Cyberaanvallen in Europa: wat de supermarkt-koelkasthack zegt over de systemen waar niemand naar kijkt

In oktober en november 2026 drongen aanvallers binnen bij honderden Europese supermarkten en zetten ze ‘s nachts stilletjes de koelkasten en diepvriezers in ontdooistand. Geen ransomwarebrief, geen gestolen database. Alleen bedorven voedsel, gesloten gangpaden en, in een tweede golf, bloedbanken die de temperatuur van hun koelcellen zagen stijgen. De toegangspunten waren oude koelingcontrollers, standaardwachtwoorden en de remote toegang van een externe contractor: de systemen waar niemand naar kijkt.

Dat maakt dit de leerzaamste cyberaanval van het jaar voor gewone bedrijven. Er kwam geen exotische techniek aan te pas, en elk ingrediënt bestaat, in een of andere vorm, in de meeste organisaties. Dit artikel bekijkt wat er gebeurde, waarom het past in het bredere patroon van aanvallen op Europa in 2026, en wat een bedrijf van normale omvang en met een normaal budget er werkelijk aan kan doen.

Zoals altijd op dit blog: dit is praktische begeleiding vanuit engineeringperspectief, geen juridisch advies.

Wat er gebeurde, in het kort

In de nacht van 11 oktober werden koelingcontrollers in tot 700 Franse supermarkten, waaronder honderden vestigingen van Intermarché en Netto en tientallen van Coopérative U, Carrefour en Monoprix, in ontdooistand gezet, waardoor koelingen oververhitten en voorraad bedierf. Op 2 november trof een tweede golf winkels in België, Luxemburg, Nederland, Italië, Zweden, Estland, Ierland, Portugal, Polen, Spanje en Duitsland: tientallen Ahold Delhaize-supermarkten in België en Luxemburg, 15 Carrefour-winkels in België, zelfs een IKEA in Bergen, zoals The Hacker News documenteerde.

Dezelfde golf reikte voorbij de retail. Drie Franse bloedbanken detecteerden temperatuurpieken in hun koelcellen nadat een koelingleverancier van de Franse bloedvoorziening was gecompromitteerd; bewakingsalarmen vingen de afwijkingen op voordat bloedproducten verloren gingen, aldus Help Net Security. Op 9 november beschuldigde Frankrijk formeel de Iraanse Revolutionaire Garde en werd de Iraanse ambassadeur ontboden. Attributie is in zulke gevallen evenzeer een politieke daad als een technische vaststelling, maar de geopolitieke lezing telt: Europese bedrijven zijn nu doelwit in conflicten waarin ze geen partij zijn.

De anatomie: niets hieraan was geavanceerd

Haal de krantenkoppen weg en de aanval valt uiteen in drie alledaagse ingrediënten.

Vergeten verbonden apparatuur. De meeste getroffen units in Frankrijk waren oudere controllermodellen die de fabrikant niet meer bijwerkt. Ze draaiden al jaren, deden hun werk, onzichtbaar voor wie over beveiliging nadenkt, want een koelingcontroller is niemands systeem. Tot het ieders probleem is.

Triviale toegang. De getroffen Nederlandse systemen stonden niet op een beveiligd netwerk en gebruikten nog fabriekswachtwoorden. Beveiligingsonderzoekers zagen sinds 20 oktober authenticatiepogingen op precies deze controllermodellen. Het advies van de fabrikant na de eerste golf was bijna gênant in zijn eenvoud: koppel de units los van het internet en verbind ze alleen opnieuw via een beveiligd netwerk.

Een derde partij in het midden. Bij veel getroffen ketens wordt de koeling geïnstalleerd en beheerd door een externe contractor met eigen remote toegang. De bloedbanken werden helemaal niet aangevallen; hun leverancier wel. Het slachtoffer en het toegangspunt waren verschillende bedrijven, precies het patroon dat we beschreven in ons artikel over leveranciersfalen overleven, nu met opzet in plaats van toeval.

Waarom dit past in het patroon van 2026

De koelkasthack is kleurrijk, maar de statistieken erachter beschrijven een brede verschuiving. Volgens het 2026 European Cyber Risk Report van Black Kite stegen publiek bekendgemaakte ransomware-aanvallen in Europa met 55% in de eerste vier maanden van 2026 vergeleken met een jaar eerder, met externe leveranciers als primair toegangspunt en de maakindustrie voor het vierde jaar op rij als zwaarst getroffen sector. Duitsland, het VK, Frankrijk, Italië en Spanje concentreren 70% van de incidenten.

Twee cijfers in dat onderzoek verdienen de aandacht van elk middelgroot bedrijf. Ten eerste: 73% van de ransomware-aanvallen in Europa en Noord-Amerika sinds 2023 trof mid-market bedrijven, geen concerns; het mediane slachtoffer heeft zo’n 43 miljoen Amerikaanse dollar jaaromzet. Ten tweede komen de aanvallen steeds vaker via de toeleveringsketen: het EU-dreigingsrapport van ENISA noemt één ransomware-aanval op een Zweedse IT-leverancier die in één klap zo’n 200 gemeenten en regionale overheden raakte.

Het geruststellende idee dat “wij te klein en te saai zijn om doelwit te zijn” heeft 2026 niet overleefd. Middelgrote bedrijven zijn nu het voorkeursdoelwit, juist omdat ze waardevolle operaties draaien met kleinere beveiligingsbudgetten, en omdat toegang tot één leverancier deuren opent naar al zijn klanten.

Wat een gewoon bedrijf werkelijk kan doen

Niets van wat volgt vereist een security operations centre. Het vereist engineeringdiscipline op onglamoureuze plekken.

