Säkerhet i kylsystem – därför behövs ingen insider

Natten mot måndagen den 2 november höjdes temperaturen i kyl- och frysdiskar till 50 grader i butiker i Sverige, Belgien, Irland och flera andra länder. Larmen uppges ha varit avstängda, så ingen märkte något förrän maten redan var förstörd. Det är andra vågen på kort tid – i oktober drabbades hundratals butiker i Frankrike på samma sätt.

Det här är bara en av många stora dataintrångsnyheter senaste veckorna. En sak vi på Straznet reagerade på är även hur dåligt förberedda många företag är på liknande attacker. I Aftonbladet säger exempelvis en ansedd VD i kyl- och frysbranschen att han är övertygad om att någon på insidan hjälpt angriparna. Den slutsatsen är förståelig – men den riskerar att leda helt fel. Så vad krävs egentligen för att ta sig in i ett kylsystem, och hur arbetar man med säkerhet i kylsystem och andra styrsystem utan att anta att hotet bara finns internt?

 

Vad hände med kylsystemen i butikerna?

Enligt EFN drabbades bland annat ett begränsat antal Ica-butiker, sex Coop-butiker i Mellansverige och Axfoods lager för hemleveranser i Västra Frölunda. Axfood uppger att intrånget skedde via en extern leverantör som ansvarar för kylsystemet, och att det saknar koppling till Axfoods egna system.

Säkerhetsföretaget Censys rapporterar att samma natt drabbades butiker i Belgien, Estland, Irland, Luxemburg, Nederländerna och Sverige. Danfoss StoreView, ett webbgränssnitt som används för att övervaka och styra kylanläggningar, uppges vara inblandat även denna gång. Via en snabb sökning i Censys är det uppenbart att många företag fortfarande inte har skyddat sin Danfoss-applikation.

I Frankrike satte angriparna natten till den 11 oktober kyldiskarna i avfrostningsläge, enligt CSO Online. Många styrsystem tystar temperaturlarmen under avfrostning. Tänk på det som att någon trycker på snooze-knappen på väckarklockan – larmet finns kvar, men det ringer inte när det behövs.

 

Var det ett insiderjobb?

Utredningarna pågår, och ingen har ännu kunnat visa exakt hur angriparna tog sig in. Vi kan därför inte utesluta något. Men det som redan är känt visar att ingen insider behövs för att genomföra en attack av det här slaget.

I mars 2025 – alltså för över ett och ett halv år sedan – publicerades sårbarheten CVE-2025-41450 i Danfoss AK-SM 800A. Den gör det möjligt att logga in som administratör med en kod som räknas fram från dagens datum, utan lösenord, enligt Censys genomgång av attacken i Frankrike. I augusti 2026 visade forskare hos Claroty hur den kan kombineras med en annan sårbarhet för att köra egen kod på enheten.

En cybersäkerhetsexpert som NSD talat med beskriver också attacken som ”inte särskilt komplicerad”. Att butiker i sex länder drabbas samma natt talar snarare för automatiserade angrepp mot kända svagheter, än för en person med intern behörighet.

Det finns också en viktig nyans. Både Axfood och franska E.Leclerc uppger att intrånget gick via en leverantör av kylutrustning. Det är en så kallad supply chain-attack där en mellanhand attackeras, inte ett insiderjobb. Leverantörens fjärråtkomst blir en dörr in – oavsett om den skyddas av en sårbar panel eller av stulna inloggningsuppgifter.

Varför är insiderteorin då så farlig – bär den inte någon legitimitet alls? Givetvis existerar det insiderattacker – men teorin riskerar att flytta fokus och sänka guarden. Om ett företag tror att hotet bara kommer inifrån gör man interna granskningar, men låter den publika dörren stå öppen.

 

Vad kan en angripare se utifrån?

Mycket mer än de flesta tror. Tjänster som Shodan, Censys och Onyphe skannar hela internet dygnet runt och listar vilka enheter som svarar, vilken programvara de kör och vilken version. Den informationen är sökbar för vem som helst.

Några siffror som visar hur synliga kylsystemen är:

• Före attacken i Frankrike: 1 825 StoreView-gränssnitt i Frankrike och 1 166 i övriga världen gick att nå från internet, enligt Censys.
• I Sverige: Censys räknade efter attacken den 2 november 50 exponerade StoreView-värdar. 38 procent körde firmware äldre än 4.2, där administratörskoden kan räknas fram från datumet.
• Fler tillverkare: Onyphe hittade även tusentals exponerade gränssnitt från Copeland och Dixell. Många använde okrypterad trafik och en majoritet låg på andra portar än standard.

