- In de nacht van 11 op 12 oktober namen aanvallers de koelinstallaties van honderden Franse supermarkten over. Koelkasten en vriezers liepen op tot wel 50°C.
- Het ging niet om één kapotte koelkast, maar om dezelfde aanval in honderden winkels tegelijk. Niet de inbraak was het probleem, maar de verspreiding.
- Leveranciers krijgen toegang om “hun systemen te monitoren”, maar kunnen daarmee vaak ook alles bedienen. Scheid meekijken van bedienen, en zet bediening alleen aan als het nodig is.
- Begin met één systeem: pas de vijf stappen van Zero Trust toe op één koel- of gebouwsysteem dat je leverancier beheert.
“Waarom zou je een koelkast hacken?”
Die vraag kregen we twee jaar geleden het vaakst, toen onze SOC-trainees koel- en watersystemen hackten voor Hack the Hospital. Een terechte vraag: ze hadden een koelsysteem overgenomen, maar praktijkvoorbeelden waren er nog nauwelijks. De meeste mensen zagen het als een slimme oefening, maar niet als een echt risico. Afgelopen maandag lieten honderden Franse supermarkten zien dat het wel degelijk een risico is.
Ben je CIO, dan heb jij het contract voor de koeling, klimaatbeheersing of het gebouwbeheer van je organisatie waarschijnlijk niet getekend. Dat deed facilitair, of operations, of de leverancier regelde het bij de installatie. Juist daarom gaat deze aanval jou aan. Het doelwit was een systeem waar iedereen op leunt, maar dat extern wordt onderhouden en waar normaal gesproken niemand naar omkijkt.
Wat er gebeurde
In de nacht van zondag 11 op maandag 12 oktober namen aanvallers de koelregelaars over in supermarkten in heel Frankrijk. In plaats van te koelen, draaiden de systemen hun ingebouwde ontdooiprogramma. Bij openingstijd was het in sommige koelkasten en vriezers 50°C. Voorraad moest worden weggegooid en er werden branden gemeld.
Getroffen ketens zijn onder meer Intermarché, E.Leclerc, Netto en Coopérative U. Ook Carrefour en Monoprix worden in berichten genoemd. Intermarché-topman Thierry Cotillard schatte het verlies op “tientallen miljoenen euro’s landelijk, op één dag”. Eén winkel in de Elzas meldde €220.000 schade. Het OM in Parijs is een onderzoek gestart en ook het Franse cyberagentschap ANSSI is ingeschakeld.
De regelaars kwamen van de Deense fabrikant Danfoss en draaiden naar verluidt oudere versies van de besturingssoftware. Volgens Intermarché trof de aanval vermoedelijk een dienstverlener die de koeling in de winkels beheert. Hoe de aanvallers binnenkwamen, is nog niet bekend.
Wat we wel weten: in 2025 zijn twee kwetsbaarheden in deze serie regelaars gepubliceerd. En op de dag van de aanval telde onderzoeker Baptiste Robert van Predicta Lab ruim 2.700 Danfoss-systemen die via internet bereikbaar waren, waarvan zo’n 1.600 in Frankrijk.
En Albert Heijn?
In hetzelfde weekend haalde Ahold Delhaize systemen offline na wat het bedrijf een cybersecurity-incident noemt. In Nederland kon Albert Heijn geen onlinebestellingen bezorgen, toonden elektronische prijsbordjes in de winkels verkeerde prijzen en lagen sommige distributiecentra stil.
Sommige media legden een verband tussen de twee incidenten. Ahold Delhaize ziet daar geen reden voor, en tot nu toe wijst ook niets erop.
Waarom dit een OT-verhaal is
Voor de meeste organisaties is een koelkast geen computer, maar apparatuur. Die valt onder het facilitaire budget, niet onder IT. Juist dat maakt hem interessant voor een aanvaller:
Iemand anders beheert het
Winkels hebben zelden koeltechnici in huis, dus beheert een dienstverlener de regelaars op afstand.
De software wordt zelden bijgewerkt
De koeling doet het, en updaten is het werk van een ander.
