Franse supermarktkoelingen op 50 graden, Albert Heijn en Delhaize offline

Intermarché, Coopérative U en E.Leclerc bevestigden aan AFP een cyberaanval. Dominique Schelcher, de topman van Coopérative U, noemde die ongezien. Aanvallers zetten op afstand de ontdooicyclus van de koelsturing aan, waardoor de kasten warmte afgaven in plaats van kou. Het parket van Parijs opende een onderzoek naar wat het een grootschalige aanval op de koelingen van meerdere grote voedselketens noemt, om de slachtoffers vast te stellen en het verband te leggen met de verloren waar en met gemelde branden. Of de aanval die branden heeft veroorzaakt, moet het onderzoek nog uitwijzen.

De tellingen lopen uiteen. AFP, via CBS, komt op minstens 300 winkels van Intermarché of Netto, meer dan 100 van Coopérative U, en enkele van E.Leclerc. Carrefour zei tegen Reuters, opnieuw via CBS, dat 80 van zijn supermarkten geraakt zijn, op ongeveer 6.000. Bloomberg, op gezag van een woordvoerder van de eigenaar van Intermarché, houdt het voor die keten op ongeveer 150 winkels en schrijft dat de kasten zo'n zes uur op 50 graden stonden. Dat stuk van Bloomberg heb ik niet tot het einde gelezen. NOS meldt dat een winkelier in de Elzas tegen Franse media zegt dat de schade bij hem 220.000 euro bedraagt. NOS schrijft dat de schade landelijk vrijwel zeker in de vele miljoenen loopt, en dat de bedrijven zelf geen totaal bekendmaken. Supermarktexpert Pierre-Alexandre Billiet zegt tegen HLN dat de Franse schade zeker in de miljoenen loopt. Dat is zijn schatting.

De sturing komt van het Deense Danfoss. Danfoss zei tegen AFP dat het vooral om oudere toestellen ging die geen software- of beveiligingsupdates meer krijgen, met name de AK-SM800 en de AK-SC355, en dat een versie van het eerste model op verouderde firmware draaide, de ingebakken software van het apparaat. Het bedrijf zegt al lang aan klanten te vragen die modellen te vervangen. Een aantal systemen gaf Danfoss niet. Iemand uit de omgeving van premier Sébastien Lecornu zei tegen AFP dat het Franse cybersecurityagentschap ANSSI een kwetsbaarheid had gevonden in software van een Deense leverancier, en de leverancier had aangesproken. In 2025 publiceerden onderzoekers van Claroty gaten in de webinterface van deze familie sturingen, en waarschuwde de Amerikaanse dienst CISA ervoor. BleepingComputer, dat ik gelezen heb, schrijft dat niet bekend is of die gaten dit weekend gebruikt zijn.

Ahold Delhaize, het moederbedrijf van Albert Heijn en Delhaize, zei op 12 oktober dat er een beveiligingsprobleem op zijn netwerk was en dat het een aantal systemen offline had gehaald om ze te beschermen. De winkels bleven open. NOS meldt dat de online systemen van Albert Heijn sinds zondagmiddag platliggen, dat bestelde boodschappen niet bezorgd worden, dat een deel van de distributiecentra stilstaat, en dat de rekken leeglopen, eerst de verse waar. Elektronische prijskaartjes in de winkels bleven op de verkeerde prijs staan. Ook Etos, Gall & Gall en de Belgische keten Delhaize waren getroffen. Albert Heijn wil niet zeggen of het een hack was. Het spreekt van een digitaal veiligheidsincident.

Cybersecuritydeskundigen noemden een inbraak tegen NOS zeer aannemelijk, omdat een bedrijf niet zoveel systemen stillegt voor een gewone storing. Pim Takkenberg zei bij Nieuwsuur dat het hem duidelijk leek dat er een kwaadwillende in de systemen had gezeten. Eward Driehuis hield een andere mogelijkheid open: Albert Heijn kan zelf een gat hebben gevonden en de deuren hebben gesloten terwijl het dat dichtte. Ahold zei tegen Reuters, via NOS, dat er geen reden is om een verband met de Franse aanvallen te zien. Billiet zegt in HLN van 13 oktober het tegendeel over het tijdstip. Hij noemt het geen toeval dat Franse ketens dezelfde dag geraakt werden. Thuislevering noemt hij een niche van 4 à 5 procent, en hij verwacht dat voedsel de komende jaren duurder wordt omdat volle rekken en weerbare systemen geld kosten. Die prijsverwachting is van hem, niet een cijfer van dit weekend.

In Frankrijk ging verse en diepgevroren waar weg. Er zijn branden gemeld, en het parket legt het verband nog. Eén winkelier zet zijn eigen schade op 220.000 euro. Een landelijk totaal is er niet. In Nederland en België misten mensen leveringen en troffen ze lege rekken. Geen bericht dat ik las, bevestigt dat klantgegevens zijn meegenomen, en geen enkel bericht noemt gewonden.

Dezelfde dag publiceerde Anthropic een onderzoek waarin kleine modellen mogelijk nog maanden verwijderd zijn van zichzelf kopiëren naar gewone apparaten met internet, en het noemt slimme koelkasten als toestel waarop een stuk van zo'n model zou kunnen draaien. Dat stuk staat hier: kleine modellen die zichzelf kopiëren. De Franse aanval ging over de industriële sturing van supermarktkoeling, een ander apparaat, en geen van deze berichten zegt dat een model die heeft overgenomen. De twee naast elkaar leggen is een lezing. Iemand die AI-gereedschap al op echte doelwitten richt, is een andere, gedocumenteerde vorm: de campagne tegen Zuid-Koreaanse banken. Bedrijven oefenen ook al op de dag na een cyberaanval op banken, internet of stroom: die oefening. Dit weekend ging het om supermarkten. De oefening bij Axios ging over banken, internet of stroom.

Wie er aanviel, of Frankrijk en Ahold één campagne zijn, en of er een model aan te pas kwam: niets daarvan staat vast. Ahold zegt dat er geen reden is om de twee incidenten te verbinden. Billiet zegt dat de gedeelde dag geen toeval is. Of er bij Ahold klantgegevens zijn gekopieerd, is onbekend. Hetzelfde geldt voor het precieze gat in de software van Danfoss, en voor één winkeltal of één eurototaal.

Ik heb het stuk van CBS/AFP gelezen, de twee stukken van NOS, het interview in HLN, het bericht van Ahold en het artikel van BleepingComputer. Het stuk van Bloomberg heb ik niet tot het einde gelezen. De zes uur en het cijfer van ongeveer 150 Intermarché-winkels komen uit het begin ervan. Het paper van Claroty en het advies van CISA heb ik niet gelezen, Le Monde evenmin.