'Koelsystemen supermarkten in Nederland hebben van datum afgeleid wachtwoord'

Er zijn koelsystemen in Nederlandse winkels in gebruik die kwetsbaar zijn voor hacks. De loginpagina's zijn bereikbaar via het openbare internet en het wachtwoord is gebaseerd op de huidige datum.

Het gaat om installaties van de Deense leverancier Danfoss, meldt The Shadowserver Foundation. Er zijn in Nederland ongeveer 57 kwetsbare systemen te vinden, meldt RTL Nieuws. Die hebben nog niet de patch geïnstalleerd waarmee inloggen kan via een wachtwoord op basis van de datum. Dat is een standaardfunctie van de apparatuur, maar bleek onveilig. Die kwetsbaarheid zit niet alleen in de verouderde versie van de koelinstallatie, maar ook in een nieuwe en nog wel ondersteunde versie.

Een fix daarvoor kwam anderhalf jaar geleden uit, maar veel klanten hebben die patch niet geïnstalleerd. De kwetsbaarheid kwam in de aandacht door een hack afgelopen week bij Franse supermarkten. Daar zetten criminelen de temperatuur in de koeling op +50 graden Celsius, waardoor de producten ontdooiden. Die hack is makkelijk uit te voeren, omdat loginpagina's voor de koelinstallaties via het openbare internet toegankelijk zijn.

Reacties (119)

[dmantione]

Dat de koelkast van afstand bediend kan worden is één ding. Dat er een triviaal wachtwoord op zit, is een tweede. Maar... een koelkast met een publiek IP-adres waar geen enkele toegangscontrole op zit? Zo naïef zijn we anno 2026 nog?

[IStealYourGun]

Het zou je verbazen hoeveel industriële machines rechtstreeks bereikbaar zijn omdat de leverancier dat "eist", want anders geen support. Op zich moet dat geen issue zijn als die systemen deftig up to date worden gehouden en deftig worden beveiligd. Met de nadruk op als...

[tp2]

Dat is zeker waar. Maar sinds de invoering van de Cyber Resilience Act (CRA) is de leverancier wel aansprakelijk. Leveranciers die dit (in het verleden) hebben gedaan kunnen maar beter zorgen dat ze dit heel snel repareren.

[Sfynx]

Het e.e.a. zou al prima verbeterd kunnen worden door het om te draaien en de apparatuur met de leverancier te laten verbinden i.p.v. andersom, het lijkt me i.i.g. een stuk handiger als niet Jan en alleman allerlei netwerken open moeten zetten i.p.v. dat een leverancier een enkel endpoint goed moet beveiligen.

De standaard Chinese IoT meuk voor in huishoudens werkt ook zo, waarom dit dan niet?

[satya]

Zoiets als ZTNA? Onze konica printers worden ook volgens dergelijke principes behherd door konica op afstand.

[boran_blok]

En ik maar zitten sukkelen met mutual TLS met daarbovenop nog oauth en dat achter een firewall die slechts 4 IP adressen toelaat....

DAT is de grootste klucht achter al die verhalen. We weten redelijk goed hoe we iets secure moeten maken. Dat wisten we 10 jaar geleden ook al, dus zulke lekken zoals bij die koelkasten vallen volgens mij onder grove nalatigheid.

Als er morgen een auto op de markt komt waarbij de gordels gemaakt zijn uit papier en de airbags uit ikea zakken gaan we ook niet bij een ongeval zeggen "oepsie" maar gaan we de maker aanklagen voor zijn shitty systeem.

Dat er nog geen kwaliteitsvereisten zijn voor software is een schandaal.

[mcmd]

Het zou toch al een stuk beter zijn om het achter een firewall te zetten en toegang via een gecontroleerde VPN omgeving te realiseren?
Dit is niet een type apparaat dat "direct" aan Internet bereikbaar zou moeten zijn...

[n9iels]

Ik denk dat het probleem vooral is dat niemand in deze winkels überhaupt weet dat dit het geval is, laat staan dat er iemand is die zich hier druk om maakt. Dit klinkt namelijk als een functionaliteit die ooit verkocht is onder de naam "monitoring op afstand" of "beheer op afstand". Op zijn best heeft een manager gevraagd of het veilig was en heeft de installateur dit uiteraard bevestigd. Dus we zijn niet naïef anno 2026, we zijn volledig onwetend.

[Znorkus]

De koelkast had niets te verbergen denk ik.

[Cerebriform]

[1khalid]

Klopt die doet geen rare dingen zoals bepaalde mensen

[MrTail]

Dat anno 2026 een leverancier + evt installatie partner niet de verantwoordelijkheid (kunnen) nemen om dit soort onveilige situaties te voorkomen, dat vind ik een veel groter probleem. We worden wekelijks overspoeld met hacks, overal ter wereld, in veel verschillende soorten industrieën. Je mag van de leverancier van zo’n product dan ook verwachten dat ze inmiddels echt wel wakker zijn geschud, en dan ook het voortouw nemen en stellen: we gaan onveilige configuratie situaties voorkomen, en zorgen dat heel snel alle software gepatched wordt. Als je als leverancier, wel of niet met behulp van partners, dit niet in korte tijd voor elkaar krijgt bij je klanten, dan is je product gewoon niet goed.

