Ett kylsystem-hack har under oktober 2026 slagit ut temperaturkontrollen hos minst 350 bekräftade mataffärer i Frankrike, med branschuppgifter som pekar på uppemot 700 drabbade butiker totalt i Frankrike, Belgien och Nederländerna. Angriparna tog sig in i industriella styrsystem från det danska bolaget Danfoss samt amerikanska Copeland och dess dotterbolag Dixell, och tvingade kylarna in i långa avfrostningscykler som enligt rapportering drev temperaturen upp mot 50 grader. Resultatet blev kasserat kött, kasserad fryst mat och en akut påminnelse om hur sårbar maskinvaran bakom Europas matförsörjning faktiskt är.
Händelsen är ovanlig därför att den inte stannade i ett IT-nätverk. Den flyttade sig rakt in i butikernas fysiska drift och kostade handlare varor på disk och i frys. Franska cybersäkerhetsmyndigheten ANSSI kopplade in sig, nederländska Ahold Delhaize stängde ner och startade om system i kontrollerad takt, och säkerhetsforskare hittade tusentals liknande styrsystem som fortfarande ligger öppna mot internet. Här går vi igenom vad som hänt, vilka tillverkare som är inblandade, vad det kostar branschen och vad svenska och nordiska butikskedjor bör ta med sig.
Vad hände? Kylsystem-hacket i korthet
Under de senaste veckorna av september och de första veckorna av oktober 2026 fick ett stort antal europeiska matbutiker problem med sina kylar och frysar samtidigt. Orsaken visade sig inte vara ett tekniskt fel utan en riktad cyberattack mot de industriella styrsystem som reglerar temperaturen i kyldiskar och kylrum. Angriparna fick fjärråtkomst till styrenheterna och startade förlängda avfrostningscykler, en funktion som normalt körs kort och kontrollerat för att hålla isbildning borta. Körd i överdrift gör samma funktion att kylan stängs av under lång tid, med temperaturer som enligt rapportering nådde så högt som 50 grader Celsius i drabbade enheter.
Ingen grupp har offentligt tagit på sig ansvaret för attacken. Franska utredare bekräftade att minst 350 mataffärer drabbats, medan tidig branschrapportering nämnde upp till 700 butiker i Frankrike med spridningseffekter i Belgien och Nederländerna. Skillnaden mellan siffrorna beror troligen på hur man räknar, om det handlar om enskilda butiker, kedjor eller antal berörda kylenheter, men båda siffrorna pekar mot en av de bredaste OT-attackerna (driftteknik) mot detaljhandeln i Europa på flera år.
Så attackerades Danfoss, Copeland och Dixell
Utredningen pekade snabbt mot tre tillverkarnamn: Danfoss med sina AK-SM- och AK-SC-serier, Copeland, och Dixell som ägs av Copeland och säljer XWEB-styrsystem. Danfoss är ett danskt industriteknikföretag, vilket ger attacken en direkt nordisk leverantörskedjekoppling även om inga svenska butiker ännu är bekräftat drabbade. Enligt The Register var det just kombinationen av internetexponerade styrpaneler och bristande autentisering som gjorde intrånget möjligt.
Danfoss har bekräftat att den utrustning som drabbades bland annat omfattade kylregulatorerna AK-SM800 och AK-SC355. Enligt bolaget var flera av de drabbade installationerna äldre produkter som redan nått end-of-life och därför inte längre tar emot säkerhetsuppdateringar. Danfoss säger även att man identifierat minst en AK-SC355-konfiguration som körde inaktuell firmware, och uppmanar nu kunder att uppgradera. Enligt ett uttalande som Danfoss lämnat till PBS NewsHour har bolaget länge rekommenderat kunder att hålla supportade system uppdaterade med senaste firmware och att driva dem bakom en brandvägg, ett råd som tydligen inte följts i tillräckligt stor skala.
Copeland, som äger Dixell, har bekräftat sårbarheten i XWEB-systemen. Bolaget uppger enligt Rappler att man arbetar tillsammans med drabbade kunder för att minska risken, men har inte gått in på exakt hur många installationer som berörs globalt. Att två separata tillverkare, med olika mjukvarustackar, drabbades parallellt tyder på att problemet snarare handlar om ett branschgemensamt mönster av öppna fjärråtkomstportar än om en enskild produktbrist.
