Irananknutna hackare misstänks för omfattande kylattacker i Frankrike

Hackare med misstänkta kopplingar till den iranska regimen pekas ut som möjliga ansvariga för cyberangreppen mot livsmedelsbutikernas kyl- och frysanläggningar i Frankrike. Uppgifterna kommer från två personer med insyn i ärendet. Frankrikes utrikesminister Jean-Noël Barrot har meddelat att landet avser att införa hårda sanktioner mot Iran.

Angreppen inträffade i mitten av oktober och påverkade flera stora livsmedelskedjor, däribland Intermarché och de Netto-butiker som ingår i samma företagsgrupp. Frankrikes finansminister Roland Lescure uppgav att omkring 700 av landets cirka 10 000 livsmedelsbutiker hade drabbats.

Den 12 oktober 2026 meddelade Åklagarmyndigheten i Paris att en brottsutredning hade inletts. Ärendet överlämnades till den franska myndigheten för bekämpning av cyberbrottslighet, Office anti-cybercriminalité (OFAC). Myndigheten fick i uppdrag att identifiera berörda verksamheter och undersöka skadornas omfattning.

Bland de drabbade företagen finns Carrefour, som bekräftade störningar i 80 livsmedelsbutiker. Coopérative U:s vd Dominique Schelcher uppgav att 90 av kedjans butiker drabbades. Även omkring 30 Monoprix-butiker drabbades av angreppen.

De ekonomiska skadorna varierade mellan verksamheterna. Enligt Coopérative U:s vd Dominique Schelcher kunde förlusterna i en mindre livsmedelsbutik uppgå till flera tiotusentals euro. För en större stormarknad kunde motsvarande belopp ligga mellan 180 000 och 200 000 euro.

- Butiksägaren Charles Dezon vid Intermarché i Gradignan i sydvästra Frankrike uppgav att angreppet sannolikt inleddes omkring klockan 23 på kvällen och upptäcktes först vid fyratiden på morgonen när en leveranschaufför upptäckte vatten i kylutrymmet.

Intermarché-butiken i Gradignan uppgav att angriparna hade ändrat kylsystemets inställningar så att avfrostningen pågick i åtta timmar i stället för den normala timmen. Förändringen medförde stigande temperaturer samtidigt som varningssystemens reaktion fördröjdes.

Den danska kyltekniktillverkaren Danfoss meddelade den 12 oktober att merparten av de berörda systemen antingen bestod av äldre produkter som inte längre fick säkerhetsuppdateringar eller nyare utrustning med föråldrade programvaruversioner.

Danfoss pekade särskilt ut styrsystemen AK-SM800 och AK-SC355 som berörda produkter. Stödet för AK-SM800 upphörde 2021, medan AK-SC355 hade fasats ut redan 2016.

Säkerhetsbrister i kylsystem hade även dokumenterats före angreppen. Cybersäkerhetsföretaget Clarotys forskningsgrupp Team82 publicerade den 9 augusti 2026 en undersökning av styrsystemet Danfoss AK-SM 800A. Forskarna identifierade bland annat brister som kunde göra det möjligt att kringgå autentisering och utföra kommandon på distans. Danfoss åtgärdade de rapporterade problemen i programvaruversion R4.3.1.

Samma forskningsgrupp redovisade den 9 augusti ytterligare 23 säkerhetsbrister i kylstyrsystemet Copeland XWEB Pro. Av dessa bedömdes 21 som allvarliga. Forskarna visade också hur en angripare genom bristerna kunde skaffa sig omfattande kontroll över utrustningen.

Frankrikes cybersäkerhetsmyndighet ANSSI bekräftade den 13 oktober att även kylsystem som använde programvara från Dixell hade utsatts för intrång. Kylteknikern Damien Deudon, verksam i Bordeauxområdet, uppgav att ett angrepp mot en livsmedelsbutik hade upptäckts vid fyratiden på morgonen. Intrånget kunde då stoppas innan några livsmedel behövde kasseras.

CERT-FR uppmanade verksamheter med berörda kylsystem att avlägsna utrustningens direkta anslutningar till internet och i stället använda skyddade nätverk eller VPN-förbindelser. Organisationen rekommenderade också att standardlösenord skulle ersättas. En fabriksåterställning bedömdes inte vara en tillräcklig åtgärd om osäker utrustning fortfarande kunde nås via internet.

Liknande cyberangrepp rapporterades därefter från andra europeiska länder. Belgiens federala åklagarmyndighet inledde den 2 november en utredning om intrång mot livsmedelsbutikers kylsystem. Carrefour Belgien uppgav att 15 av företagets 700 butiker hade påverkats, medan Delhaize bekräftade störningar vid flera dussin butiker.

Den 3 november bekräftade det brittiska branschförbundet Association of Independent Meat Suppliers (AIMS) att tre medlemsföretag inom köttindustrin hade utsatts för angrepp mot sina kylanläggningar. Branschorganisationen identifierade styrsystem från Copeland XWEB som den sårbara tekniken.

Samma dag sammankallade Europeiska kommissionen två samordningsmöten tillsammans med Europeiska unionens cybersäkerhetsmyndighet ENISA, Europol och nationella myndigheter. Mötena hölls med anledning av de nya angreppen mot kylutrustning i flera europeiska länder. Europeiska kommissionen pekade inte offentligt ut någon stat eller hackergrupp som ansvarig.

Även verksamheter inom den franska sjukvården har rapporterat störningar. Frankrikes hälsoministerium meddelade den 4 november att kylövervakningssystemen vid tre regionala anläggningar inom blodtjänsten Établissement français du sang (EFS) hade påverkats av ett cyberangrepp. Blodprodukterna flyttades till andra kylutrymmen och blodförsörjningen påverkades inte.

Cybersäkerhetsföretaget Lupovis registrerade samtidigt en omfattande aktivitet riktad mot internetanslutna kylstyrsystem. Företaget uppgav att dess övervakning hade upptäckt fler än 276 kartläggningsförsök mellan den 20 och 30 oktober.

Lupovis vd Xavier Bellekens uppgav att försöken kunde knytas till 91 olika hotaktörer och att aktiviteten var som störst den 26 oktober. Observationerna avsåg perioden före den senare europeiska angreppsvågen och fastställde inte vilka som låg bakom attackerna.

Misstänkta intrång mot kylutrustning har även undersökts i USA. USA:s försvarsdepartment bekräftade att en enhet inom Cyber Command samarbetade med andra federala myndigheter och brottsbekämpande organisationer i en utredning om misstänkta cyberangrepp mot frysutrustning vid amerikanska militärbaser i augusti 2026. Amerikanska utredare hade också kontakt med sina franska motsvarigheter om kylattackerna. Någon bekräftad koppling mellan de amerikanska och franska händelserna hade dock inte fastställts.

Misstankarna om iransk inblandning i angreppen mot de franska livsmedelsbutikerna bygger på uppgifter från två personer med insyn i ärendet. Europeiska kommissionen har inte offentligt fastställt vem som ansvarar för den bredare angreppsvågen mot kylsystem i Europa.