[Toppe]

Onze software leverancier is bezig met een ISO27001 traject en het wachtwoord voor de SQL database staat als plain text (ok, Base64) in een rapport document 👌🏻

[Stronk]

Moet kunnen

[devlam]

Stond deze week bij een AH vestiging. Ik zag een reclamescherm die geen reclame toonde maar:

Mac adress, ip adress, versienummers, environment stond op AH production en playlists incl urls

[xoniq]

En daarbovenop nog nalatigheid erbij:

Een fix daarvoor kwam anderhalf jaar geleden uit, maar veel klanten hebben die patch niet geïnstalleerd.

[Super_Fred]

Plus: een koelkast die je op +50 graden kunt zetten?

[Damic]

DE controller is een algemene controller waarmee je zowel kunt koelen als verwarmen, daarmee de 50°C

[Minimalist1]

Het zijn vriezers die je ook geforceerd snel kan ontdooien….

[Davey400]

Ik kocht laatst voor weinig een HD-recorder voor meerdere (composiet) camera’s.

Even gedoetje met de ActiveX beheerpagina, maar toen dat werkte zocht ik naar het default password voor login op basis van de tekst op die openings-pagina. Naast het antwoord kreeg ik letterlijk tientallen andere links naar login-pagina’s van vergelijkbare apparaten, gewoon direct aan het net, met hetzelfde default password. Doordat mijn browser zelf al admin/admin in ging vullen* was het openen voldoende om binnen te komen in verschillende hotels en winkels, zo te zien verspreid over de wereld.

*(_{tja, dat had ik ook kunnen gokken, maar zo simpel ging ik niet eens van uit…}

[Moortn]

Je ziet tegenwoordig dagelijks hoe naïef en onwillig tot verandering individuen, overheden en bedrijven zijn. Of het nou gaat om IT, privacy, energie, defensie of de economie. Dit is ook weer een “mooi” voorbeeld dat waarschijnlijk veel vaker speelt dan je zou willen en nog vele bedrijven enorm pijn gaat doen.

Als ik morgen ergens zou lezen dat jaarlijks 100 Nederlanders een vork in het stopcontact steken omdat ze denken er niks van te merken, dan zou ik het meteen geloven.

[Raindeer]

Dit zijn niet je oma's koelkasten. Dit is ook niet het enige lek. Er is ook een supermarkt koelkasten botnet actief! @arnoudwokke https://www.pentestpartners.com/security-blog/you-dont-need-a-nation-state-to-warm-up-a-fridge/

Dit is een volledige supermarkt als modulaire koel vries combi met HACCP registratie, integratie met airco en verwarming en automatische alarms en service monteur bezoeken wanneer het mis gaat. Een ieder die zegt dat dit niet verbonden moet zijn met het Internet kletst uit zijn nek en maakt het systeem alleen maar onveiliger. Dit werkt alleen met netwerken, dus moet iedere beheerder en ontwikkelaar ervan uit gaan dat dit alles vindbaar is in Shodan en zijn security daar op inrichten. Dat is bij deze modules niet gebeurd, niet bij het ontwerp, maar al helemaal niet nu het in productie is, want de patches waren niet geïnstalleerd. Waar we echter niets mee opschieten is security door obscurity. Je wil liever niet dat deze apparaten te vinden zijn op Shodan of in je bedrijfsnetwerk, maar ga ervan uit dat ze dat wel zijn en dat er geen safe space is. Vertrouw niets en niemand en dan is het vast beter beveiligd.

[Webgnome]

[quote]Een ieder die zegt dat dit niet verbonden moet zijn met het Internet kletst uit zijn nek. [/]

Vertel mij eens, zijn er supermarkten waar nooit personeel aanwezig is? En als daar het antwoord op NEe is waarom hangen die dingen dan op internet? Wat kan dit systeem wel wat mensen in de supermarkt niet kunnen?

[Raindeer]

Kijk eens naar deze filmpjes en vertel me dan of jij zelf, persoonlijk in staat bent om deze systemen te onderhouden en te beheren met jou huidige niveau aan opleiding en ervaring.

https://www.danfoss.com/en/industries/food-and-beverage/dcs/food-retail/#tab-overview

[KouweZakkie]

Niet de originele reaguurders, maar een simpelweg alweer bijna-midlife collega-tweaker hier. Ik zou de vraag anders willen formuleren: waarom zijn we zo ontzettend hitsig geworden op alles aan een (blijkbaar openbaar toegankelijk) netwerk hangen terwijler voor het onderhoud en beheer ook een mensje in een (voor mijn part) electrisch auto kan stappen? Of, beter nog voor de werkgelegenheid: een meer lokaal figuur, gewoon op de fiets?

Het antwoord is natuurlijk "maar dat is duurder!", en aan dat aspect begin me toch stevig een enorme schurft te krijgen. Alles hangt maar af van de euro-tekens in de ogen, en alles gaat naar de spreekwoordelijke haaien (had een iets duidelijker term in gedachten). Nutsbedrijven geprivatiseerd, "want dan wordt het goedkoper"; de zorg in brede zin (dus zowel somatisch/lichamelijk als geestelijk) geprivatiseerd, "want dan wordt het goedkoper"... En wat regelt het kapitalisme nu eenmaal? Meer geld naar waar het al zit. Lees Piketty maar: meer ongelijkheid, meer ontevredenheid, meer verdrukking al sinds de 80er jaren.

Zijn deze supermarkten daar debet aan? Nee, natuurlijk niet (hoewel aan hetzelfde fenomeen onderhevig; zie bijvoorbeeld de voedingsongelijkheid), maar het is een symptoom van. En het gaat ons opbreken.

Ik word geloof ik oud.

