Twee pro-Russische hackgroepen hebben de verantwoordelijkheid opgeëist voor cyberaanvallen die koelsystemen in supermarkten in heel Europa verstoorden, wat leidde tot aanzienlijke voedselverliezen. Cybersecurityonderzoekers hebben echter de beweringen ter discussie gesteld en er is geen onafhankelijk bewijs aangetoond wie de aanvallen heeft uitgevoerd.
De groepen, NoName057(16) en Z-Pentest Alliance, kondigden hun betrokkenheid naar verluidt aan via berichten op Telegram na een golf van incidenten op 2 november 2026. Beide kanalen werden vervolgens verwijderd, waardoor het moeilijk werd om de verklaringen te verifiëren of het gepresenteerde bewijs te onderzoeken.
NoName057(16) beweerde een database te bezitten met inloggegevens van medewerkers en klanten van de Deense koeltechnologiefabrikant Danfoss. De groep zei een steekproef van meer dan 2.500 records met gebruikersnamen en wachtwoorden te hebben vrijgegeven. De authenticiteit van de vermeende database en de connectie met de koelingsaanvallen zijn nog niet bevestigd.
Z-Pentest Alliance claimde ook betrokkenheid en stelde dat de incidenten langdurige beveiligingszwaktes in industriële apparatuur aan het licht brachten. De groep is eerder in verband gebracht met aanvallen gericht op internetverbonden operationele technologie, waaronder systemen die worden gebruikt voor voedselproductie en opslag.
CyberKnow aan dreigingsintelligentie deelde de verklaringen van de groepen, maar vroeg zich af of zij daadwerkelijk de indringers hadden uitgevoerd of probeerden de eer op te eisen nadat de incidenten internationale aandacht hadden getrokken.
De aanvallen troffen retailers in minstens acht Europese landen, waaronder België, Zweden, Ierland, Luxemburg, Nederland, Estland, Denemarken en Finland. Op sommige locaties zouden aanvallers de koelinstellingen hebben aangepast naar temperaturen tot wel 50°C, terwijl andere systemen in ontdooimodus werden gezet.
Verschillende supermarktketens, waaronder Carrefour, ICA, Coop en Ahold Delhaize, bevestigden verstoringen. Winkels werden gedwongen gekoelde en diepvriesproducten te verwijderen, waarbij sommige bedrijven aanzienlijke financiële verliezen rapporteerden.
De incidenten volgden op soortgelijke aanvallen op honderden Franse supermarkten in oktober. Die eerdere inbraken betrof ook op afstand bestuurbare koelapparatuur, wat zorgen baarde over de beveiliging van systemen die direct met internet zijn verbonden.
Onderzoek van cybersecuritybedrijf Forescout identificeerde bijna 13.000 blootgestelde koelgerelateerde diensten in 99 landen. Velen draaiden verouderde software, waaronder Danfoss-controllers die getroffen waren door eerder bekendgemaakte kwetsbaarheden.
Onderzoekers hebben ook eerdere beweringen gedocumenteerd van aan Rusland gelieerde hacktivisten over koelapparatuur in supermarkten, wijnhuizen, landbouwbedrijven en voedselverwerkende bedrijven. Deze incidenten tonen de interesse van de groepen in dergelijke systemen, maar stellen hun verantwoordelijkheid voor de laatste aanvallen niet vast.
Europese retailers zijn begonnen met het beoordelen van blootgestelde apparatuur, het installeren van beveiligingsupdates en het loskoppelen van kwetsbare koelcontrollers van openbare netwerken. De Zweedse cyberbeveiligingsautoriteiten en andere nationale instanties onderzoeken de incidenten.
Noch NoName057(16) noch Z-Pentest Alliance hebben onafhankelijk geverifieerd bewijs geleverd dat hun leden aan de aanslagen in november koppelt. De identiteit van de daders en of de incidenten deel uitmaakten van een gecoördineerde operatie blijven onopgelost.