Det sista är värt att stanna vid. Att flytta en tjänst till en ovanlig port är inget skydd. De stora internetskanningverktygen skannar varenda port dagligen. Det är som att gömma nyckeln under en annan blomkruka – den som letar systematiskt hittar den ändå.

Det är också bra att känna till en detalj från Frankrike. Efter attacken försvann ungefär 71 procent av gränssnitten från internet, och uppdaterade och ouppdaterade enheter försvann i samma takt. Det tyder på att man drog ur sladden i stället för att åtgärda grundproblemet.

 

Hur höjer ni säkerheten i kylsystem?

Råden nedan gäller kylanläggningar, men lika mycket ventilation, passersystem, kameror och andra styrsystem som ofta sköts av en extern leverantör.

1. Kartlägg vad ni har: Lista varje styrenhet med modell, firmwareversion, vem som sköter den och hur den nås utifrån. Ni kan inte skydda det ni inte vet om.
2. Se det angriparen ser: Sök på era egna publika IP-adresser i tjänster som Shodan eller Censys. Det är passivt och påverkar inga enheter. En aktiv skanning ska bara göras med skriftligt godkännande från både er och leverantören.
3. Ta bort styrsystemen från internet: Franska CERT-FR rekommenderar att alla kylstyrsystem med publik IP-adress kopplas bort och bara nås via säker VPN, enligt CSO Online. Att bara tillåta leverantörens IP-adresser är dock bara en nödlösning, inte en långsiktig.
4. Separera nätverket: Lägg styrsystemen i ett eget nätsegment, skilt från kassasystem, kontorsdatorer och gästnät. Då stannar ett intrång i ett system där det började.
5. Behandla leverantören som en del av ert skydd: Kräv i avtalet att all fjärråtkomst redovisas, sker med personliga konton och loggas. Ni ska kunna se vem som var inne, när och vad som ändrades.
6. Uppdatera eller byt ut: Danfoss slutade uppdatera AK-SM 800 i maj 2021 och AK-SC 355 redan 2016, enligt CSO Online. Sådana enheter går inte att laga, bara isolera eller ersätta.
7. Byt standardlösenord: Kontrollera att inga fabrikslösenord finns kvar och att den striktaste säkerhetsnivån är aktiverad där den finns.
8. Ha ett oberoende temperaturlarm: Forskare har visat att en angripare kan stänga av kylan medan skärmen fortfarande visar normala temperaturer, enligt Cybersecurity Dive. En separat givare med eget larm fungerar även när styrsystemet ljuger.
9. Larma på oväntade ändringar: Varna när börvärden eller avfrostning ändras på distans, särskilt nattetid eller i flera kyldiskar samtidigt.

Bygg bort så många single-point-of-failures som möjligt. Ett styrsystem som både styr kylan och är det enda som larmar om den är just en sådan.

 

Hur kan Straznet hjälpa er?

Vi installerar inga kylanläggningar, och det ska vi inte heller göra. Däremot ansvarar vi för nätverket och IT-säkerheten som styrsystemen ansluts till. Det är där de flesta av åtgärderna ovan hamnar.

Så här jobbar vi:

• Kartlägg: Vi går igenom vilka enheter som finns i ert nät och vad som syns från internet, först passivt.
• Separera: Vi lägger styrsystem i egna nätsegment, skilda från resten av verksamheten.
• Skydda åtkomsten: Vi ersätter öppna portar med VPN och loggad, personlig åtkomst för leverantörer.
• Samordna: Vi tar dialogen med er kylleverantör, så att ansvaret för uppdateringar och fjärråtkomst blir tydligt.

Samma princip som när det gäller kontroll över era säkerhetskopior gäller här: ni ska veta vad leverantörerna gör i era system, inte bara lita på att det är gjort.

 

Sammanfattning

Attackerna mot kylsystemen kräver ingen insider. Sårbarheterna har varit publika i över ett år, de exponerade enheterna går att hitta med öppna söktjänster och flera företag pekar på leverantörens fjärråtkomst som vägen in. Att fokusera på interna läckor riskerar att lämna den uppenbara dörren öppen.

Börja med att ta reda på vad som syns av er verksamhet från internet, och vem som har fjärråtkomst till era styrsystem. Vill ni veta hur era styrsystem ser ut utifrån? Kontakta oss på Straznet, så hjälper vi er att kartlägga och skydda dem. Vi finns i Kungsbacka och hjälper företag i hela Göteborgsregionen.

Telefon: 0300-30 780 
E-post: info@straznet.se