Amerikaanse federale instanties hebben een gezamenlijke cyberbeveiligingswaarschuwing uitgegeven nadat een reeks aanvallen heeft aangetoond hoe hackers commerciële koelapparatuur op afstand kunnen manipuleren. De dreiging strekt zich uit buiten supermarkten en omvat ook ziekenhuizen, voedselleveranciers, transportbedrijven en andere organisaties die afhankelijk zijn van gecontroleerde temperaturen.
De advisory , uitgebracht op 5 november 2026, werd uitgegeven door de FBI en de Cybersecurity and Infrastructure Security Agency (CISA), samen met de ministeries van Volksgezondheid en Human Services, Landbouw en Transport. Functionarissen waarschuwden dat aanvallers beveiligingszwakke plekken in industriële koelcontrollers en koelketenmonitoringsystemen misbruiken.
Deze apparaten stellen bedrijven in staat temperaturen te monitoren, koelcycli te beheren en apparatuur op afstand aan te passen. Controllers die direct aan het internet zijn blootgesteld, verouderde software draaien of zwakke authenticatie gebruiken, kunnen aanvallers echter de mogelijkheid bieden om hun werking te verstoren.
Volgens de instanties kunnen kwaadwillenden authenticatie-omzeilingskwetsbaarheden, fouten in code-injectie en onveilige configuraties misbruiken om temperatuurinstellingen te wijzigen of continue ontdooicycli te activeren. Sommige aanvallen kunnen ook de temperatuurmonitoring verstoren, waardoor het voor operators moeilijker wordt om gevaarlijke omstandigheden te identificeren.
De gevolgen kunnen verder reiken dan bedorven voorraad. Federale functionarissen waarschuwden dat beschadigde koelsystemen schade aan apparatuur kunnen oplopen, de operationele levensduur kunnen verkorten en het brandrisico kunnen vergroten. In gezondheidszorg- en farmaceutische instellingen kunnen onjuiste opslagtemperaturen ook de veiligheid van temperatuurgevoelige producten bedreigen.
De waarschuwing volgt op twee golven cyberaanvallen op Europese supermarkten. In oktober zouden hackers koelapparatuur hebben gecompromitteerd in naar schatting 250 tot 350 winkels in Frankrijk, waarbij ze op afstand de koelinstellingen veranderden en bedrijven dwongen producten weg te gooien.
Verdere aanvallen begin november troffen meer dan 115 winkels in zes Europese landen. Sommige koelinstallaties waren naar verluidt zo ingericht dat ze temperaturen van 50°C bereikten, terwijl andere in ontdooimodus werden gedwongen of niet meer normaal werkten.
De dreiging bereikte ook medische faciliteiten. Op 3 november bevestigde de nationale bloeddienst van Frankrijk, Établissement Français du Sang (EFS), dat koelapparatuur op drie locaties was getarget. Monitoringalarmen waarschuwden medewerkers, die de getroffen voorraden veiligstelden voordat er bloedproducten of monsters verloren gingen.
De FBI en CISA benadrukten dat organisaties niet mogen aannemen dat koelapparatuur veilig is alleen omdat deze buiten conventionele bedrijfs-IT-systemen opereert. Internetverbonden industriële controllers kunnen beveiligingsrisico’s vormen wanneer ze niet goed worden onderhouden of beschermd.
De instanties raden aan om koelcontrollers uit directe openbare internettoegang te halen, noodzakelijke externe verbindingen achter firewalls te beveiligen, standaardwachtwoorden te wijzigen en beschikbare beveiligingsupdates te installeren. Ze adviseren ook om operationele technologie te scheiden van bedrijfsnetwerken en veilige temperatuurlimieten en effectieve monitoringswaarschuwingen in te stellen.