[Reactie gewijzigd door KouweZakkie op 15 oktober 2026 21:19]

[E-Flex]

Het is niet alleen duurder om "een mannetje" te hebben, maar je moet uberhaupt maar eens een mannetje zien te vinden, dat is echt een probleem

[FreezeXJ]

Tja dat mannetje hebben ze blijkbaar, want hij kan het nu remote. Misschien is het wel iemand uit Verweggistan, maar iets doet me vermoeden dat als je dit beter afschermt met een VPN of soortgelijk, of in elk geval 2-factor authenticatie, dat je al een hoop mogelijke issues bespaart.

Daarnaast: waarom zou je voor speelgoed kiezen dat je niet lokaal kunt beheren? Als het zo ongelofelijk ingewikkeld is dat de lokale loodgieter er geen pijp meer van snapt, dan is dat een risico, en dat zul je serieus moeten meewegen.

[Raindeer]

Ik ben 50. Als jij terug wil naar een tijd waar de Rijksdienst der PTT mag bepalen welke telefoontoestel jij mag gebruiken en welke bedrijven informatie mogen plaatsen op videotex, ga je gang maar.

De jaren 80 waren niet gelijker dan nu. Ja, ze waren "gelijker" maar armer in het rijke Westen. Ze waren veel ongelijke in de rest van de wereld. We zijn nu rijker, hebben meer gezonde levensjaren, zijn gelukkiger en leven met minder criminaliteit dan ooit tevoren en we doen dat met minder werkende mensen.

Philips verving ooit 1000 schakelingen in een TV door 1 microchip. Dan kun je gaan klagen over een lokale televisie reparateur die geen werk meer heeft of blij zijn dat alle arbeiders een betere tv kregen voor minder geld die minder reparaties nodig had.

En het democratisch kapitalisme is het minst slechte systeem, mits je een sterke markt combineert met een sterke overheid en goede publieke voorzieningen. Die elementen zijn niet in tegenspraak met elkaar, maar essentiële voorwaarden voor een goed functionerende maatschappij.

Is er een hoop mis in onze huidige maatschappij? Ja. Vergt dat een sterkere overheid en betere collectieve voorzieningen? Ja. Moeten we dan maar terug naar autarkie en collectivisme? Nee

[BugBoy]

Er loopt 's nachts geen personeel in de supermarkt en wil je ook wel zeker zijn dat de vriezer niet (te lang) heeft uitgestaan. Ik kan me wel voorstellen dat je niet handmatig je vriezers gaat temperaturen, maar liever 24/7 monitoring hebt en alarmering (als de temperatuur te snel oploopt). Ik kan me zelfs voorstellen dat het NVWA dat soort rapportages verplicht stelt.

Het probleem is niet de monitoring en/of aansturing, maar het is dat het slecht beveiligd is. Jij kan ook naar een bank gaan om je bankzaken te regelen (alhoewel dat tegenwoordig betwijfel), maar vrijwel iedereen vindt het handiger om online te bankieren. Dat kan ook gewoon veilig, mits je daar aandacht aan besteed. Dit is niet anders...

[DennusB]

Dit soort dingen moeten gewoon niet aan het publieke internet. Echt major fuckup als je dat wel doet.

[jeroen3]

Ik heb net even in de manual gekeken. En de unit wil juist graag aan het internet, om updates op te halen en om de UI builder te gebruiken. Er is ook een "SvW cloud" om je hele vloot te beheren.

Mijn vermoeden is dat deze units veel aan een door het koeltechniek service beheerd m2m modempje hangen, en daardoor geen NAT hebben en direct beschikbaar zijn op internet.

Manual zegt ook:
10.5 Security
The System Manager 800A series has been designed to reside
behind appropriately configured firewalls and secure LAN. Do not
install on any public or non secure network.

Helaas is de gemiddelde installatietechnieker niet zo IT-security gericht. Die hebben zelfs vaak laptop-angst.

Ook zijn vrijwel alle speciale chars niet toegestaan in passwords... Raar.

[Reactie gewijzigd door jeroen3 op 15 oktober 2026 19:28]

[The Realone]

"Aan het internet hangen" en "via het publieke internet bereikbaar zijn" zijn sowieso twee verschillende dingen. Overigens, juist als er een "m2m modempje" tussen hangt, verwacht dat dit op zijn minstens een VPN router is waarbij ook de firewall rules, van toegestante IP addressen, op afstand ingesteld kunnen worden. Dat was anno 2016 al geen hogere wiskunde, laat staan in 2026.

[fruitbakje]

Dit soort koelkasten zijn nou niet bepaald kritieke infrastructuur toch?

Het heeft gewoon voordelen als het wel kan. Beetje kosten/baten-verhaal.

[Bor]

Voedselvoorziening kan redelijk kritiek zijn. Zie bv het incident bij Albert Heijn momenteel. Daarbij hoeft acceptabele beveiliging niet de hoofdprijs te kosten.

[Reactie gewijzigd door Bor op 15 oktober 2026 19:19]

[fruitbakje]

Dat is juist het voorbeeld van dat koelkasten in supermarkten niet kritiek zijn...? Het incident bij AH is veel groter dan alleen de koelkasten. En zelfs met dit AH-incident gaat er niemand dood, er zijn genoeg alternatieven?

Ik denk dat we verschillende definities van kritiek hanteren .

