Cyberattack förstörde matvaror – sju Coopbutiker drabbade

En cyberattack mot digitala styrsystem för kyl- och frysanläggningar har orsakat omfattande temperaturstörningar i livsmedelsbutiker i flera europeiska länder. I Sverige har bland annat Coop, ICA och ett e-handelslager tillhörande Willys påverkats. I flera butiker har livsmedel förstörts när temperaturen i fryarna stigit kraftigt.

Coop Sveriges presschef Carlos Cancino uppger att sju av kedjans omkring 800 svenska butiker drabbats. Sex av dessa ligger i Gästrikland och Hälsingland, där kyl- och frysanläggningar helt eller delvis slutat fungera. Vid Coop Tullhuset i Gävle började frysar ryka under natten. Samtliga berörda butiker i området kunde trots problemen fortsätta hålla öppet.

Carlos Cancino uppger också att de sex butikerna i Gävleområdet sedan tidigare var planerade att få sina system uppgraderade onsdagen den 4 november, två dagar efter cyberattacken.

I Västernorrland har Coopbutiken i Bergsåker utanför Sundsvall hittills varit den enda kända drabbade Coopbutiken. När personalen kom till arbetet på måndagsmorgonen hade temperaturen i frysanläggningarna stigit så mycket att delar av sortimentet förstörts. Bland varorna fanns pizzor som blivit upphettade, smält glass och bär som förvandlats till sylt.

Coop Nords kommunikationschef Stefan Eriksson berättar att butikschefen blev kraftigt överraskad när hon upptäckte skadorna. Av företagets sammanlagt 85 butiker i regionen var det endast anläggningen i Bergsåker som hade drabbats.

Enligt Coop Nord är det inte själva butikerna som drabbats av hackerattacken utan en leverantör av nätverk för övervakning och kontroll av kylar och frysar som tycks haft säkerhetsluckor i sitt system. Två andra mindre butiker, i Näsåker och i Björna har samma system och var i riskzonen.

Stefan Eriksson säger till SVT att de butiker som använder Coops eget nätverk inte har drabbats – och inte heller har några av Coops större stormarknader har blivit utsatta.

Magnus Törnblom, pressansvarig på livsmedelskedjan Willys, uppger att inga butiker i vare sig länet eller landet har drabbats av den här hackerattacken.

Den enda anläggningen i koncernen som råkat ut för problemen är ett e-handelslager i Göteborg, enligt Törnblom. E-handelslagret har inte använt sig av Willys interna nätverk.

Samma bild ges från ICA-koncernen – företagets egna system har inte varit utsatta för intrång, utan det är butiker som använt sig av externa nätverksföretag som drabbats. Enligt ICA Sverige har man fått in rapporter om ett fåtal butiker i landet, men företaget hade inga specifika uppgifter om situationen i just Västernorrland.

Livsmedelskedjan Willys har inte fått några rapporter om drabbade butiker någonstans i Sverige. Det uppger företagets pressansvarige Magnus Törnblom. Däremot har ett e-handelslager i Göteborg, som tillhör samma koncern, påverkats av incidenten. Lagret använder inte Willys interna nätverk.

Cyberangreppen har också fått konsekvenser för livsmedelsverksamheter i flera andra europeiska länder. I Nederländerna uppgav en talesperson för kylteknikföretaget Danfoss att minst 17 verksamheter drabbades av manipulerade temperaturinställningar under natten till den 2 november.

Danfoss hade redan den 13 oktober uppmanat sina nederländska kunder att koppla bort osäkra styrsystem som var direkt anslutna till internet.

I Belgien bekräftade livsmedelskedjan Carrefour att 15 av företagets drygt 700 butiker påverkats av angrepp mot kylinstallationer. Den belgiska kylinstallationsleverantören Sabcobels vd Stephan Moelans uppgav att företagets tekniker inledde arbetet med störningarna klockan 01.00 den 2 november.

Sabcobels uppgav att bolagets tekniker arbetade med omkring 20 drabbade kylsystem bland de hundratals anläggningar det ansvarar för. Moelans uppgav att vissa system behövde fysiska ändringar och inte enbart programvaruuppdateringar.

Den belgiska livsmedelskedjan Delhaizes talesperson Sarah De Meester meddelade samtidigt att företagets distributionscentraler fungerade normalt och att leveranserna till butikerna inte hade påverkats.

På Irland rapporterade livsmedelskedjan SuperValu att 13 av dess 223 butiker drabbats av en cyberincident kopplad till en särskild modell av kylutrustning. Företaget tog bort kyl- och frysvaror från försäljning i de berörda butikerna.

Även i Estland registrerades ett intrång. Kylteknikföretaget Kitman Coldtechs vd Jann Mutso uppgav att angripare fick tillgång till en kunds datorstyrda kylanläggning och höjde temperaturen till 50 grader. Företaget kunde ingripa inom några minuter och undvika betydande skador. Livsmedelskedjan Selver bekräftade att en av dess butiker hade påverkats.

Liknande angrepp mot kylsystem inträffade i Frankrike under oktober. Enligt Paris åklagarmyndighet drabbades omkring 700 verksamheter vid den tidigare attacken. Myndigheten hade fått in omkring tio polisanmälningar med koppling till intrången.

Den 12 oktober utfärdade den franska cybersäkerhetsmyndigheten ANSSI:s incidentfunktion CERT-FR en säkerhetsvarning om intrång i fjärrstyrda kylsystem från tillverkarna Danfoss, Copeland och Dixell. Myndigheten rekommenderade berörda verksamheter att avlägsna möjligheten att komma åt styrsystemen direkt via internet.

Danfoss uppgav efter angreppen i Frankrike att merparten av de drabbade anläggningarna använde äldre utrustning eller föråldrad programvara. Bland de identifierade systemen fanns AK-SM800, vars stöd upphörde 2021, och AK-SC355, som fasades ut redan 2016.

Säkerhetsföretaget Clarotys forskningsgrupp Team82 offentliggjorde den 9 augusti 2026 flera säkerhetsbrister i Danfoss styrsystem AK-SM 800A. Forskarna visade bland annat att det under vissa förhållanden var möjligt att kringgå den ordinarie inloggningen.

Danfoss åtgärdade de redovisade bristerna genom programvaruversion R4.3.1. Det är dock inte fastställt att dessa specifika sårbarheter utnyttjades vid cyberangreppen den 2 november.

De svenska livsmedelskedjornas uppgifter pekar på att störningarna framför allt har drabbat verksamheter med externt anslutna system för övervakning och temperaturstyrning. Coop, ICA och Willys uppger samtliga att deras egna interna nätverk inte har påverkats av intrången.