Cyberangriffe auf Kühlsysteme haben die Lagerung von Lebensmitteln beeinträchtigt und mehrere schwedische Supermärkte zu vorübergehenden Schließungen gezwungen. Laut Tgcom24 wurden zwischen dem Abend des 1. November und dem Morgen des 2. November Filialen von Ica und Coop getroffen. Die Angreifer veränderten aus der Ferne die eingestellten Temperaturen von Kühlschränken und Tiefkühlgeräten und erhöhten sie bis auf 70 °C. Darin lagerten Tausende Produkte.
Das Medium berichtet unter Berufung auf lokale Zeitungen von Schäden in Höhe von mehreren Hunderttausend Kronen und von Schließungen, die mehrere Stunden dauerten. Auch einige Kassen seien angeblich unbrauchbar geworden, doch der Zusammenhang dieser Störung mit dem Angriff ist nicht geklärt.
Von Schweden zu den übrigen Supermärkten Europas
Zeitgleich wurden ähnliche Vorfälle in Belgien und Luxemburg gemeldet, während weitere Meldungen Irland und Estland betreffen. Zum estnischen Fall verweist Tgcom24 auf den öffentlich-rechtlichen Sender ERR: Die Eindringlinge hätten das Steuerungssystem einer großen Handelskette erreicht und ein Tiefkühlgerät auf 50 °C eingestellt.
In Belgien sind laut Berichten Dutzende Filialen von Spar, Delhaize und Carrefour betroffen. In Frankreich haben die Ermittlungen die Kompromittierung von rund 700 Kühleinheiten bei Intermarché, Coopérative U, Carrefour, Leclerc und Monoprix nachgezeichnet. Die Zahl bezieht sich auf Geräte, nicht auf Supermärkte.
Der gemeinsame Nenner ist die Fernsteuerung der Kühltechnik: Unbefugter Zugriff auf die Temperaturverwaltung kann die Kühlkette unterbrechen, mit Folgen für die Waren und die Kontinuität des Verkaufs. Die Ähnlichkeiten zwischen den Vorfällen reichen jedoch nicht aus, um sie einer einzigen Gruppe zuzuordnen.
Welche Systeme betroffen sind und welche Rolle die Internetanbindung spielt
Bei den französischen Angriffen berichtet Claroty über die Erklärung von Intermarché, wonach die Angreifer Danfoss-Systeme erreicht und die Temperaturen bis auf 50 °C verändert hätten. Die Handelskette nannte 150 betroffene Filialen.
Im Update vom 13. Oktober berichtet Claroty außerdem, dass ein Hinweis des CERT-FR den Kreis auf Copeland XWEB und Dixell XWEB ausgeweitet habe, zusätzlich zu den Serien Danfoss AK-SM und AK-SC, und dabei zahlreiche Kompromittierungen gemeldet worden seien. Dabei handelt es sich um Plattformen zur Überwachung und Verwaltung von Kühl- und Klimaanlagen. Für die schwedischen Vorfälle nennt der Bericht von Tgcom24 keine Modelle oder Versionen.
Die Erreichbarkeit von Verwaltungskonsolen aus dem Internet ist ein konkretes Risiko. In seiner Untersuchung zum Danfoss AK-SM 800A hatte Team82 über Censys 2.765 öffentlich erreichbare Geräte ermittelt. Das ist ein Maß für die erreichbare Angriffsfläche, nicht eine Zahl der Opfer von Angriffen. Es ist nicht geklärt, wie viele der erfassten Systeme anschließend aktualisiert oder aus der direkten Erreichbarkeit entfernt wurden.
Die bekannten CVE und Maßnahmen für Betreiber
Die Untersuchung von Team82 zu den Danfoss-Controllern beschreibt Schwachstellen in der Weboberfläche, belegt aber nicht, dass sie bei den Angriffen auf Supermärkte ausgenutzt wurden. Claroty stellt klar, dass die Zugangsmethode, die bei den französischen Vorfällen genutzt wurde, zum Zeitpunkt des Berichts noch nicht bekannt war.
Zwei dokumentierte Schwachstellen betreffen die Serie Danfoss AK-SM8xxA in Versionen vor 4.3.1:
- CVE-2025-41451 ermöglicht nach der Authentifizierung die Remote-Ausführung von Code über eine Command Injection in den Feldern der E-Mail-Benachrichtigungskonfiguration.
- CVE-2025-41452 erlaubt einem authentifizierten Benutzer, die Konfiguration der Weboberfläche zu verändern, mit möglicher Dienstunterbrechung. Der CVSS-v3-Wert liegt bei 5,4: Er drückt die technische Schwere aus, nicht einen Nachweis der Ausnutzung.
Laut Team82 hat Danfoss beide Schwachstellen in der Release R4.3.1 behoben. Die Untersuchung beschreibt außerdem einen versteckten Mechanismus namens „code-of-the-day“, der sich zur Umgehung der regulären Authentifizierung nutzen lässt. Dieses Ergebnis benennt jedoch nicht die Technik, die in den berichteten Fällen eingesetzt wurde.
Für Betreiber dieser Anlagen hat das CERT-FR laut Claroty als Priorität genannt, die direkte Erreichbarkeit aus dem Internet zu beseitigen. Claroty empfiehlt außerdem, die Geräte zu erfassen, die Administration auf vertrauenswürdige Netze oder über VPN geschützte Zugänge zu beschränken und Betriebsnetze zu segmentieren. Bei den von beiden CVE betroffenen Danfoss AK-SM8xxA behebt das Update auf R4.3.1 genau diese Schwachstellen; es sollte jedoch mit dem Schutz der Fernzugänge kombiniert werden.