[Bor]

Er is niemand dood maar er is wel onrust en ongemak. Dit incident betreft slechts een aanbieder maar er zijn meer bedrijven die deze koelsystemen gebruiken. Naast die direct impact of de voedselvoorziening heb je ook te maken met de maatschappelijke impact.

Daarbij is het argument of iets kritieke infrastructuur is of niet totaal irrelevant. De beveiliging hoort gewoon op orde te zijn. Punt.

[Reactie gewijzigd door Bor op 15 oktober 2026 19:24]

[fruitbakje]

Daarbij is het argument of iets kritieke infrastructuur is of niet totaal irrelevant. De beveiliging hoort gewoon op orde te zijn. Punt.

Dat iets kritieke infra is was slechts een voorbeeld. Voor goede beveiliging hoeft het niet per se niet meer aan het internet te hangen zoals bijvoorbeeld de Nederlandse kritieke infra. En 'los van het internet', daar ging het DennusB in ''Koelsystemen supermarkten in Nederland hebben van datum afgeleid wachtwoord'' om.

Goede beveiliging kan ook door dat wachtwoord niet zo knullig in elkaar te knutselen. Ja als iedereen hier vind dat alles los van het internet moet prima hoor. Dan worden dingen wel wat ingewikkelder verwacht ik. Maar goed, doe je ding zou ik zeggen.

[Bor]

Goede beveiliging kan ook door dat wachtwoord niet zo knullig in elkaar te knutselen. Ja als iedereen hier vind dat alles los van het internet moet prima hoor. Dan worden dingen wel wat ingewikkelder verwacht ik. Maar goed, doe je ding zou ik zeggen.

Alleen een moeilijker te raden wachtwoord maakt nog geen goede beveiliging. Goede beveiliging hangt af van meerdere sterke maatregelen. Admin interfaces horen helemaal niet direct via het publieke internet bereikbaar te zijn natuurlijk.

[MIB75]

Wat een gezwets. Dergelijke systemen moeten niet aan het openbare Internet, dat heeft totaal geen nut. Iedereen die dat handig vindt, is incompetent. Het is handig dat ze bereikbaar zijn via een netwerk, maar nooit via het openbare Internet.

[OruBLMsFrl]

Goede beveiliging bouw je juist op uit meerdere verschillende lagen. Dus én een goed wachtwoord systeem zonder backdoors én iets van een tussenstap op netwerkniveau om koelsystemen in te kunnen stellen. Er was op bepaalde plekken toch ook sprake van brandgevaar door die 50 graden instelling, het is geen wereldramp of zo maar je kunt ook wat te laconiek zijn.

Met NIS2 heb je nog kans ook dat de directie hoofdelijk aansprakelijk gesteld wordt door de veroorzaakte maatschappelijke onrust en nalatigheid want niet conform de leveranciersinstructies. Die hoofdelijke aansprakelijkheid zal hier vast niet zo snel echt ingezet worden, maar minstens een teken dat dit politiek als onfris gezien wordt.

Al dat risico om dan niet die koeling via een VPN of jumpserver benaderbaar te maken ipv direct publieke internet toegang, daarvoor mag je nu tot slot dan wat weken werken om die derving weer goed te maken, en gaat je koelvries systeem misschien op bepaalde plekken nog wel roesten ook van al dat deels ook nog zoute smeltwater.

[1khalid]

Het is een supermarkt en geen overheidsinstantie…. Niet ons probleem als een dure supermarkt het niet op orde heeft.

[CPV]

De koelingen van AH alleen is niet zo kritiek. Maar de koelingen van 300 supermarkten uitzetten begint toch wel redelijk in de buurt te komen.

[Wouterie]

Op bijna 8500 (https://companydata.com/nl/bedrijven/nederland/supermarkten/) supermarkten is de koeling bij 300 daarvan echt niet kritiek. Hooguit vervelend.

[Finraziel]

De impact bij de winkels is ook niet zo groot als wat de media ervan maken... Die willen gewoon graag zoveel mogelijk sensatie dus doen net alsof er niks meer te krijgen was maar in de praktijk was er in ieder geval in de winkel waar ik geweest ben nog zat te koop (bijna alles nog eigenlijk). Als alle vriezers ineens verwarmers zouden worden dan zou dat denk ik minstens zoveel werkelijke impact kunnen hebben als dit incident bij AH.

[fruitbakje]

Als alle vriezers ineens verwarmers zouden worden dan zou dat denk ik minstens zoveel werkelijke impact kunnen hebben als dit incident bij AH.

Dan gaan er meer dingen fout in je organisatie dan alleen een slecht in elkaar geknutseld wachtwoord (waar het in dit artikel om ging). Want dat is vrij simpel op te lossen door een stekker eruit te trekken... Als in, als een koeling een verwarming wordt meer dan een dag speelt vind ik niet dat je naar je leverancier moet wijzen dat ie z'n wachtwoorden verkeerd in elkaar flanst.

[Finraziel]

Oh echt? En dan? Op het moment dat ze het merken is alles waarschijnlijk al aan het smelten. Als je dan de stekker er uit trekt zijn die producten eigenlijk al niet meer verkoopbaar en binnen niet al te lange tijd ook niet meer geschikt voor consumptie.

[theobril]

Toch hoop ik niet dat je uit hoofde van je functie de ict van mortuaria beheert. Er zou inderdaad niemand dood van moeten kunnen gaan ivm gepasseerd station, maar heel feestelijk is het ook niet.

[TMon]

En door die media hetze vermijden mensen nu de AH, aldus m'n vrouw die vanmiddag ging. Mensen denken echt dat er niks meer is. Er is zeker heel wat op, maar nog veel meer wel gewoon te krijgen.