Minst 350 bekräftade butiker, uppemot 700 drabbade
Frankrike är det land där flest butiker har bekräftats drabbade. Franska myndigheter talar om minst 350 mataffärer, och de samarbetar nu med europeiska motparter för att kartlägga om fler företag i andra länder är berörda. I Nederländerna bekräftade detaljhandelsjätten Ahold Delhaize en cybersäkerhetsincident och inledde en kontrollerad omstart av berörda system. Störningen kopplades till butikskedjorna Albert Heijn, apotekskedjan Etos och alkoholkedjan Gall & Gall, som alla ingår i Ahold Delhaize nederländska verksamhet. Relaterade effekter rapporterades också i Belgien, även om källorna inte namnger specifika kedjor där.
Frankrike i centrum för utredningen
Det är den franska cybersäkerhetsmyndigheten ANSSI som driver den tekniska utredningen och som först kopplade problemen till programvara från Danfoss. Enligt rapportering samarbetar ANSSI nu med motsvarande myndigheter i andra EU-länder för att se om fler drabbade bolag finns utanför Frankrike, Belgien och Nederländerna. Ingen ransomware-anteckning eller lösensumma har offentliggjorts, vilket skiljer attacken från ett typiskt utpressningsförsök och gör motivet mer osäkert. Sabotage, sårbarhetsforskning eller ett rent demonstrationsangrepp är alla tänkbara förklaringar i nuläget.
Ahold Delhaize stänger ner och startar om kontrollerat
Ahold Delhaize valde en försiktig linje och tog ner berörda system för en kontrollerad omstart i stället för att köra vidare med osäker styrning. Det är en rimlig respons när det handlar om utrustning som direkt påverkar om mat går att sälja säkert, men det innebär också driftstopp och extra personalresurser i butiker som redan brottas med tunna marginaler. För kedjor av den storleken, med butiker i flera länder, blir varje timmes nedtid en påtaglig kostnad även utan att en enda byte data stulits.
Matsvinn, 50 graders kyl och fysiska skador
Den mest konkreta konsekvensen för kunder och butikspersonal har varit matsvinnet. Rapporter beskriver att butiker tvingats kasta kött, fryst mat och andra färskvaror sedan kyltemperaturen stigit långt över säkra nivåer. Vissa rapporter nämner även bränder och bredare leveranskedjestörningar kopplade till attackerna, även om de exakta orsakssambanden mellan hacket och enskilda brandtillbud inte är fullt klarlagda i det offentliga materialet. Det som är tydligt är att en cyberattack mot ett styrsystem för kylteknik kan översättas direkt till kasserade varor, extra transporter och förlorad försäljning, utan att en enda rad kunddata behöver läcka.
Det är denna fysiska dimension som gör kylsystem-hacket intressant utanför den vanliga säkerhetsbubblan. En kreditkortsläcka upplevs ofta abstrakt för konsumenten. Tomma kötthyllor och stängda kylar i mataffären upplevs direkt, och det är precis den typen av synlig, påtaglig skada som gör att myndigheter och politiker snabbare prioriterar OT-säkerhet i kritiska sektorer som livsmedel.
4 500 exponerade gränssnitt enligt Reuters och Onyphe
En av de mest oroande detaljerna i utredningen handlar inte om själva intrånget utan om hur många liknande system som fortfarande är sårbara. Säkerhetsskanningsföretaget Onyphe genomsökte internet efter Danfoss-gränssnitt och fann att inaktuella mjukvaruversioner fortfarande var brett representerade bland publikt tillgängliga system. En granskning från Reuters, baserad på den skanningen, identifierade minst 4 500 Danfoss-gränssnitt som låg synliga online tisdagen efter att attackerna blivit kända.
4 500 öppna gränssnitt är inte samma sak som 4 500 kommande attacker, men siffran visar hur stor attackytan är för den här typen av industriell utrustning. Varje exponerat gränssnitt är en potentiell ingång för en angripare som redan vet vilken produkt och vilken sårbarhet man letar efter. När metoden nu är offentlig är det realistiskt att fler försök kan komma under de närmaste månaderna, inte bara mot Danfoss utan mot hela kategorin av internetanslutna kyl- och fastighetsstyrsystem.
