikant die bewust open, voor onderhoud op afstand of omdat die uw beelden bewaart. Soms gaat ze onbedoeld open: een standaardwachtwoord, een lek, een gemiste update. Voor een aanvaller maakt dat geen verschil. En een toestel dat geen updates meer krijgt maar online blijft, wordt volgens CERT-FR en het CCB zeer waarschijnlijk gehackt.

Niet alles offline, wel anders verbonden

We denken dat de slinger terugzwaait: minder “alles verbonden”, meer de vraag “moet dit wel online?“. Het Zweedse nationale cybersecuritycentrum raadde na de aanvallen aan om na te gaan of toestellen wel verbonden moeten zijn.

Helemaal offline is evenmin de oplossing: dan krijgt een toestel ook geen updates. Het gaat erom hoe een toestel verbonden is. Vergelijk het met een telefoon:

Het toestel neemt op voor iedereen. Het nummer staat in de openbare gids, en iedereen ter wereld kan bellen, ook oplichters. Zoekmachines zoals Shodan houden zelfs zo’n gids bij van alle bereikbare toestellen. Zo hingen de supermarktkoelingen aan het internet. Dit is het gevaarlijkst.
Het toestel hangt permanent aan de lijn met de fabrikant. Het staat niet in de gids, maar de fabrikant kan via die lijn altijd meekijken en bijsturen. Wie binnenraakt bij de fabrikant of in uw account, zit ook op die lijn. Zo werken de meeste slimme camera’s en deurbellen.
Het toestel belt alleen zelf. Het belt de fabrikant om te vragen of er een update is, en hangt dan weer op. Niemand kan het opbellen. Dat is de veiligste manier om toch online te zijn.

Ook die derde manier is niet zonder risico: wie de updates zelf vervalst, komt toch binnen. Daarom horen updates digitaal ondertekend te zijn, zodat het toestel kan nagaan dat ze echt van de fabrikant komen.

Concreet betekent dat:

Het toestel werkt ook zonder internet.
Het belt zelf naar buiten, maar neemt niet op.
Beelden en gegevens blijven in het gebouw.
Onderhoud op afstand gebeurt via een beveiligde verbinding (VPN), alleen wanneer u die openzet.
Wat geen updates meer krijgt, gaat van het netwerk of wordt vervangen.

Wat u vandaag doet

Maak een lijst van alles in uw zaak dat met internet verbonden is: camera's, deurbel, alarm, koeling, verwarming, printers.
Vraag per toestel: moet dit online, en wie gebruikt die verbinding?
Kijk in uw router welke poorten naar binnen openstaan (port forwarding, UPnP) en sluit wat niet nodig is.
Vervang standaardwachtwoorden en installeer de updates. Wat geen updates meer krijgt, haalt u van het netwerk.
Laat technici op afstand alleen binnen via een VPN, en vraag schriftelijk hoe hun toegang beveiligd is.
Kies bij nieuwe camera's voor toestellen die lokaal opnemen en ook zonder cloud werken.
Werkt u met koelingen van Danfoss, Copeland of Dixell, volg dan het advies van het CCB. Kijk eerst uw verzekeringscontract na voor u de gegevensstroom naar uw koeltechnicus afsluit.

Hoe Skedia helpt

We werken voor kmo’s. Met een beveiligingsaudit brengen we in kaart welke toestellen en toepassingen bij u online hangen, wie er van buitenaf aan kan en wat eraf kan. U krijgt een helder verslag in gewone taal, met prioriteiten.