In de nacht van zondag op maandag zijn koelinstallaties in tientallen Belgische en Zweedse supermarkten op afstand gemanipuleerd. Onder meer Delhaize, Carrefour, Spar en slagerijgroep De Laet & Van Haver zijn getroffen. Volgens koelinstallateur Sabcobel gaat het om hetzelfde mechanisme als bij de grote aanval op Franse supermarkten vorige maand. Opvallend is dat er vooralsnog geen losgeld wordt geëist, wat vragen oproept over de werkelijke motieven achter deze gerichte sabotage.
Bij Delhaize gaat het om zo’n veertig winkels in Vlaanderen en Wallonië, voornamelijk zelfstandige filialen zoals Shop & Go- en Proxy-vestigingen. Carrefour België telt voorlopig vijftien getroffen locaties, terwijl Colruyt Group meldt dat ook ongeveer vijf Spar-superettes problemen hebben. Dat zijn zelfstandig uitgebate winkels met eigen koeltechnici. Bij Colruyt en Okay zelf werken de koelingen gewoon. Ook in Zweden rapporteerden ketens als ICA en Coop gelijktijdige storingen waarbij temperaturen vanaf afstand naar 50 graden werden opgeschroefd.
Delhaize spreekt zelf nog niet van een cyberaanval, maar houdt het op een IT-incident. “We onderzoeken wat er aan de hand is”, zegt woordvoerster Sarah De Meester. Het lijkt vooral te gaan om Shop & Go-winkels bij Q8-tankstations, Proxy-winkels en vestigingen langs snelwegen. Ondertussen loopt de schade voor sommige uitbaters flink op. Zo schat de zaakvoerder van de Delhaize in Hoepertingen het verlies op 60.000 euro aan weggegooid eten. De Delhaize in Hoeilaart bleef tot 12 uur dicht en spreekt van minstens 100.000 euro schade.
Verdampers op afstand in ontdooimodus
Volgens Stephan Moelans, CEO van koelinstallateur Sabcobel, zetten de aanvallers rond middernacht de verdampers van de installaties op afstand in ontdooimodus. Daardoor warmen koelkasten en diepvriezers op. Sabcobel weet van een twintigtal getroffen installaties, op de honderden die het bedrijf in België beheert. Ook bij De Laet & Van Haver werden om 3 uur ’s nachts parameters van buitenaf aangepast. De slagerijgroep kon het systeem op tijd pauzeren.
Een simpele patch helpt volgens Moelans niet; de installaties moeten fysiek worden aangepast. “De eenvoudigste oplossing is de frigo’s over een beveiligde internetverbinding te beheren. De meeste van onze klanten zijn daarop overgeschakeld sinds de aanval in Frankrijk.”
Eerder honderden Franse winkels geraakt
In oktober liepen de temperaturen in koelingen van honderden supermarkten in Frankrijk op tot zo’n 50 graden. Bij Intermarché en Netto ging het om 150 tot 300 filialen, bij Carrefour om ongeveer tachtig. Op enkele locaties ontstonden zelfs branden.
De aanvallers misbruikten systemen voor remote beheer, waaronder apparatuur van Danfoss, Copeland en Dixell. Een deel daarvan draaide op verouderde firmware of was rechtstreeks via internet bereikbaar. Het Franse CERT-FR adviseerde onder meer om internettoegang af te sluiten, standaardwachtwoorden te vervangen en beheer alleen via een beveiligd netwerk toe te staan. Een dader is nog niet geïdentificeerd.
Koelinstallaties vallen onder operationele technologie, een domein waar beveiliging al langer een zorgpunt is. Delhaize kreeg onlangs ook al met een ander groot incident te maken, toen een cybersecurity-incident bij Ahold Delhaize onder meer de bevoorrading verstoorde. De getroffen ketens zijn de situatie nog volop aan het onderzoeken.
Geen losgeld: wat bezielt de aanvallers?
Het ontbreken van een losgeldeis of publieke claim doet op het eerste gezicht denken aan digivandalisme: kwetsbare apparaten opsporen en simpelweg de parameters ontregelen. Toch wijst de gelijktijdige coördinatie over landsgrenzen heen, na Frankrijk nu tegelijkertijd België en Zweden, op een gerichtere campagne met strategische motieven.
In tegenstelling tot traditionele IT-aanvallen waarbij data wordt versleuteld of gestolen, richt OT-sabotage zich direct op de fysieke wereld. Door koelketens te breken ontstaat niet alleen directe voorraadschade, maar stokt ook de operationele bevoorrading. De actie toont aan hoe kwetsbaar de ‘just-in-time’ voedselketen is aan het uiterste uiteinde van het netwerk.
Daarnaast passen dit soort acties in het profiel van statelijke actoren of daaraan gelieerde groeperingen die stresstests uitvoeren op civiele infrastructuur. Het doel is daarbij vaak niet financieel gewin, maar het peilen van responstijden van technici, het meten van economische frictie en het in kaart brengen van ketenafhankelijkheden met minimale inspanning.
Tot slot legt het incident de kwetsbaarheid van het franchisemodel bloot. Terwijl centrale distributiecentra en corporate netwerken zwaar beveiligd zijn met continue monitoring en netwerksegmentatie, regelen franchisenemers en zelfstandige superettes hun gebouwbeheer via lokale installateurs en open remote-poorten. Die decentrale randapparatuur blijkt de ideale achterdeur naar fysieke verstoring.
Lees ook: Datalek bij DEVA Logistics groeit uit tot ketencrisis