Les Mousquetaires, Eigentümerin der Kette Intermarché, erklärte, die Kühl- und Tiefkühlanlagen seien in den Abtaumodus versetzt und auf bis zu 50 °C aufgeheizt worden. CERT-FR, das Computer-Notfallteam der französischen Regierung, veröffentlichte am 12. Oktober eine französischsprachige Warnung: Dem Team sind zahlreiche Kompromittierungen bekannt, die zwei Danfoss-Baureihen betreffen, AK-SM und AK-SC. Betreiber sollen die Steuerungen vom Netz nehmen oder den Zugriff darauf filtern.

CERT-FR gehört zur nationalen Cybersicherheitsbehörde ANSSI. Deren Leiter Vincent Strubel bezeichnete es nach Angaben der AFP als dringlich, die beiden Baureihen aus dem Internet zu nehmen oder den Zugang sehr eng zu filtern. Weder die französischen Behörden noch Danfoss haben bislang mitgeteilt, wer hinter dem Angriff steht oder wie die Angreifer in die Steuerungen gelangten.

Betroffene Ketten

Die Ketten nannten gegenüber AFP, Reuters und dem Sender RTL eigene Zahlen, die jeweils die erreichten Filialen zählen. Nicht jede betroffene Filiale verlor ihre Ware: Dominique Schelcher sagte RTL, in den meisten der 80 betroffenen Märkte der Coopérative U habe die Kühlkette gehalten; nur eine Minderheit habe nicht schnell genug reagieren können und Ware verloren, berichtete AFP. Er lobte die rasche Reaktion der Filialmitarbeiter und der Kältetechnik-Dienstleister. Intermarché erklärte dagegen, die betroffenen Filialen hätten sämtliche betroffenen Produkte entsorgen müssen. Thierry Cotillard, Chef von Les Mousquetaires, rechnet nach Angaben von Reuters gegenüber BFMTV mit Verlusten in zweistelliger Millionenhöhe in Euro für ganz Frankreich.

Danfoss nannte in seinen Stellungnahmen vom 12. Oktober keine Zahl betroffener Systeme. Gegenüber Reuters erklärte das Unternehmen, man sei sich „Vorfällen in Frankreich bewusst, die eine begrenzte Zahl von Kälteleitsystemen betreffen“.

Betroffene Steuerungen und Patch-Lage

Gegenüber AFP erklärte Danfoss, bei den meisten getroffenen Geräten handele es sich um ältere Produkte, die keine Software- oder Sicherheitsupdates mehr erhalten; genannt wurden die AK-SM 800 und die AK-SC 355. Die AK-SM 800 erklärte Danfoss im Mai 2021 für abgekündigt, die AK-SC 355 lief 2016 aus. In einem Newsletter vom Oktober 2025 kündigte das Unternehmen an, sämtliche Dienstleistungen für solche Altgeräte einzustellen, und forderte Kunden auf, den Austausch zu planen.

Auch einige Geräte des aktuellen Modells AK-SM 800A waren betroffen. Diese liefen laut einer Stellungnahme von Danfoss gegenüber der Fachpublikation Cooling Post mit veralteter Firmware; Versionsnummern wurden nicht genannt. Auf der Seite mit den Danfoss-Sicherheitshinweisen stand mit Stand 13. Oktober weder ein Hinweis zum Angriff noch zu einem der beiden Altmodelle.

Empfehlungen für Betreiber

Die erste Anweisung von CERT-FR gilt für jede AK-SM- und AK-SC-Steuerung: trennen oder den Zugriff filtern. Eine Verwaltungsschnittstelle ins Internet zu stellen, widerspreche guter Praxis, heißt es in der Warnung. Lässt sich Fernadministration nicht vermeiden, ist die Beschränkung auf vertrauenswürdige IP-Adressen ein erster, vorläufiger Schritt; darüber hinaus verweist die Warnung auf die Härtungsempfehlungen von CERT-FR, die für den Energie- und Wassersektor verfasst wurden.

Für möglicherweise kompromittierte Steuerungen nennt die Warnung sechs Schritte in dieser Reihenfolge:

  • Netzzugriff auf die Steuerungen auf Dienstleister beschränken
  • Rücksetzen auf Werkseinstellungen
  • alle verfügbaren Sicherheitskorrekturen einspielen
  • Geheimnisse des Geräts wie Passwörter ändern
  • bestehende Konten prüfen
  • Gerät vollständig neu konfigurieren

Für AK-SM 800 und AK-SC 355 gibt Danfoss keine Korrekturen mehr heraus, der dritte Schritt läuft für deren Besitzer also ins Leere. Für die AK-SM 800A war am 13. Oktober das Softwarepaket 5.3.x das aktuellste gelistete. Ein System auf Version 3.x muss laut Readme des Pakets zunächst auf 4.x wechseln; ein Downgrade ist nach dem Wechsel auf 5.3.x nicht mehr möglich. Ab Version 4.0 ist die Einstellung „Strict Session Control“ standardmäßig aktiv und erzwingt HTTPS. Ob das Paket 5.3.x als Reaktion auf den Angriff erschien, geht aus den Danfoss-Seiten nicht hervor.

