Weer een aanval op winkelkoelingen: wanneer nemen we actie?

Maandagochtend, vier uur. Filiaalmanagers van Delhaize krijgen een sms: er is iets mis met de koeling. In Zweden staat de temperatuur van een vriezer op +50 °C, en de winkelmanager krijgt hem niet meer omlaag. In België en Nederland gooien slagers en winkeliers hun voorraad weg.

Het is de tweede keer in drie weken. "Bedrijven hebben hier echt zitten slapen", zegt ethisch hacker Sijmen Ruwhof tegen de NOS. Dat roept één vraag op: wanneer nemen we actie?

Wat er gebeurde

Dit is wat er op 2 november 2026 bekend is. Het onderzoek loopt nog, dus de cijfers kunnen veranderen.

• Omvang. BleepingComputer telt meer dan 115 winkels in België, Nederland, Zweden, Luxemburg, Ierland en Estland. Ook Finland wordt genoemd.
• België. RetailDetail meldt minstens 76 winkels, onder meer een veertigtal van Delhaize, vooral kleinere buurt- en gemakswinkels.
• Nederland. Minstens zeventien bedrijven, vooral slagerijen en kleine buurtwinkels. Grote ketens zijn hier voor zover bekend niet geraakt.
• Werkwijze. De koelingen zelf zijn niet kapot. Ze kregen verkeerde instructies via de digitale bediening, bijvoorbeeld om te gaan ontdooien.
• Schade. Het totaal is nog onbekend. Een Belgische slagerij schat de schade op € 10.000 tot € 15.000, een Delhaize in Hoepertingen moest voor minstens € 60.000 aan voedsel weggooien, volgens de NOS.
• Daders. Onbekend. Omdat er voor zover bekend geen losgeld is gevraagd en veel verschillende ketens zijn geraakt, lijkt het niet om een aanval op één bedrijf te gaan. Volgens de NOS is er geen bewijs voor een verband met de aanval op Albert Heijn van vorige maand.

Het kwam niet uit de lucht vallen

Het pijnlijke is hoe lang dit al bekend was. De regelkastjes verbinden de koeling met internet, zodat een installateur storingen op afstand kan zien. Hun zwakke plekken waren geen geheim:

• 2025: onderzoekers vinden fouten in een veelgebruikte regelkast van Danfoss. De fabrikant brengt een waarschuwing en een software-update uit.
• Augustus 2026: de onderzoekers maken hun bevindingen openbaar.
• 11 en 12 oktober 2026: in Frankrijk worden tot 700 supermarkten geraakt. Wij schreven er toen over in van koelcel tot serverruimte.
• 12 oktober 2026: de Franse overheid waarschuwt dat de aanvallen waarschijnlijk doorgaan, en adviseert om de kastjes van Danfoss, Copeland en Dixell van internet te halen. Ook Danfoss schrijft zijn klanten aan.
• 1 op 2 november 2026: de tweede golf.

Een waarschuwing van drie weken is kort voor een grote keten, maar ruim genoeg om één verbinding uit te zetten. Toch stonden er op 2 november nog kastjes open.

Hebben bedrijven zitten slapen?

Deels wel. Een beheerscherm op het open internet is volgens de Franse overheid in strijd met goede praktijken. En wie een waarschuwing krijgt, moet iets doen.

Maar kijk ook naar wie er is geraakt. In Nederland vooral slagers en buurtwinkels. Bij Spar gaat het om zelfstandige ondernemers met een eigen koeling. Bij Delhaize vooral kleinere winkels. En de Zweedse keten ICA meldt dat het ging om winkels met een verbinding buiten het centrale netwerk.

Het beeld is nog voorlopig, maar het patroon is duidelijk genoeg om serieus te nemen. Een slager heeft geen IT-afdeling. De regelkast is ooit geplaatst door de koelinstallateur en hangt buiten het zicht van iedereen. Komt een brief van de fabrikant dan wel aan bij de persoon die er iets aan kan doen? Dat is niet alleen slapen. Dat is een kastje dat van niemand is.

Een update lost het ook niet altijd op. Veel kastjes zijn zo oud dat de fabrikant geen updates meer maakt. En volgens de Belgische koeltechnicus Sabcobel is bij sommige installaties ook een aanpassing aan de apparatuur zelf nodig.

Waarom dit ook over uw gebouw gaat

U heeft misschien geen vriezer vol vlees. Maar de vraag is dezelfde. In een kantoor of bedrijfspand hangen het klimaat, de lift, de toegang, de camera's en de meters steeds vaker aan een netwerk. Vaak kan een leverancier er op afstand bij. Dat is handig, en precies daarom is het zo gegroeid.