Niemand kijkt ernaar
Staat het niet op de assetlijst van het IT-team, dan staat het ook op niemands monitoringscherm.
De schade is fysiek
Bedorven voedsel, brandgevaar en lege schappen, in plaats van een paar versleutelde bestanden.
Hetzelfde geldt voor airconditioning. Vervang “koelkast” door de klimaatbeheersing van een operatiekamer, of door het water voor sterilisatie, en je hebt de scenario’s uit onze Hack the Hospital-demo. In het eerste nemen aanvallers via een gedeelde onderhouds-VPN de HVAC-regelaar over die lucht en temperatuur regelt. In het tweede misbruiken ze het gebouwbeheersysteem om te knoeien met waterdruk en desinfectie.
Eén nacht, honderden winkels
Eén kapotte koelkast bezorgt één filiaalmanager een vervelende ochtend. Wat deze aanval zo duur maakte, was de reikwijdte: hetzelfde commando, in honderden winkels, allemaal in dezelfde nacht.
Signaal
Dat is de echte les. Je kunt niet garanderen dat een aanvaller nooit in een koelregelaar komt. Software veroudert, kwetsbaarheden worden gepubliceerd, en leveranciers worden gehackt. Wat je wel in de hand hebt, is hoe ver één inbraak reikt. Zijn de regelaars van elke winkel alleen bereikbaar via één gecontroleerde route, en alleen voor de mensen en systemen die erbij moeten? Dan blijft een inbraak op één plek. Kom je via één toegangspunt bij elke winkel, dan komt een aanvaller daar ook.
Inperken komt eerst. Monitoring is de tweede laag, en ook die had hier verschil gemaakt. Een koelregelaar meldt voortdurend wat hij doet: temperaturen, instellingen, ontdooicycli. Urenlange ontdooicycli in honderden winkels in dezelfde nacht: afwijkender gedrag bestaat bijna niet. Het signaal was er urenlang. Maar om drie uur ’s nachts, bij een systeem buiten het zicht van IT, keek niemand.
Ziekenhuizen, fabrieken en distributiecentra draaien dag en nacht door, en aanvallers weten precies wanneer de mensen die erop letten naar huis gaan. Beperk dus wat een aanvaller kan bereiken, en zorg dat iemand het merkt als hij het probeert.
Je leverancier is onderdeel van je netwerk
Volgens Intermarché liep de aanval vermoedelijk via een dienstverlener die de koeling in de winkels beheert. Klopt dat, dan is het een bekend verhaal: je OT-beveiliging is zo sterk als de toegang op afstand die je leveranciers gebruiken.
Die toegang bestaat niet voor niets. Een supermarktketen kan niet voor elke aanpassing aan een vriezer een monteur naar elke winkel sturen. Een ziekenhuis kan niet op elke verdieping een HVAC-specialist neerzetten. Beheer op afstand bespaart tijd en geld. Vaak staat het zelfs als voorwaarde in het contract: geen monitoring op afstand betekent geen gegarandeerde reactietijd en geen garantie. Dus tekent de business, en hoort IT er misschien nooit van.
Het probleem zit in hoe die toegang meestal is ingericht:
Meekijken is ook bedienen
De leverancier vraagt toegang om “zijn” systeem te monitoren. In de praktijk kan dezelfde verbinding die temperaturen uitleest ook instellingen wijzigen. Monitoringdata hoeft alleen naar buiten. Bediening hoort via een aparte verbinding te lopen die alleen aangaat als het nodig is.
Altijd aan en gedeeld
Eén VPN of remote-toegangstool die permanent openstaat, vaak met dezelfde login voor alle klanten van de leverancier.
Langs de firewall
Sommige leveranciers zetten hun eigen 4G-router of cloudgateway naast de machine. Daarmee gaan ze volledig om je netwerkbeveiliging heen.
Nooit meer naar gekeken
Ingesteld bij de installatie en daarna vergeten.