Legacy-system: varför gammal kylteknik aldrig patchas
Industriella styrsystem byggs för att hålla i tio, femton eller tjugo år. En kylkompressor i en mataffär byts inte ut varje gång det kommer en ny mjukvaruversion, och styrelektroniken följer ofta samma långsamma livscykel. Det skapar en strukturell spänning mellan tillverkarens säkerhetsrutiner och den verklighet butikskedjan lever i. Danfoss har själva pekat ut att en stor del av de drabbade enheterna var system som nått end-of-life och inte längre får säkerhetsuppdateringar alls, vilket innebär att butiken sitter fast med kända, odokumenterade eller olösta sårbarheter tills hela enheten byts ut.
Det här mönstret känns igen från andra delar av kritisk infrastruktur. Samma problem med föråldrad firmware och svag autentisering i fjärråtkomst har synts i attacker mot industriella nätverk under flera år. Metoderna för att bygga säkrare leveranskedjor för mjukvara, till exempel genom byggprovenance med SLSA och in-toto, har hittills fokuserat mer på vanlig IT-mjukvara än på inbyggda styrsystem i industriell utrustning. Kylsystem-hacket visar att den klyftan behöver täckas.
Experterna om kylhacket
Danfoss har i sitt officiella svar varit tydliga med att ansvaret delvis ligger hos driftmiljön snarare än enbart hos produkten. Bolaget uppger att man länge rekommenderat kunder att hålla supportade system uppdaterade med senaste firmware och att köra dem bakom en brandvägg i stället för att exponera styrpanelerna direkt mot internet, enligt uppgifter till PBS NewsHour. Rådet är varken nytt eller kontroversiellt inom industriell IT-säkerhet, men händelsen visar att det fortfarande inte följs i tillräcklig utsträckning i en bransch med tusentals decentraliserade installationer.
Copeland har i sin tur bekräftat sårbarheten i Dixells XWEB-system och beskriver ett pågående samarbete med drabbade kunder för att minska risken, enligt uppgifter till Rappler. Ingen av tillverkarna har offentligt namngivit en specifik hotaktör, och ingen nordisk myndighet har ännu gått ut med en separat varning kopplad till just denna incident, vilket skiljer den från tidigare fall där CERT-SE snabbt larmat om kritiska sårbarheter med nordisk påverkan.
Historisk kontext: när OT-attacker blir fysiska
Kylsystem-hacket är det senaste i en rad incidenter där en cyberattack mot driftteknik (OT) får ett direkt fysiskt avtryck. Mönstret är inte nytt. Industriella styrsystem för allt från vattenverk till energinät har länge beskrivits av säkerhetsforskare som en eftersatt del av det digitala försvaret, eftersom de ofta körs på äldre protokoll, saknar modern autentisering och sällan uppdateras i samma takt som vanliga IT-system. Det som gör 2026 års incident ovanlig är skalan, flera hundra butiker i flera länder samtidigt, och att konsekvensen gick att se direkt på hyllan i form av kasserad mat.
Branschbevakare som Cyber Insider har parallellt rapporterat om andra leverantörskedjeincidenter under samma period, en påminnelse om att både mjukvarubibliotek och fysisk driftutrustning nu räknas in i samma riskkategori: komponenter som tusentals organisationer litar på utan att ha full insyn i hur väl de underhålls. Säkerhetsmedia som Security Boulevard har beskrivit kylsystem-hacket som ett tydligt exempel på att gränsen mellan traditionell IT-säkerhet och fysisk säkerhet i praktiken har upphört att existera.
Marknadspåverkan för kyl- och livsmedelsbranschen
För livsmedelskedjorna handlar den omedelbara kostnaden om kasserade varor, extra personaltimmar och i vissa fall stängda avdelningar under utredningen. Ingen av de inblandade aktörerna har offentliggjort en total kostnadssiffra för incidenten, men även en kort period med obrukbar kyl i hundratals butiker ger en påtaglig ekonomisk effekt givet hur tunna marginalerna redan är i dagligvaruhandeln. På längre sikt är den mer intressanta marknadseffekten att försäkringsbolag och inköpsavdelningar nu har ett konkret, nyligt exempel att peka på när de ställer krav på leverantörer av fastighets- och kylteknik.