Gegenüber Cooling Post erklärte Danfoss, man arbeite mit Kunden an „Firmware-Updates, wo verfügbar, stärkeren Netzwerkschutzmaßnahmen und der Beseitigung direkter Internet-Exposition, wo zutreffend“. Die allgemeinen, auf Französisch veröffentlichten Sicherheitshinweise des Herstellers raten zudem, Steuerungen aus dem Internet unerreichbar zu halten, Standardpasswörter bei der Installation zu ändern und Fernzugriffe über einen einzigen verwalteten Zugangspunkt zu führen.

Indikatoren für eine Kompromittierung hatte CERT-FR bis zum 13. Oktober nicht veröffentlicht; Betreibern fehlen damit offizielle Anhaltspunkte zur Prüfung. Die Märkte der Coopérative U kaufen nicht direkt bei Danfoss, sondern sind laut Schelcher Kunden von Kältetechnik-Dienstleistern, die ihnen das Danfoss-System liefern.

Einstiegsweg unklar

Stand 13. Oktober hatte CERT-FR weder eine Schwachstelle noch eine Firmware-Version noch einen Angriffsweg benannt. Die Warnung mahnt lediglich allgemein davor, Verwaltungsschnittstellen ins Internet zu stellen, ohne dies als Einfallstor zu bezeichnen. Eine dem französischen Premierminister Sébastien Lecornu nahestehende Person sagte AFP, die ANSSI habe eine Schwachstelle in Software eines dänischen Unternehmens identifiziert und den Hersteller kontaktiert. Eine CVE-Nummer wurde nicht genannt, und die Aussage besagt nicht, dass diese Lücke beim Angriff genutzt wurde. E.Leclerc teilte AFP mit, ein Cyberangriff habe einen seiner Lieferanten für Kälteanlagen getroffen, mit Auswirkungen auf Kühltechnik in mehreren Filialen; der Lieferant wurde nicht genannt.

Für die neuere AK-SM 800A hatte Danfoss 2025 Korrekturen für drei Schwachstellen veröffentlicht; weder französische Behörden noch Danfoss haben sie mit diesem Angriff in Verbindung gebracht:

  • CVE-2025-41450: Umgehung der Authentifizierung in Versionen vor 4.2
  • CVE-2025-41451: Command Injection, die zu Codeausführung aus der Ferne führen kann
  • CVE-2025-41452: mögliche Denial-of-Service-Attacke

Die beiden letztgenannten erfordern eine Anmeldung und wurden in Version 4.3.1 behoben. Forscher von Claroty hatten die drei Lücken im August beschrieben, erklärt, sie ließen sich zu Angriffsketten verbinden, und berichteten, Tausende aus dem Internet erreichbare Verwaltungsschnittstellen von AK-SM 800A gefunden zu haben. Ihre Tests waren Laborarbeit am neueren Modell; der Bericht beschreibt keine Angriffe und erwähnt die beiden Altmodelle nicht.

Der Danfoss-Newsletter vom Oktober 2025 hält frühere Angriffe auf die AK-SM 800 fest: 2022 wurden 16 russische Supermärkte mit diesem Modell angegriffen, im selben Jahr wurden 40 israelische Filialen gehackt. Allen 40 fehlte ein angemessener Firewall- oder VPN-Schutz; der Newsletter nennt in beiden Fällen keine Schwachstelle.

Ermittlungen und Fälle in anderen Ländern

Die Pariser Staatsanwaltschaft hat AFP zufolge von Amts wegen ein Ermittlungsverfahren eingeleitet. Es wird von ihrer Cybercrime-Abteilung geführt und dem Anti-Cybercrime-Amt OFAC übertragen. Die Ermittlungen sollen die Opfer erfassen und den Zusammenhang zwischen dem Angriff und den gemeldeten Schäden klären – dazu zählen verdorbene Lebensmittel und Anlagen, die zu brennen begannen.

Die ANSSI steht nach Angaben der dem Premierminister nahestehenden Person mit Cybersicherheitsbehörden anderer europäischer Länder in Kontakt, da diese ebenfalls betroffen sein könnten. Félix Aimé, leitender Threat-Intelligence-Analyst bei Sekoia, sagte Reuters, auch Spanien, Portugal, Polen, Deutschland und Belgien seien betroffen gewesen; Einzelheiten dazu wurden nicht genannt.