De hack bij Target in 2013 begon met netwerkinloggegevens die waren gestolen bij een installateur van koel- en klimaatsystemen. Die installateur had toegang voor facturatie en projectbeheer, en van daaruit bereikten de aanvallers de kassasystemen in de winkels van Target. Wat leverancierstoegang zo gevaarlijk maakt, is het hefboomeffect: via één gehackte leverancier kom je bij elke klant en elke locatie die eraan hangt.
Vragen voor je leverancier
Een paar vragen die je deze week aan een leverancier kunt stellen:
- Welke van onze systemen kunnen jullie bereiken, en vanaf waar?
- Staat jullie toegang altijd open, of alleen wanneer jullie die nodig hebben?
- Werken jullie monteurs met persoonlijke accounts, of met één gedeelde login?
- Als jullie eigen systemen gehackt worden, wat kan een aanvaller dan bij ons?
Die laatste is de ongemakkelijke vraag. De meeste contracten met leveranciers regelen reactietijden en beschikbaarheid. Bijna geen enkel contract regelt wat er gebeurt als de leverancier zelf de ingang voor een aanvaller wordt.
IT en OT zijn één attack surface
Het is verleidelijk om dit af te doen als “OT-probleem” en door te schuiven naar facilitair. Dan mis je de helft van het verhaal.
Aanvallen op OT beginnen zelden in OT. Ze beginnen meestal gewoon in IT: een gestolen wachtwoord, een phishingmail, een VPN-account dat nooit is uitgezet. In Hack the Hospital begint de aanval op de watersystemen met gelekte VPN-inloggegevens: een voet tussen de deur in IT die eindigt in fysieke schade. Wordt de route via de leverancier in Frankrijk bevestigd, dan begon ook die aanval aan de IT-kant: bij de eigen systemen van de leverancier en het beheerplatform dat hem met honderden winkels verbindt.
Het werkt ook andersom. Wat het incident bij Albert Heijn ook veroorzaakte, de gevolgen bleven niet beperkt tot een server. Schapkaartjes toonden verkeerde prijzen, distributiecentra lagen stil en schappen bleven leeg. Als IT uitvalt, valt de fysieke operatie mee uit.
Wie IT- en OT-beveiliging opsplitst in aparte teams, tools en budgetten, laat daarom een gat achter op precies de verkeerde plek. De aanvaller gaat van een kantoorlaptop of leveranciersaccount naar een regelaar. En juist bij de overdracht tussen het IT-team en het OT-team kijkt niemand.
Het antwoord: één overzicht over beide, met dezelfde Protect Surfaces, hetzelfde beleidsmodel en dezelfde monitoring, of het nu om een mailserver gaat of een vriezer. Zo draaien wij MDR Prevent™ voor IT, OT en cloud.
De vraag die je directie gaat stellen
We zijn niet blij dat dit is gebeurd. Winkeliers zijn hun voorraad kwijt, voedsel is verspild, en medewerkers haalden maandag vriezers leeg in plaats van klanten te helpen.
Maar het verandert wel het gesprek. Tot deze week klonk een aanval op koel- of gebouwsystemen voor de meeste directies theoretisch. Nu was het op het journaal, met lege koelkasten en een schadeschatting van tientallen miljoenen. Reken erop dat deze vraag in je volgende directievergadering op tafel komt: kan dit ons ook overkomen, en hoe ver zou het zich verspreiden?
Waar je begint: Zero Trust voor één koelkast
Je hoeft deze week niet heel OT op te lossen. Kies één systeem dat hierop lijkt: een koel-, klimaat- of gebouwsysteem dat een leverancier voor je beheert.
Zero Trust klinkt al snel als een groot programma voor grote IT-omgevingen. Toegepast op één systeem is het verrassend concreet. Dit zijn de vijf stappen die John Kindervag definieerde toen hij Zero Trust bedacht, en die wij bij elke klant volgen:
Definieer de Protect Surface.
Benoem het systeem en wat je verliest als het stilvalt, in geld en in bedrijfsvoering. Dat bepaalt wat je als eerste beschermt.
Breng de transaction flows in kaart.
Waarmee moet het systeem echt communiceren? Meestal de apparaten die het aanstuurt, een monitoringsysteem en de supportverbinding van de leverancier. Dat is een korte lijst, en al het andere is verdacht.