Wij zeggen niet dat die systemen nu worden aangevallen. Wel dat dezelfde drie dingen kunnen ontbreken:

• Een overzicht. Welke installaties zijn vanaf internet bereikbaar? Dat staat vaak nergens.
• Een eigenaar. De verhuurder denkt aan installaties, de huurder aan de eigen IT, de installateur aan zijn onderhoud. De verbinding valt daartussen.
• Een plan. Wie krijgt om vier uur 's nachts het alarm, en wat doet die dan?

Wanneer nemen we actie? Zo begint u

Vandaag

• Bel uw koel- of installatietechnicus. Vraag: is onze regelkast vanaf internet bereikbaar?
• Is het antwoord ja? Laat hem dan van het open internet halen. De Franse overheid adviseert toegang alleen nog via een beveiligde verbinding (VPN) of een beschermd netwerk.
• Laat de instellingen nakijken, vooral de ontdooischema's.
• Check vooraf uw verzekering als u de verbinding met de technicus verbreekt. Ook daar wijst de Franse waarschuwing op.

Deze week

• Maak een lijst van alle installaties met toegang op afstand: koeling, klimaat, lift, toegang, camera's en meters.
• Noteer per installatie wie erbij kan, en wie de verantwoordelijke is.
• Vraag of de apparatuur nog updates krijgt en of de standaardwachtwoorden zijn gewijzigd.

Deze maand

• Vervang apparatuur die geen updates meer krijgt, of haal die definitief van internet.
• Scheid de gebouwsystemen van het kantoornetwerk.
• Leg in het contract of de huurovereenkomst vast wie de verbinding beheert.
• Regel een alarm en een noodplan: wie wordt gebeld, en waar kan de voorraad heen? Sommige Delhaize-winkels gebruikten koelwagens.

Wacht niet op de wet

De Cyberbeveiligingswet geldt vooral voor grotere organisaties. Een slager of buurtwinkel valt er meestal buiten. En de Europese eisen voor nieuwe producten gelden pas vanaf december 2027, dus niet voor het kastje dat er al tien jaar hangt.

Voor veel winkels en panden verplicht niemand u dus om morgen iets te doen. Dit is geen juridisch advies, maar wel de conclusie: u moet het zelf willen.

Wat het IT-Label hierin kan doen

Eerst wat het niet is. Een label houdt geen aanval tegen. Het IT-Label beoordeelt ook niet hoe veilig uw koeling of gebouwbeheersysteem is. Het is geen hacktest.

Wat het wel doet, is het gebouw zichtbaar maken. Daar begint actie:

• De gratis Zelfscan geeft in een paar minuten een eerste beeld van uw pand.
• Het IT-Label laat zien hoe de digitale infrastructuur ervoor staat, en kijkt ook welke slimme gebouwsystemen er zijn en of het gebouwbeheersysteem op het IT-netwerk is aangesloten.
• De IT-Label Security Audit gaat een stap verder. Een auditor controleert op locatie of uw netwerk gescheiden is van gasten, andere huurders en de gebouwsystemen, en geeft advies over hoe u dat verbetert.

Een regelkast die niemand kent, kan niemand beveiligen. Wie weet wat er in het gebouw hangt, kan de volgende waarschuwing wel op tijd opvolgen.

Veelgestelde vragen

Wie zit er achter de aanval op de koelingen?

Dat is nog niet bekend. Niemand heeft de aanval opgeëist en voor zover bekend is er geen losgeld gevraagd.

Hoe weet ik of mijn koeling vanaf internet bereikbaar is?

Vraag het uw koeltechnicus of installateur. Vraag ook hoe hij zelf op afstand inlogt en of er nog een oude verbinding actief is, bijvoorbeeld via een 4G-modem.

Is een software-update genoeg?

Niet altijd. Veel oude kastjes krijgen geen updates meer. Haal ze daarom in elk geval van het open internet en vraag uw leverancier naar vervanging.

Kan mijn installateur nog bij de koeling als de internettoegang weg is?

Ja, als dat via een beveiligde verbinding gebeurt, zoals een VPN of een beschermd netwerk. Bespreek dat met uw installateur en kijk ook wat uw verzekering vraagt.

Geldt dit ook voor kantoren?

De aanval raakte winkels en koelsystemen. Maar in kantoren staan vergelijkbare systemen met toegang op afstand, zoals klimaat en toegang. Dezelfde vragen zijn daar dus ook nuttig.

Beoordeelt het IT-Label de beveiliging van mijn koeling?

Nee. Het IT-Label kijkt welke slimme gebouwsystemen er zijn en of ze samenwerken, niet hoe veilig ze zijn. De Security Audit controleert of uw netwerk gescheiden is van de gebouwsystemen. Voor een echte test van de beveiliging heeft u een gespecialiseerd bedrijf nodig.

Bronnen: NOS, BleepingComputer, Help Net Security, RetailDetail, Reformatorisch Dagblad, CERT-FR (CERTFR-2026-ALE-012), CISA (ICSA-25-140-03) en Wikipedia. Stand van zaken: 2 november 2026. Het onderzoek loopt nog.