Cyberaanval op supermarktkoeling: 3 vragen voor uw bedrijf

In de nacht van 1 op 2 november 2026 liepen koelingen en diepvriezers warm in tientallen Belgische winkels van Delhaize, Carrefour en Spar, en bij kleinere zaken in Nederland en andere Europese landen. Volgens leverancier Danfoss waren de getroffen installaties rechtstreeks via het internet bereikbaar en beveiligd met een standaardwachtwoord.

Deze cyberaanval op de koeling van supermarkten raakt meer dan de retail. Elk bedrijf met een koelcel, verwarming of andere installatie die een leverancier op afstand beheert, kan dezelfde drie vragen stellen: hangt ze aan het internet, staat er nog een standaardwachtwoord op, en krijgt ze nog updates?

In het kort

• Volgens VRT NWS ging het in België om ongeveer 40 winkels van Delhaize, 15 van Carrefour en een vijftal van Spar. HLN telde op 2 november minstens 76 getroffen winkels.
• Carrefour bevestigde een cyberaanval, Delhaize sprak van een IT-incident. Het federaal parket opende een strafonderzoek.
• Het is de tweede golf: op 12 oktober werden in Frankrijk koelregelaars van Danfoss op ontdooien gezet, met temperaturen tot 50 graden.
• Danfoss vroeg zijn klanten op 13 oktober om de systemen los te koppelen van het internet. Wie dat deed, werd volgens de fabrikant niet getroffen.
• Op 2 november was niet bekend wie achter de aanval zat.

Wat gebeurde er in de nacht van 1 op 2 november?

Rond 4 uur ’s ochtends op maandag 2 november gaf Delhaize een waarschuwing uit. In de getroffen winkels liep de temperatuur van koel- en vriesinstallaties op tot 15 graden. Een uitbater van een Proxy Delhaize in Hoepertingen sprak tegenover VRT NWS van 60.000 euro schade, en die kon nog oplopen als alle gekoelde en diepgevroren producten weg moesten.

Dat zijn de cijfers van de eerste dag. De lessen verderop in dit artikel hangen er niet van af: ze gelden ook als de aantallen later nog veranderen.

In Nederland ging het volgens Danfoss vooral om slagerijen en kleine buurtwinkels, niet om grote ketens. Ook een Belgische slagerijketen, De Laet & Van Haver, zag haar koeling geraakt; die draait volgens het bedrijf op systemen van Copeland. Uit voorzorg koppelde de keten ook haar Danfoss-installaties los.

Dezelfde aanval als in Frankrijk?

Volgens Danfoss ging het om hetzelfde soort aanval als enkele weken eerder in Frankrijk. In de nacht van 11 op 12 oktober werden daar koelregelaars van Danfoss in honderden supermarkten op de ontdooistand gezet, waardoor de temperatuur ’s nachts opliep tot ongeveer 50 graden. Volgens beveiligingsbedrijf Sekoia ging het ook om installaties in Spanje, Portugal, Polen, Duitsland en België.

Danfoss bevestigde dat incident en noemde de meeste getroffen toestellen verouderd: ze kregen geen software- of beveiligingsupdates meer. Het Franse CERT waarschuwde op 13 oktober voor compromittering van Danfoss-regelaars en voegde een dag later ook regelaars van Copeland en Dixell toe.

Hoe konden aanvallers de koeling overnemen?

Drie dingen kwamen samen.

1. Beheerschermen op het internet. Koelregelaars hangen vaak aan het internet zodat een koeltechnicus storingen op afstand kan oplossen. Beveiligingsbedrijf Coalition telde tussen 7 september en 6 oktober 2026 minstens 2.624 koelregelaars van Danfoss en Copeland met een loginpagina die voor iedereen bereikbaar was, meldde The Register.
2. Standaardwachtwoorden. Volgens een woordvoerder van Danfoss, geciteerd door de NOS, gebruikten de getroffen systemen in Nederland nog een standaardwachtwoord.
3. Software zonder updates. Onderzoekers van Claroty publiceerden in augustus 2026 kwetsbaarheden in de Danfoss AK-SM 800A en in regelaars van Copeland. Danfoss bracht een update uit, maar oudere modellen krijgen er geen meer.

Dat is geen exotische techniek. Het zijn dezelfde zwakke plekken als bij een vergeten webcamera of een oude server: iets wat aan het internet hangt, met een wachtwoord dat iedereen kent, op software die niemand meer bijwerkt. Hoe u updates organiseert, staat in ons artikel over patchmanagement voor kmo’s.

Loopt uw installatie hetzelfde risico? Drie vragen

Niet alleen supermarkten hebben koelregelaars. Slagerijen, bakkerijen, horeca, apotheken, koelhuizen en logistieke bedrijven werken met dezelfde soort installaties, en kantoren en productiehallen met verwarming, ventilatie en toegangscontrole die op dezelfde manier op afstand beheerd worden. Stel uw installateur drie vragen:

1. Is het beheerscherm rechtstreeks vanaf het internet bereikbaar? Het Franse CERT en Danfoss raden af om zulke beheerinterfaces open op het internet te zetten. Vraag hoe de technicus op afstand aanmeldt.
2. Staat er nog een standaardwachtwoord op? En welke accounts gebruikt de installateur zelf, en wie kent die wachtwoorden?
3. Krijgt de regelaar nog updates? Vraag het merk, het type en de softwareversie. Krijgt het toestel geen updates meer, dan hoort het op een vervangingsplan.