Erg jammer zo.

[Little Penguin]

Het incident bij AH is veel groter dan alleen de koelkasten.

De koelingen bij AH zijn ook niet gehackt, meer de IT gerelateerd aan voorraad-(beheer)...

[phray]

Uhh stiekem de koelkasten snachts uit doen en eten langzaam laten bederven kan je flink schade mee doen.

[CPV]

Langzaam? Op +50 graden zetten, zoals ze in Frankrijk deden. Binnen een uur bedorven.

[guido66]

Er zal geen verwarmingselement in die koelkasten zitten, dus 50 graden is hetzelfde als uitzetten.

[BrainCrash]

Een koelkast is een warmtepomp.
Genoeg warmtepompen, inclusief de gemiddelde huis/tuin/keuken airco kan prima zowel actief koelen als actief verwarmen zonder verwarmingselement nodig te hebben, door simpelweg de werking van het koelsysteem om te draaien.
Ik sta er niks van te kijken als dergelijke industriele koelsystemen waar we het hier over hebben ook gewoon zo'n omkeer-fuctie hebben om te schakelen tussen koel-modus of verwarmings-modus door middel van de warmtepomp.
Dus nee, 50 graden actief via de warmtepomp regelen is dan echt iets heel anders dan 'uitzetten'.

[Davey400]

Ze gaan dan niet verwarmen tot +50 graden, ze gaan alleen niet meer koelen omdat ze altijd op een temperatuur zitten die al laag genoeg is.

Als jij de thermostaatkraan van je cv-radiator op ❄️ zet gaat het ook niet ineens vriezen in de huiskamer.


Hm. Mea culpa. Er was daadwerkelijk een verhittingsfunctie aanwezig voor het versneld ontdooien. Kennelijk ging de temperatuur ook echt richting de 50 graden. Die had ik even niet meegekregen…

Nu wel: https://www.occrp.org/en/news/hackers-turn-french-supermarket-refrigerators-into-furnaces

[Reactie gewijzigd door Davey400 op 15 oktober 2026 20:46]

[phray]

Dat is dus veel te opvallend.

[DennusB]

Het maakt je attack surface alleen maar groter. Los VLAN, geen internet, VPN. Vrij normale dingen om dit soort ellende te voorkomen

[runeazn]

Is eten en drinken kritiek voor leven? Ik vind van wel.

[Venator]

Eten niet, drinken wel. Zonder eten kun je 30-50 dagen overleven, zonder drinken maar enkele dagen. Daarom hebben watermaatschappijen ook een leveringsverplichting volgens de wet. Zelfs als IT systemen stuk gaan, moet men in staat zijn aan alle burgers te blijven leveren (daarom meestal ook een scheiding in proces automatisering en kantoorautomatisering).

[fruitbakje]

Zeker is voedsel kritiek voor de maatschappij. Maar volgens mij gaat het hier om de voedselvoorziening, en dan heel specifiek die van gekoeld voedsel, en dan heel specifiek de koelingen van de leverancier Danfoss. Wat dat betreft zie ik zie graag voorbeelden van situaties waardoor mensen door (enkel) kapotte koelingen van koelkasten van slechts 1 leverancier niet meer kunnen voldoen aan deze levensbehoefte.

Als er echter genoeg alternatieven zouden zijn voor alle mensen om toch aan eten (zelfs aan vers eten, wat niet eens op korte termijn nodig is om te overleven, waardoor vers eten dus niet eens op korte termijn kritiek is) te komen, dan nee, dan is de voedselvoorziening via alleen de koelingen van 1 leverancier niet kritiek. Althans, niet zoals ik het zie. Maar ik zie dus graag je voorbeelden tegemoet.

[Wouterie]

Ja, maar hier gaat het alleen maar om koeling. Om je diepvriespizza nou meteen kritisch te noemen is wel een beetje kortzichtig. Er is nog meer dan genoeg ander voedsel.

[Blokker_1999]

Neen, dit hoort niet rechtstreeks bereikbaar te zijn vanop het internet. Dat heeft geen enkel voordeel. De enige reden dat je het doet is kostenbesparing. Want goed beveiligen met bijvoorbeeld een VPN is echt niet moeilijk. Gewoon iets als een Ewon er tussen en je bent al klaar.

[dasiro]

Ik weet niet wat voor bedrijf jij runt of waar je werkt, maar voor een supermarkt is dit bijna even kritiek als de kassa's.

Het verschil tussen een afgeschermd systeem en iets dat vanaf het internet direct benaderbaar is, zou ook veel groter moeten zijn qua beveiliging, los van het feit dat dit noodzakelijk, laat staan gewenst zou zijn.

Dit is dus de combinatie van de 2 slechtst denkbare situaties en dan is het niet te verbazen dat ze op een dag plots allemaal op 50° staan te draaien zoals in Frankrijk.

[CPV]

In 300 supermarkten (Frankrijk) alle koelingen op +50 graden zetten, lijkt toch wel op de AH verse groenten, die door de IT perikelen snel niet meer beschikbaar was.

[GeeBee]

Ik had van gebruiker 'fruitbakje' een antwoord verwachten met meer aandacht voor koeling

/Ontopic

Deze hack levert ook een boel schade op, materieel én immaterieel.

