Redaktionelle Analyse · Primärquellen
Frankreich bestätigt zahlreiche kompromittierte Kühlungssteuerungen; Angriffe könnten andauern
CERT-FR hat den Vorfall bei französischen Supermärkten deutlich ausgeweitet: Zahlreiche Kompromittierungen von Danfoss-, Copeland- und Dixell-Steuerungen sind bestätigt, während die Angriffskampagnen wahrscheinlich noch laufen.
Vorfall, Offenlegung und Aktualisierung
Der betriebliche Vorfall begann in der Nacht vom 11. auf den 12. Oktober 2026. Am 12. Oktober bestätigte Coopérative-U-Präsident Dominique Schelcher öffentlich Cyberangriffe auf Kälteerzeugungsanlagen mehrerer Filialen [1]. CERT-FR veröffentlichte am selben Tag die erste Warnung und ergänzte sie am 13. Oktober um weitere angegriffene Geräte. Das offizielle Bulletin meldet nun zahlreiche Kompromittierungen von Danfoss-AK-SM- und AK-SC-Steuerungen sowie Copeland/Dixell-xweb-Systemen [2].
Was sich geändert hat
Die Aktualisierung erweitert die Exposition deutlich über einen Händler und eine Herstellerfamilie hinaus. CERT-FR hält fortgesetzte Angriffskampagnen für wahrscheinlich und warnt, dass ein Werksreset nicht genügt, wenn ein nicht unterstütztes oder ungepatchtes Gerät weiterhin direkt aus dem Internet erreichbar ist: Eine erneute Kompromittierung ist dann wahrscheinlich [2]. Es bleibt ein bestätigter Einbruch in Betriebstechnik; die öffentlichen Primärquellen belegen weder eine bestimmte ausgenutzte CVE noch Malwarefamilie oder Akteur.
Wer die Exposition prüfen sollte
Lebensmitteleinzelhändler, Kühlhaus- und Logistikbetreiber, Gebäudeteams und Kältedienstleister sollten betroffene Produktfamilien, öffentliche IP-Erreichbarkeit, Firmware am Lebensende und Fernzugriffspfade Dritter erfassen. Aktivitäten mindestens seit dem 11. Oktober sind auf Änderungen an Temperatursollwerten, Abtauplänen, Alarmen, Benutzern und Netzwerkkonfiguration zu prüfen. Lieferantenverwaltete Anlagen gehören dazu, auch wenn sie außerhalb des Unternehmens-IT-Inventars liegen.
Reaktion und Missionsprioritäten
Für nicht kompromittierte Einheiten empfiehlt CERT-FR, direkte Internetexposition zu entfernen, die gesamte Konfiguration zu prüfen und Zugriff nur über ein sicheres VPN oder geschütztes Netz wiederherzustellen. Kompromittierte Einheiten sollen getrennt, auf Werkseinstellungen zurückgesetzt, neu konfiguriert und vor Wiederverbindung aktualisiert werden [2]. Soweit möglich, zuerst Beweise aus Steuerungen, Firewalls, Identitäten und Lieferantenzugängen sichern. Temperaturen und Produktsicherheit unabhängig prüfen, manuellen Betrieb vorbereiten und Sicherheit, Gebäudetechnik, Lebensmittelsicherheit, Recht, Kommunikation und Lieferanten koordinieren. NIST verknüpft die Reaktion mit Risikomanagement und Wiederherstellung [4].
Governance, Unbekannte und Konfidenz
Die Leitung sollte unterstützte Firmware, geänderte Standardpasswörter, strenge Sicherheitsmodi, unabhängige Protokollierung, vertraglichen Vorfallszugriff und getestete Isolationsverfahren verlangen. Genaue Opferzahl, Erstzugang, Identität und Ziel des Angreifers sowie sämtliche physischen Folgen sind in den geprüften Primärquellen nicht verifiziert. Die Konfidenz ist hoch für die Kompromittierung mehrerer Produktfamilien und das Risiko erneuter Angriffe, aber mittel für Gesamtumfang und Ursache.
Quellen
- Dominique Schelcher (Coopérative U), public incident statement on X, 12 October 2026 (accessed 15 October 2026)
- CERT-FR, CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, initial version 12 October and update 13 October 2026 (accessed 15 October 2026)
- Centre for Cybersecurity Belgium, Warning: Security incidents in France targeting remote controllers for refrigeration, last update 13 October 2026 (accessed 15 October 2026)
- NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, final, April 2025 (accessed 15 October 2026)