Twijfelt u over het antwoord, of weet niemand het, dan is dat zelf al het belangrijkste antwoord.

Vijf stappen voor een bedrijf met technische installaties

1. Maak een lijst van alle installaties die digitaal gekoppeld zijn: koeling, vriescellen, verwarming, ventilatie, alarm, camera’s.
2. Noteer per installatie wie ze beheert en of dat op afstand gebeurt.
3. Laat standaardwachtwoorden vervangen en schrap accounts die niemand meer gebruikt.
4. Leg afspraken vast in het onderhoudscontract: wie mag aanmelden en hoe, wie installeert updates, en wie verwittigt wie als er iets misgaat.
5. Laat testen wat vanaf het internet zichtbaar is. Een pentest toont of er beheerschermen openstaan die niemand bedoeld had. Voor installaties op de werkvloer beschrijven we de aanpak in ons artikel over een OT-pentest.

Voor voedingsbedrijven komt er een tweede laag bij: wie zijn temperatuurlogging verliest, kan de koelketen niet meer bewijzen. Wat dat voor het FAVV betekent, leest u in ons artikel over cybersecurity in de voedingsindustrie, en voor winkels en horeca in cybersecurity voor retail en horeca.

Fabrikant of klant: wie is verantwoordelijk?

Het ligt voor de hand om naar de fabrikant te wijzen. Er zaten kwetsbaarheden in de regelaars, en oudere modellen krijgen geen updates meer. Danfoss legde de verantwoordelijkheid volgens HLN eerder bij de klanten: het had op 13 oktober gevraagd de systemen van het internet los te koppelen, en volgens de woordvoerder deed het merendeel van de winkels dat en werd dat deel niet getroffen.

Beide kanten kloppen. Een fabrikant moet veilige producten maken en lekken dichten. Maar wie eigenaar is van een installatie, beslist mee hoe ze aangesloten is, wie erop kan en wanneer ze vervangen wordt. Dat is hetzelfde patroon als bij de hack bij eSignFlow: ook bij een leverancier blijft de klant aan zet. Hoe een probleem bij een leverancier uw bedrijf kan stilleggen, beschrijven we in ons artikel over supply-chainaanvallen, en hoe u de continuïteit voorbereidt in een bedrijfscontinuïteitsplan.

Wat staat er bij u open?

Met een pentest van uw infrastructuur gaat Cyberplan na welke systemen van uw bedrijf vanaf het internet bereikbaar zijn, ook beheerschermen van technische installaties die niemand op de lijst had staan. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Vraag de gratis scan aan.

Veelgestelde vragen

Wat gebeurde er met de koeling bij Delhaize en Carrefour?

In de nacht van 1 op 2 november 2026 liep de temperatuur in koel- en vriesinstallaties op in tientallen Belgische winkels van Delhaize, Carrefour en Spar. Carrefour bevestigde een cyberaanval, Delhaize sprak van een IT-incident. Ook in Nederland, Luxemburg, Zweden, Ierland en Estland werden koelsystemen aangevallen. Het federaal parket opende een onderzoek.

Hoe konden hackers de koeling overnemen?

Volgens Danfoss waren de getroffen installaties rechtstreeks via het internet bereikbaar en gebruikten ze een standaardwachtwoord. In Frankrijk ging het in oktober vooral om oudere Danfoss-regelaars die geen updates meer krijgen. Onderzoekers van Claroty waarschuwden in augustus 2026 al voor kwetsbaarheden in zulke regelaars.

Is dit dezelfde aanval als in Frankrijk?

Volgens Danfoss ging het om hetzelfde soort aanval. Op 12 oktober 2026 werden in Frankrijk koelregelaars van Danfoss op ontdooien gezet, met temperaturen tot ongeveer 50 graden. Het Franse CERT waarschuwde op 13 oktober en voegde later ook regelaars van Copeland en Dixell toe. Wie erachter zat, was op 2 november niet bekend.

Is mijn koelinstallatie kwetsbaar?

Dat hangt af van drie dingen: is het beheerscherm rechtstreeks via het internet bereikbaar, staat er nog een standaardwachtwoord op, en krijgt de regelaar nog updates? Vraag uw koeltechnicus naar het merk en type van de regelaar, hoe hij op afstand aanmeldt en of de software bijgewerkt is.

Wie is verantwoordelijk: de fabrikant of de winkel?

Allebei, elk voor een deel. De fabrikant moet lekken dichten en tijdig waarschuwen; Danfoss vroeg op 13 oktober om de systemen los te koppelen van het internet. De eigenaar beslist mee hoe een installatie aangesloten is, wie erop kan en wanneer een toestel zonder updates vervangen wordt.