[jaxxil]

Er is weinig wat echt kritiek op zich is. Maar als er iemand kwaad in de zin heeft moet je eens kijken wat er gebeurt als er 5 stukken 'niet-kritieke infrastructuur' tegelijkertijd in dezelfde sector uitvallen.

Bij dit soort dingen is het altijd de kunst om na te denken wat voor mogelijkheden een totaalbeeld schept voor een aanvaller, in plaats van alles als geisoleerd incident te behandelen. In dit geval, een houding als "niet-kritieke infrastructuur mag aan het internet en beveiligingsincidenten daarmee zijn niet zo erg" zal je heel snel een totaalplaatje rondom beveiliging opleveren waar een echt kwaadwillend iemand flinke schade mee kan doen.

[Reactie gewijzigd door jaxxil op 15 oktober 2026 19:33]

[beyazz06]

Iets met zwakste schakel in je netwerk 😊

[The Raido]

Nou ja, wat heet. https://www.hln.be/buitenland/dit-is-ongezien-hackers-doen-koelinstallaties-van-supermarkten-in-heel-frankrijk-op-hol-slaan-mogelijk-voor-miljoenen-euros-aan-schade~aa9df1fb/

[svennd]

Food Production: Large-scale food production, processing, and distribution.

volgens NIS2 wel important...

[BvdW1978]

Koelkasten zijn dankbare jumphosts.

[Raymond Deen]

In Frankrijk is door de ontdooiende vriezers voor tientallen miljoenen euro’s aan voedsel weggegooid. Zijn dat genoeg kosten voor je?

[coolkil]

Paar miljoen schade in Frankrijk… is nou ook niet niks

[FreezeXJ]

Nee maar dat overkomt ons echt niet. Wij hebben een papiertje dat zegt dat we gecertificeerd zijn, en we hebben procedures voor alles (op papier). We zijn zelfs ISO 27001 certified... [wat wederom vertelt dat alles op papier klopt].

[ronansoleste]

Dit soort wachtwoorden horen ook niet op het publieke internet. Dat is major fuckup #2

[Blokker_1999]

Eenvoudig te raden of standaard wachtwoorden horen niet. Ongeacht of dat het publiek bereikbaar is of niet. Dat een apparaat als dit rechtstreeks aan het internet hangt is daar een bonus boven op. Want ook dat hoort uiteraard niet.

[HKLM_]

Ik las op X dat dit system iedere dag het wachtwoord reset naar de huidige datum.. wie dat heeft verzonnen.

[Vae Victus]

Wisselt in ieder geval vaker van wachtwoord dan de meeste mensen.

[njitter]

Security through obscurity. Het staat waarschijnlijk gewoon als feature in een onderhoudsmanual🤦‍♂️

[melvinnie]

Helemaal mee eens, zelfs met een simpele router met vpn had dit al voorkomen kunnen worden. Echt kansloos.

[Little Penguin]

Je vraagt je dan wel af waarom die interfaces aan het publieke internet hangen en vooral hoe. Er is al jaren een schaarste aan IPv4 adressen dus wordt er waarsshijnlijk aan het openzetten via port forwarding gedaan en dan is het heel erg bewust...

En ja een simpele VPN had dit kunnen voorkomen en verder vraag ik me uberhaupt af waarom dit op het publieke internet beschikbaar moet zijn....

[Soppyscroll]

Het is waarschijnlijk dubbel maar ik vind juist wel fijn dat onze koelingen publiek op internet staan, Nu hebben wij wel 2FA en ieder zn eigen inlog gegevens. zo krijgen wij push melding binnen wanneer de temperatuur hoger is dan normaal, Wanneer er een koeldeur open blijft staan. en wordt realtime alle koelingen gemonitord door de koel leverancier. voordat wij midden in de nacht gebeld worden is de monteur al onderweg. Juist werkt dit goed en scheelt voedsel. hoe zou je reageren als je morgenochtend de supermarkt inloopt en je ziet dat ze alle diepvries artikelen hebben weggegooid omdat de installatie die nacht ermee opgehouden is? wanneer er issue is kun je als winkelpersoneel spoedig de koeling leeghalen en in andere koeling plaatsen die wel werkt zonder iets weg hoeven te gooien.

Dat er z'n slechte beveiliging als donfas vind ik ook wel erg, op z'n minst 2FA en ieder eigen inlog account. bijv icm okta

[Reactie gewijzigd door Soppyscroll op 15 oktober 2026 19:32]

[DennusB]

Je kan prima metrics of data versturen naar een platform van de leverancier natuurlijk, egress, uitgaand verkeer. Maar de noodzaak om alles bereikbaar te hebben vanaf internet, tja, die is er gewoon niet.

[World Citizen]

Dit soort systemen moeten juist wel aan het internet hangen. We willen direct weten als er ergens temperatuur veranderingen zijn of een storing is zodat we de hersteltijden zo kort mogelijk kunnen houden en de schade kunnen beperken. Dat is exact hetzelfde als een server die wat dan ook serveert.

We moeten het alleen niet met een wachtwoord aan het internet hangen wat op basis van een datum is. Of überhaupt op een open publieke verbinding/poort. Daar is wat van te zeggen. Maar dat zijn we ook doorgegaan met internetmodems die een standaard wachtwoord hadden en dat hebben we ook opgelost.

Momenteel word het duidelijk dat we naast modems ook koelkasten iets beter moeten beveiligen.

Op Tweakers pleiten dat iets niet op afstand gemonitord moet worden zodat we snel en efficiënt in kunnen grijpen bij problemen is heeel raar.