Ontwerp de omgeving.
Plaats het achter een policy enforcement point, zodat het niet rechtstreeks vanaf internet of vanuit het kantoornetwerk bereikbaar is.
Stel het beleid op.
Sta alleen de stromen uit stap 2 toe. Monitoringdata gaat alleen naar buiten. De leverancier kan dit systeem alleen bedienen wanneer dat nodig is, met een eigen account. Een inbraak bij de leverancier bereikt dan niet meer alle locaties tegelijk.
Monitor en onderhoud.
Houd het verkeer en het gedrag in de gaten. Komt er toch iemand binnen, dan levert een ontdooicommando om drie uur ’s nachts een melding op, geen verrassing bij openingstijd.
Hiervoor hoef je de regelaars niet te vervangen of op een firmware-update te wachten. Je verandert alleen wie erbij kan en hoe ver een inbraak komt. Bij systemen als deze is inperken belangrijker dan patchen. Onze Field CTO Rob Maas legt uit waarom in Patchen kan niet je primaire OT-control zijn.
Zie het met eigen ogen
Hack the Hospital laat deze aanvallen live zien op echte OT-systemen: hoe een aanvaller binnenkomt via onderhoudstoegang, wat dat doet met klimaat- en watersystemen, en wat hem tegenhoudt. Dat kan bij jou op locatie, op ons hoofdkantoor in Zaltbommel of online.
Laatste signaal
Systemen waar iedereen van afhankelijk is en die door een ander worden onderhouden, horen niet onbewaakt te blijven. En als de inbraak er komt, moet die in één winkel blijven. De inbraak kun je niet altijd tegenhouden. De verspreiding wel.
Bronnen
Neem contact op
Wil je weten hoe ver een inbraak in je gebouwsystemen zou komen?
Neem contact met ons op, dan brengen we het samen met je in kaart.
Neem contact opFAQ
Heeft de storing bij Albert Heijn te maken met de Franse koelkasthack?
Daar is geen bewijs voor. Volgens Ahold Delhaize is er geen reden om een verband tussen de twee incidenten aan te nemen.
Hoe beveilig je leverancierstoegang tot OT-systemen?
Scheid meekijken van bedienen: monitoringdata gaat alleen naar buiten, en bediening loopt via een aparte verbinding die pas aangaat als de leverancier die nodig heeft. Geef elke monteur een persoonlijk account in plaats van een gedeelde login, beperk elke leverancier tot de systemen die hij ondersteunt, zet die systemen achter een policy enforcement point zodat ze niet rechtstreeks vanaf internet bereikbaar zijn, en monitor op afwijkende commando’s. Een inbraak bij de leverancier bereikt dan niet meer alle locaties tegelijk.
Hoe kwamen de aanvallers in de koelsystemen?
Dat is niet bevestigd. Volgens de berichtgeving draaiden de Danfoss-regelaars oudere software en werden ze beheerd door een dienstverlener. In 2025 zijn kwetsbaarheden in deze serie regelaars gepubliceerd, en op de dag van de aanval waren duizenden van deze systemen via internet bereikbaar.
Waarom is dit ook buiten retail relevant?
Ziekenhuizen, fabrieken, datacenters en logistieke knooppunten zijn allemaal afhankelijk van koel-, klimaat- en watersystemen die vaak op afstand door een derde partij worden beheerd. Het patroon is hetzelfde: cruciaal voor de bedrijfsvoering, buiten het zicht van IT, en bereikbaar van buitenaf.
Wat is de eerste stap?
Maak een lijst van de gebouw- en koelsystemen die je leveranciers op afstand beheren. Controleer welke vanaf internet bereikbaar zijn, en wat je kwijt bent als ze ’s nachts uitvallen.
Rob Maas is Field CTO bij ON2IT, onderdeel van het CTO Office onder CTO Lieuwe Jan Koning. Hij werkt aan productstrategie en architectuur voor AUXO, MDR en ZTaaS, en geeft vorm aan de Zero Trust customer journey en de AI-featureroadmap van ON2IT. Daarnaast is hij Palo Alto Networks Cyberforce Hero.