Det är rimligt att vänta sig att cyberförsäkringsbolag framöver ställer tydligare krav på att kunder inom detaljhandel och fastighetsdrift kan visa upp en inventering av sin OT-utrustning, inklusive vilka kylstyrsystem som är internetuppkopplade och hur de är skyddade. För tillverkare som Danfoss och Copeland innebär incidenten också ett rykteproblem som sannolikt påskyndar investeringar i säkrare standardkonfigurationer, kortare uppdateringscykler och tydligare kommunikation om när produkter når end-of-life.
Tillverkarna jämförs: Danfoss mot Copeland och Dixell
Även om båda tillverkargrupperna drabbades av samma typ av attack skiljer sig detaljerna åt när det gäller vilka modeller som pekats ut och vilket svar kunderna fått. Tabellen nedan sammanfattar vad som är känt om de inblandade systemen utifrån tillverkarnas egna uttalanden och den tekniska rapporteringen.
| Tillverkare | Ursprungsland | Berörda modeller/system | Status enligt tillverkaren | Rekommenderad åtgärd |
|---|---|---|---|---|
| Danfoss | Danmark | AK-SM800, AK-SC355, bredare AK-SM/AK-SC-serie | Flera installationer är legacy-produkter som nått end-of-life, vissa kör inaktuell firmware | Uppgradera firmware, placera styrsystem bakom brandvägg |
| Copeland | USA (ägare av Dixell) | Dixell XWEB | Bekräftad sårbarhet, samarbete pågår med drabbade kunder | Tillämpa leverantörens säkerhetsåtgärder, isolera fjärråtkomst |
| Ahold Delhaize (drabbad kund, ej tillverkare) | Nederländerna | Butiksnät kopplat till Albert Heijn, Etos, Gall & Gall | Kontrollerad omstart av berörda system genomförd | Intern granskning av fjärråtkomst och nätverkssegmentering |
Tidslinje för kylsystem-hacket
Den exakta dag-för-dag-sekvensen är fortfarande under utredning, men de bekräftade publika milstolparna ger en bild av hur snabbt informationen spreds när den väl blev offentlig i mitten av oktober 2026.
| Period | Händelse |
|---|---|
| Slutet av september till början av oktober 2026 | Butiker i Frankrike och angränsande länder börjar rapportera kylproblem i flera kedjor samtidigt |
| Första veckorna av oktober 2026 | ANSSI kopplar problemen till sårbara styrsystem från Danfoss, utredning inleds |
| 13 oktober 2026 | The Register rapporterar att attackerna drev kyltemperaturer upp mot 50 grader i franska butiker |
| Dagarna efter att attackerna blev kända | Reuters, baserat på skanning från Onyphe, hittar minst 4 500 exponerade Danfoss-gränssnitt online |
| Mitten av oktober 2026 | Ahold Delhaize bekräftar incident i Nederländerna, Albert Heijn, Etos och Gall & Gall berörs |
| 16 oktober 2026 | Branschbevakning beskriver fortsatt exponering och pågående utredning i flera EU-länder |
Vad betyder det för Sverige och Norden?
Ingen svensk eller nordisk butikskedja har hittills bekräftats drabbad av just den här attackvågen. Men Danfoss kylteknik används brett i hela Norden, inklusive i svenska butikskedjors kyl- och frysavdelningar, vilket gör att samma typ av sårbarhet högst troligt finns installerad lokalt även om den inte utnyttjats här ännu. Svenska butiker och fastighetsägare bör se incidenten som en direkt anledning att inventera vilka kylstyrsystem som är anslutna till internet och hur de är skyddade, snarare än att vänta på en lokal varning.
Det finns också en regulatorisk dimension. Med NIS2 nu infört i svensk rätt klassas delar av livsmedelskedjan som samhällsviktig verksamhet, vilket innebär skärpta krav på riskhantering och incidentrapportering för större aktörer. En attack av den här typen, som påverkar fysisk drift snarare än bara data, är precis det slags scenario NIS2 är tänkt att tvinga fram bättre beredskap för. Svenska bolag som ännu inte kartlagt sin OT-miljö riskerar att upptäcka sårbarheter på det hårda sättet om de väntar på nästa incident innan de agerar, ett mönster som även synts i hur snabbt nordiska säkerhetschefer tvingats korta sin exploateringstid i andra typer av attacker under året.
Så skyddar sig butiker och tillverkare framöver
- Inventera alla kylstyrsystem och andra OT-enheter som är anslutna till internet eller till ett delat nätverk.