[DennusB]

Je kan prima metrics of data versturen naar een platform van de leverancier natuurlijk, egress, uitgaand verkeer. Maar de noodzaak om alles bereikbaar te hebben vanaf internet, tja, die is er gewoon niet…

[World Citizen]

Je wilt die metrics dan via darkfibers naar dat platform van de leverancier sturen? Of ga je dan alsnog over het internet.
Want in dat laatste geval zijn we het eens. Op een -betere- manier over het internet metrics versturen.

[BvdW1978]

Ze mogen aan een VPN hangen. Kun je letterlijk alles doen wat ook over internet zou kunnen, heb je dit soort aanvalsoppervlak alleen niet.

[BugBoy]

Dat zal ook echt niet zo zijn. Ik verwacht wel dat elke supermarkt zijn eigen LAN gebruikt en via VPN verbonden is met het hoofdkantoor. In het slechtste geval zal het via NAT aan het internet hangen, maar dan nog kan je niet rechtstreeks inloggen op zo'n apparaat.

Ik heb ook gewerkt aan systemen die in (kleding)winkels staan. De grote retailers hebben allemaal een VPN, maar de kleinere (of franchisers) vaak gewoon met een huis-tuin-en-keuken modem gekoppeld aan het internet. Maar dan nog heb je NAT en kan je niet zomaar van buitenaf inloggen.

Een datum-gebaseerd wachtwoord is echt niet zo vreemd voor (oudere) apparatuur, maar je zou het niet meer moeten willen. Vaak is het de leverancier die er voor nood altijd nog bij moet kunnen (bijv. voor service).

[DennusB]

Dan moet je het bericht (en de bron nog een keer lezen) want ze waren wél rechtstreeks bereikbaar via internet. Gewoon te vinden door bepaalde termen in een zoekmachine te gooien

[BugBoy]

Excuses. Daar had ik overheen gelezen. Waarschijnlijk omdat ik het zo dom vind. Je moet gewoon moeite doen om dit voor elkaar te krijgen volgens mij...

[BvdW1978]

Natuurlijk is dat wel vreemd. Wachtwoorden horen geheim te zijn.

[DJMaze]

De Svalbard Global Seed Vault (Wereld zaden bank) op Spitsbergen is een ondergrondse opslagplaats die wereldwijd landbouwzaden en gewassen bewaart als reserve tegen natuurrampen, oorlogen en klimaatverandering.
Daar hebben we namelijk geen koelkast nodig, en toch is er gevaar door klimaatverandering.
We hebben geen hackers nodig om zelfs kritieke systemen te vernietigen...

[Knijpoog]

als er ook een darkweb kan bestaan vraag je je inderdaad af hoe dit mogelijk is.

[Keypunchie]

Aan het internet kan ik prima inkomen, waarom niet.

Gaat er meer om dat het ding blijkbaar een server draait en dat blijkbaar via een publiek IP. Heeft het een 4G module, o.i.d. want het gemiddelde LAN-routertje thuis zal het al blokkeren.

Een veiliger model is waarbij de koelingen alleen een cliënt modus hebben en regelmatig met een centrale server inchecken, hun laatste metrics doorgeven en instructies op vragen.

Maar goed er zullen redenen zijn waarom ze dit model hebben gekozen.

[BugBoy]

De systemen die wij maakten voor de retail verbinden met een server via poort 443 (die staat vaak wel open naar buiten toe) en waren enkel te benaderen via een (beveiligde) tunnel. En dan praat ik over een systeem dat we in 2008 hebben ontwikkeld. Een later product was nog veel meer dichtgetimmerd.

Dit soort systemen rechtstreeks aan het internet hangen is gewoon heel erg dom. Een wachtwoord met vast algoritme ligt ook zo op straat. Liefst wil je enkel autorisatie via een externe IdP, maar helaas is dat niet altijd mogelijk. Dan moet je toch naar lokaal user-management met een (random) wachtwoord per apparaat dat je op de achterkant op de sticker zet.

[XiliX]

Ben benieuwd hoe snel er nu wél budget is om ze te updaten.

[Blokker_1999]

Binnen enkele weken is men dit al weer vergeten.

[burne]

En dan zet iemand de koeling op 50ºC en is er wel motivatie en budget. Oh wacht.

[Indifstublatia]

Budget is niet eens nodig. Die fix (patch) is gewoon gratis als onderdeel van de SLA die ze hebben met de Deense leverancier.

[Little Penguin]

Tsja, alleen als die automatisch geïnstalleerd wordt zal een patch ook uitegerold worden.

Ik vind het restarten van een computer vanwege een patch best wel irritant, maar het is beter dan het open blijven staan van het lek dat gedicht wordt...

[BugBoy]

Heel veel retailers willen niet upgraden, omdat het nu ook werkt. Dat zal wel een beetje veranderen, maar tot een paar jaar geleden was "don't upgrade when it works" redelijk gebruikelijk voor dit soort apparatuur.

[Keypunchie]

Aan de andere kant, komt dat ook wel doordat fabrikanten ook wel de neiging hebben om functionaliteit te wijzigen (en niet ten gunste) via updates.

Neem bijvoorbeeld TV's. Veel mensen werken die niet bij (door ze actief niet met internet te verbinden), omdat ze geen zin hebben dat die TV hun kijkgedrag gaat doorgeven, of dat 'ie plotseling reclame gaat vertonen, omdat de fabrikant een extra centje wil verdienen.

