Na de diepvriezers van de supermarkt: Europa vreest hacks op huishoudtoestellen

Of: waarom de handigste deur van je zaak vaak niet op het bouwplan staat

Op maandagochtend 2 november stonden de diepvriezers van tientallen Belgische buurtwinkels op zo’n 15 graden. Niemand had ingebroken, er was geen virus geïnstalleerd en er liep geen groene code over een scherm. Iemand had op afstand een instelling veranderd die daar om een goede reden zit, en die instelling was via internet bereikbaar omdat dat voor de frigorist zo handig is. Nu zegt het Europese cyberagentschap dat je wasmachine de volgende kan zijn. Dat klinkt als sciencefiction. Het is eigenlijk een vraag over deuren.

Cyberaanval op koelkasten van supermarkten: wat er gebeurde

Twee nachten, twee landen, dezelfde knop

Het begon in Frankrijk. Op 12 oktober 2026 vielen de koelsystemen van winkels van U en Intermarché uit, en de Franse regering sprak later van zo’n 700 getroffen supermarkten. Drie weken later, in de nacht van zondag 1 op maandag 2 november, was België aan de beurt.

• Delhaize: een veertigtal winkels, vooral Proxy en Shop & Go.
• Carrefour België: 15 van de 700 winkels.
• Intermarché: een vijftiental winkels.
• Spar (Colruyt Group): vijf winkels.

Dat zijn er samen minstens 76. Het federaal parket opende een onderzoek. Dezelfde nacht werden ook winkels in Zweden, Nederland, Ierland, Estland en Finland getroffen. In een Zweedse supermarkt stonden de diepvriezers ’s ochtends op +50 °C, wat geen temperatuur is waarbij je nog iets uit de diepvries verkoopt.

Op 9 november schreef Frankrijk de aanval van oktober officieel toe aan Shahid Kaveh, een cybereenheid van de Iraanse Revolutionaire Garde. Juhan Lepassaar, de directeur van ENISA, wilde daar niet op reageren. Hij zei wel dat verschillende groepen die aan staten als China, Iran en Noord-Korea verbonden zijn, Europese bedrijven viseren.

Hoe je een diepvriezer opwarmt zonder virus

Een diepvriezer bouwt na verloop van tijd een laagje ijs op rond de onderdelen die de kou maken. Daarom heeft hij een ontdooifunctie: hij warmt die onderdelen even op, het ijs smelt, en daarna koelt hij gewoon verder. De aanvallers zetten die functie op afstand aan en lieten ze aanstaan. Er kwam geen schadelijke software aan te pas, alleen een instelling die anders stond dan ze hoorde te staan.

Dat lukte omdat de regelaars van die koelinstallaties rechtstreeks op internet hingen. Het Franse CERT waarschuwde op 12 oktober voor regelaars van Danfoss, Copeland en Dixell. Volgens de Deense krant Børsen erkent Danfoss dat zijn producten betrokken zijn, via een bekend lek in verouderde software dat nooit was gedicht.¹

Vergelijk het met een winkel met een stevige voordeur, een alarm en een camera. Achteraan, naast de koelcel, zit een klein deurtje waarvan de frigorist de sleutel heeft, zodat hij ’s nachts kan ingrijpen als er een alarm afgaat. Handig. Alleen hangt die sleutel aan een haakje naast het deurtje, aan de buitenkant. En het deurtje staat niet op het plan dat de verzekeraar en de IT-verantwoordelijke ooit hebben gezien. Het is het soort deur dat niemand bewaakt, omdat bijna niemand weet dat ze bestaat.

De Belgische koeltechnicus Sabcobel, die honderden installaties beheert, telde een twintigtal getroffen systemen. Volgens directeur Stephan Moelans waren de meeste klanten na de Franse aanval al overgestapt op een beveiligde verbinding. De meeste, dus. Ik vind dat het meest leerzame detail van het hele verhaal: het probleem was bekend, de oplossing ook, en drie weken bleek net te kort.

