Cyberaanval zet koelsystemen Franse supermarkten op 50 graden

Een cyberaanval zette in de nacht naar maandag de koel- en vriesinstallaties van meerdere Franse supermarktketens uit. In plaats van te koelen begonnen de systemen juist warmte af te geven; sommige liepen op tot 50 graden Celsius. Winkels troffen de schade pas aan bij het openen en moesten een deel van hun voorraad weggooien.

Honderden winkels, meerdere ketens

Het gaat om honderden winkels verspreid over heel Frankrijk. Onder de getroffen ketens vallen Intermarché, E.Leclerc, Netto en Coopérative U, ook bekend als Super U. Ook groothandel Metro en kleinere zelfstandige ondernemers, zoals slagerijen, melden hinder.

Dat de aanval zoveel verschillende, onderling concurrerende ketens tegelijk raakte, is ongewoon. Een gewone datalek treft meestal één bedrijf en één klantenbestand. De kassa’s en webshops van de ketens draaien los van elkaar; het probleem zit in de techniek achter de koeling zelf. Industriële koel- en vriesinstallaties in winkels worden vaak op afstand bewaakt en bijgestuurd via internetverbindingen, zodat een beheerder vanuit een kantoor kan zien of een vriezer de juiste temperatuur haalt. Diezelfde verbinding maakt zo’n systeem ook een doelwit: wie toegang krijgt tot de besturing, kan de temperatuur net zo makkelijk omhoog als omlaag zetten.

Schade in de miljoenen

De financiële schade door bedorven verse producten en diepvriesvoedsel loopt naar schatting op tot miljoenen euro’s. Eén winkelier in de Elzas meldt alleen al zo’n 220.000 euro aan verlies. Bij een enkele zelfstandige winkel is dat al een fors deel van een jaaromzet; opgeteld over honderden winkels loopt de teller snel op. Vlees, zuivel en diepvriesproducten die niet meer koud genoeg zijn geweest, mogen uit voedselveiligheid niet meer verkocht worden en moeten weg, ook als de verpakking er nog goed uitziet.

Los incident in Nederland en België

Los van de Franse aanval kregen ook Nederlandse en Belgische supermarkten te maken met een cybersecurity-incident. In Nederland ging het om Albert Heijn, Etos en Gall & Gall, in België om Delhaize, met gevolgen voor onder meer prijsdisplays en bezorgsystemen. Een prijsdisplay is het schermpje in het schap dat de actuele prijs toont; een bezorgsysteem plant en volgt de boodschappen die een klant online bestelt. Dat zijn andere systemen dan een koelinstallatie, met andere gevolgen voor een klant.

Voor klanten in Nederland en België bleef het bij een kassa of webshop die niet goed werkte; bedorven voorraad zoals in Frankrijk kwam er niet bij.

Techniek die klanten nooit zien

Koelinstallaties, kassa’s, prijsdisplays en bezorgsystemen horen bij wat specialisten operationele techniek noemen: apparatuur die een winkel laat draaien, los van de computers waarop klantgegevens of bestellingen staan. Zulke systemen zijn van oudsher niet gebouwd met het oog op internetaanvallen, omdat ze lang geïsoleerd werkten. Nu ze op afstand te bedienen zijn, is een storing erin ook een mogelijk doelwit geworden, naast een gewoon technisch mankement. Bij deze systemen zie je dat aan een vriezer die warm wordt of een kassa die vastloopt, niet aan een gestolen wachtwoord.

Voor de getroffen Franse ketens blijft de teller voorlopig oplopen: de geschatte schade van miljoenen euro’s omvat alleen al wat er tot nu toe aan voorraad is weggegooid. Reparatie van de getroffen systemen zelf en eventuele vervolgkosten staan daar nog los van.