- Flytta styrpaneler bakom brandvägg och kräv VPN eller annan autentiserad fjärråtkomst i stället för öppna webbgränssnitt.
- Byt standardlösenord och inaktivera fjärråtkomst som inte aktivt används i drift.
- Planera utbytescykler för utrustning som närmar sig end-of-life innan tillverkaren slutar leverera säkerhetsuppdateringar.
- Bygg loggning och detektion för OT-nätverk på samma sätt som för vanliga IT-nätverk, till exempel genom etablerade mönster för gratis detektion med Sysmon och Sigma anpassat till industriella protokoll.
- Kräv av leverantörer att de tydligt kommunicerar end-of-life-datum och säkerhetsstatus för sålda styrsystem.
Ingen av dessa åtgärder är ny teknik. Det handlar om grundläggande nätverkshygien som redan är standard inom vanlig IT-säkerhet men som ofta aldrig når fram till den industriella utrustningen som faktiskt håller maten kall. Just den eftersläpningen är kärnan i varför kylsystem-hacket kunde få den omfattning det fick.
Prognoser: vad händer med OT-säkerhet 2027
- Fler säkerhetsskanningar av kyl- och fastighetsstyrsystem kommer sannolikt att avslöja liknande exponering hos andra tillverkare än Danfoss och Copeland under 2027.
- EU-myndigheter väntas öka trycket på livsmedelskedjan att redovisa OT-säkerhet som en del av NIS2-tillsynen, snarare än att behandla frågan som ett rent IT-ärende.
- Cyberförsäkringsbolag kommer troligen införa tydligare krav på dokumenterad OT-inventering som villkor för detaljhandelskunder.
- Fler tillverkare av industriell styrutrustning väntas korta sina livscykler för säkerhetsuppdateringar efter att ha sett ryktesskadan hos Danfoss och Copeland.
- Fler nordiska butikskedjor och fastighetsägare väntas genomföra egna granskningar av Danfoss-installationer under de kommande månaderna, även utan en bekräftad lokal incident.
Vanliga frågor om kylsystem-hacket
Vilka butiker drabbades av kylsystem-hacket?
Franska myndigheter har bekräftat minst 350 drabbade mataffärer, medan tidig branschrapportering nämner upp till 700 butiker totalt i Frankrike, med relaterade effekter i Belgien och Nederländerna. I Nederländerna bekräftade Ahold Delhaize en incident kopplad till Albert Heijn, Etos och Gall & Gall.
Är svenska butiker drabbade?
Ingen svensk butikskedja har hittills bekräftats drabbad av just denna attackvåg. Men Danfoss kylteknik används brett i Norden, vilket gör frågan relevant för svenska fastighetsägare och butikskedjor framöver.
Vilka tillverkare är inblandade?
Danfoss (Danmark), med modellerna AK-SM800 och AK-SC355, samt Copeland och dess dotterbolag Dixell med XWEB-systemet, har pekats ut i utredningen och bekräftat sårbarheter i sin utrustning.
Krävde angriparna en lösensumma?
Inget offentligt ransomware-krav eller lösensumma har rapporterats i samband med attacken, vilket skiljer den från ett typiskt utpressningsförsök och lämnar motivet öppet för tolkning.
Hur kunde angriparna styra kylarna på distans?
Genom att utnyttja industriella styrsystem som var anslutna direkt till internet utan tillräcklig autentisering eller brandväggsskydd. En skanning av Onyphe, rapporterad av Reuters, hittade minst 4 500 exponerade Danfoss-gränssnitt kort efter att attackerna blev kända.
Vad gör tillverkarna nu?
Danfoss uppmanar kunder att uppgradera firmware och driva styrsystem bakom brandvägg, och pekar på att många drabbade enheter var legacy-produkter utan löpande säkerhetsuppdateringar. Copeland uppger att man arbetar direkt med drabbade kunder för att minska risken i Dixells XWEB-system.
Vad betyder incidenten för NIS2 i Sverige?
Livsmedelskedjan klassas delvis som samhällsviktig verksamhet under NIS2, vilket innebär skärpta krav på riskhantering av just den typ av driftteknik som drabbades i den här attacken. Svenska aktörer som ännu inte kartlagt sin OT-miljö bör se incidenten som ett argument för att prioritera det arbetet.