Vandaag de koeling, morgen de router

Wat ENISA nu zegt, komt neer op dit: vandaag waren het de koelingen, morgen kunnen het de routers zijn en daarna de huishoudtoestellen. Wasmachines, ovens, robotstofzuigers en thermostaten hangen intussen allemaal aan het internet. Volgens Lepassaar zit er in elke dienst waar je als burger van afhangt een stukje code, en dat stukje code kan gekraakt worden als niemand het beschermt. Hij denkt daarbij niet alleen aan frigo’s, maar ook aan de politie, de brandweer, het ziekenhuis en het openbaar vervoer.

Voor routers is “morgen” eigenlijk al gisteren. Ze worden al jaren massaal overgenomen, meestal via een standaardwachtwoord of een lek dat nooit werd bijgewerkt.² In oktober bleek nog dat modems van Proximus, VOO en Orange een lek van zestien jaar oud in hun wifisoftware hadden. De Amerikaanse FBI waarschuwt intussen dat ook buiten Europa industriële koelsystemen en systemen die de koudeketen bewaken, het doelwit zijn.

Lepassaar is wel opvallend eerlijk over de prijs. Volgens hem zijn alle incidenten te vermijden. De vraag is alleen of we bereid zijn om ervoor te betalen, want cyberbeveiliging is niet goedkoop. Dat is een zin die je zelden hoort van iemand wiens budget ervan afhangt, en daarom geloof ik hem.

Wat de wet regelt, en wat niet

Europa rekent op de Cyber Resilience Act, een verordening die sinds december 2024 van kracht is en in stappen ingaat.

• Sinds 11 september 2026 moeten fabrikanten een lek dat actief wordt misbruikt of een ernstig incident binnen 24 uur melden.
• Vanaf 11 december 2027 moet elk product met software dat in de EU wordt verkocht, veilig ontworpen zijn, met veilige standaardinstellingen en beveiligingsupdates. Zonder dat geen CE-markering.³

Dat is goed nieuws voor de wasmachine die je in 2028 koopt. Het helpt niet voor de koelregelaar die in 2015 werd geïnstalleerd, de printer in je kantoor of de camera boven je kassa. Die blijven zoals ze zijn, met de deurtjes die ze al hebben.

Kmo-Kristof: Gelukkig heb ik geen supermarkt. Bij ons staat alleen een frigo met frisdrank.

Security-Sofie: En een printer, drie camera’s, een NAS en een thermostaat die je met je gsm bedient.

Kmo-Kristof: Die thermostaat is handig. Ik zet de verwarming al aan voor ik vertrek.

Security-Sofie: Wie kan dat nog?

Kmo-Kristof: Niemand. Denk ik. De installateur misschien.

Security-Sofie: Dat dachten de supermarkten ook.

Wat kun je nu doen?

1. Maak een lijst van alles met een stekker en een netwerkverbinding. De koelcel, het kassasysteem, de printer, de camera’s, de NAS, de thermostaat, het alarm, het scherm in de vergaderzaal. Wie geen lijst heeft, weet niet hoeveel deuren er zijn.
2. Vraag je installateurs hoe ze op afstand binnenkomen. De frigorist, de alarmfirma, de leverancier van je kassasysteem. Hangt het toestel rechtstreeks aan het internet, vraag dan een toegang via een VPN of een andere beveiligde verbinding. Voor een slager, bakker, apotheker of restaurant met een koelcel die op afstand bewaakt wordt, is dit de belangrijkste vraag van allemaal.
3. Verander standaardwachtwoorden en installeer updates. Een toestel dat geen updates meer krijgt, vervang je of haal je van het internet.
4. Zet slimme toestellen op een apart netwerk. De meeste routers hebben een gastnetwerk. Zet de thermostaat en de camera’s daar, weg van de pc met je boekhouding.
5. Kijk bij een aankoop hoe lang de fabrikant updates belooft. Vanaf december 2027 moet hij die periode vermelden. Tot dan vraag je het gewoon.

De diepvriezers in de buurtwinkel waren niet slim genoeg om gehackt te worden. Ze waren gewoon bereikbaar. Dat is ook het goede nieuws voor je wasmachine: je hoeft niet bang te zijn dat ze slimmer wordt dan jij. Je moet alleen weten welke deur ze naar buiten heeft, en wie de sleutel heeft.