[Reactie gewijzigd door Keypunchie op 15 oktober 2026 21:34]

[MikeyMan]

Waarom de temperatuur uberhaupt (op afstand) ingesteld zou moeten worden is mij een totaal raadsel...

[Stijn_Gallet]

Dat, en waarom zou je een optie 50° willen hebben voor een diepvries?

[Quilt]

Dat is een de-icing optie. Om aangekoekt ijs zo snel mogelijk te verwijderen.

[Feanathiel]

Mogelijk een snelle defrost optie (pomp achterstevoren laten draaien zorgt voor warmte ipv koeling)

[n9iels]

Als jij 100 vriezer hebt die allemaal op een bepaalde temperatuur moeten staan van de NVWA is het handig om dit inzichtelijk te hebben. Extra handig is het als je dan een seintje krijgt als een vriezer kapot is. Dan kun je nog de inhoud redden of vernietigen als het niet meer aan de standaarden voldoet. Dit is de marketing waarmee deze apparatuur wordt verkocht.

_{Dat je ook een puber elke ochtend langs alle vriezers kunt sturen, de temperatuur meten, en dit laat opslaat in een multomap vergeten we dan even.}

[MikeyMan]

Een externe sensor is iets anders dan instelbare temperatuur. Die koelkasten staan altijd op dezelfde temperatuur.

[Quilt]

Ik kan me wel inbeelden dat het hoofdkantoor wil nagaan of de franchisenemers niet proberen om op stroom te besparen door met de temperatuur van de diepvries te spelen.

Of dat de diepvries waarschuwt wanneer de motor het begeeft en de temperatuur buiten de norm gaat.

Er zijn zeker use cases. Maar wel in combinatie met best practices natuurlijk.

[BertNL]

Waarom niet alleen een temperatuursensor die op afstand een alarm stuurt als de temperatuur in de koeling teveel stijgt. De hele koelinstallatie kan dan offline blijven.

[BugBoy]

Er zijn prima redenen om de temperatuur te monitoren, in te stellen, ... Je moet alleen zorgen dat het fatsoenlijk is beveiligd en dat je het spul niet aan het publieke internet hangt.

Ik maak mij veel meer zorgen over de zonnepaneel inverters die allemaal aan het internet hangen en die ook op afstand bediend kunnen worden. Israël (SolarEdge) kan ons net gaan verstoren (zet ze maar continu aan en uit) als Nederland vervelend gaat doen richting Israël. Maar ook China (Huawei, Sungrow, Growat, Solax, ...) met meer dan 50% marktaandeel kan het ons lastig maken.

Het zou eigenlijk (bij wet) verboden moeten worden om dit soort apparatuur aan ons vitale infrastructuur te hangen en dan op internet aan te sluiten.

[Pasteis]

Dit is het topje van de ijsberg. Netwerk is zo sterk als de zwakste schakel. Nu zijn het koelkasten, straks is het toegang via de slimme waterkoker. Het zijn kwetsbaarheden die de komende jaren flink uitgebuit gaan worden.

[Ramon 73]

Tsja, geen goed veiligheidsbeleid. Standaard wachtwoorden, openbare toegang. Daar kun je op wachten dat het mis gaat.

Bij een oude werkgever werden beveiligingscameras opgehangen, er werd wel erg veel materiaal gestolen. Een extern bedrijf installeerde cameras, hoofd facilitaire zaken laat trots de videofeed in een mt vergadering zien "mooi beeld heren". Een van onze servicetechnici had ervaring met dat merk cameras. Het standaard wachtwoord stond gewoon in de online gebruiksaanwijzing. Hoofd facilitair was "vergeten" dat te wijzigen want "wie weet dat nou?"
Nou, iedereen met meer dan twee hersencellen en Google blijkbaar. Tjee, dat was nog eens een rel. Diverse mensen op het matje geroepen, de installateur van de cameras mocht uitleg geven. Is wel 15 jaar geleden, maar toch.

Achteraf werd pas een ander vlan genomen en sterke (re) wachtwoorden. Toen was er al een hoop ellende geweest

[Reactie gewijzigd door Ramon 73 op 15 oktober 2026 19:59]

[david-v]

Die hebben nog niet de patch geïnstalleerd waarmee inloggen kan via een wachtwoord op basis van de datum. Dat is een standaardfunctie van de apparatuur, maar bleek onveilig

Ik nomineer deze voor understatement van het jaar. Ik weet niet welke engineer bij het bedrijf dit bedacht heeft als standaard functie, maar die mag wel even een opfriscursus krijgen. Man man man

[BugBoy]

Soms is dit soort apparatuur heel wat jaren oud. Nu was 10 jaar geleden dit ook al geen goed idee, maar de "security-awareness" is de laatste jaren wel wat toegenomen.

[david-v]

Snap ik helemaal, maar als je dit leest

Een fix daarvoor kwam anderhalf jaar geleden uit, maar veel klanten hebben die patch niet geïnstalleerd

Dan is het wel heel duidelijk dat security awereness nog steeds op een laag pitje staat, in ieder geval bij de klanten, de supermarkt ketens of de bedrijven die het beheer doen van deze machines voor de supermarkten.

[1nsane]

Tja, dit heb je met al die IoT zut, wat dit dus feitelijk ook blijkt te zijn. Heel veel van die spullen zijn gewoon een perfecte toegang tot bredere netwerken of te manipuleren en zeker met koelmachines die bij wijze van spreken rustig 7 jaar of langer doortokkelen waarvan de beveiligingsupdates allang gestopt zijn.