1. Inventariseer alles wat verbonden is, niet alleen de IT. Koeling, HVAC, toegangspoorten, camera’s, printers, industriële controllers, gebouwautomatisering. U kunt geen apparatuur verdedigen waarvan u niet weet dat ze online is. In onze assessments is de lijst van via internet bereikbare apparaten die een bedrijf werkelijk heeft steevast langer dan iemand verwachtte.

2. Haal van het internet wat er niet op hoeft. De meeste operationele apparatuur heeft een netwerk nodig, niet het publieke internet. Segmenteer: een gecompromitteerde koelingcontroller op een vlak netwerk is een bruggenhoofd; op een gesegregeerd netwerk is het een geïsoleerd incident.

3. Elimineer standaardwachtwoorden en benoem elke remote toegang. Elk apparaatwachtwoord gewijzigd van de fabrieksinstelling, elke remote toegang van een leverancier bekend, beperkt tot wat die leverancier onderhoudt, beschermd met multifactorauthenticatie en binnen minuten intrekbaar. Als niemand kan zeggen wie uw apparatuur van buitenaf kan bereiken, dan is dat de bevinding.

4. Behandel leveranciers als deel van uw aanvalsoppervlak. De contractor die uw koeling, uw gebouwsystemen of uw machines beheert, is een verlengstuk van uw netwerk. Stel hem dezelfde vragen die u uzelf zou stellen: hoe krijgt u toegang tot onze apparatuur, wie precies heeft die toegang, wat gebeurt er als uw eigen systemen gecompromitteerd raken. Zet de antwoorden in het contract.

5. Maak van apparatuur buiten support een bewuste beslissing. Controllers die geen updates meer krijgen hoeven niet morgen vervangen te worden, maar iemand moet schriftelijk beslissen of elk exemplaar wordt geüpgraded, geïsoleerd of uitgefaseerd. De gevaarlijke toestand is de standaardtoestand: zonder support, verbonden en vergeten.

6. Bewaak de fysieke waarden, niet alleen het netwerk. De bloedbanken verloren niets omdat temperatuuralarmen afgingen en mensen reageerden. Eenvoudige drempelbewaking op temperatuur, druk of status, onafhankelijk van de controller zelf, maakt van sabotage een incident in plaats van een verlies.

7. Oefen de lelijke nacht. Wat de supermarkten redde die er licht vanaf kwamen, waren mensen die midden in de nacht units van het netwerk loskoppelden. Weet uw team wat het moet loskoppelen, in welke volgorde, om 3 uur ‘s nachts, zonder iets ergers te breken? Een runbook van één pagina per kritiek systeem beantwoordt dat, en NIS2 verwacht dat ook de meldkant klaarstaat: die verplichtingen behandelden we in ons artikel over NIS2 en legacysystemen.

De echte les: onderhoud is beveiliging

Kijk wat de lijst hierboven is. Het is geen boodschappenlijst van beveiligingsproducten. Het is inventaris, documentatie, segmentatie, wachtwoordhygiëne, leveranciersbeheer en bewaking: in één woord, onderhoud. De aanvallen van 2026 versloegen geen sterke verdediging; ze liepen door deuren die al jaren openstonden in systemen waar niemand voor was aangesteld.

Dat is het werk dat Dink elke dag doet. Verantwoordelijkheid nemen voor de systemen die niemand wil bezitten betekent precies dit: weten wat er bestaat, wat er blootligt, wie toegang heeft en wat er gebeurt als iets zich misdraagt. En het is waar een technology assessment meestal begint: niet met een penetratietest, maar met de eerlijke kaart van vergeten systemen, leverancierstoegangen en apparatuur buiten support die de meeste bedrijven nooit hebben getekend.

Veelgestelde vragen

Wat gebeurde er bij de Europese supermarkt-cyberaanvallen van 2026?
In oktober en november 2026 schakelden aanvallers op afstand koelsystemen naar ontdooistand in honderden supermarkten, eerst in Frankrijk en daarna in minstens elf Europese landen, met bedorven voorraad en verstoorde winkels als gevolg. Ook Franse bloedbanken werden geraakt via een gecompromitteerde koelingleverancier. De aanvallen misbruikten oude controllers, standaardwachtwoorden en remote toegang van derden.

Wie zat er achter de aanvallen?
Frankrijk beschuldigde op 9 november 2026 formeel de Iraanse Revolutionaire Garde en ontbood de Iraanse ambassadeur; Microsoft wees eerder al naar Iran als vermoedelijke actor bij het oktoberincident. Zoals bij de meeste staatsgerelateerde attributies is onafhankelijke technische bevestiging beperkt, en bedrijven plannen beter op de techniek dan op de actor.

Ons bedrijf is middelgroot. Zijn wij echt een doelwit?
Statistisch gezien bent u het hoofddoelwit: 73% van de ransomware-aanvallen in Europa en Noord-Amerika sinds 2023 trof mid-market bedrijven, en aanvallers bereiken slachtoffers steeds vaker via hun leveranciers in plaats van frontaal. Klein zijn verkleint uw zichtbaarheid, niet uw blootstelling.

Wat is de eerste praktische stap om ons bedrijf te beschermen?
Een inventaris van alles wat met een netwerk verbonden is, inclusief operationele apparatuur zoals koeling, HVAC, camera’s en industriële controllers, samen met de lijst van leveranciers met remote toegang. Elke maatregel die ertoe doet, segmentatie, wachtwoorden, bewaking, respons, hangt af van het bestaan van die kaart.

Geldt NIS2 voor incidenten als deze?
Voor entiteiten binnen de reikwijdte: ja. NIS2 vereist risicobeheer dat de beveiliging van de toeleveringsketen omvat en snelle incidentmelding, met een vroege waarschuwing binnen 24 uur nadat een significant incident bekend is. Ook bedrijven buiten de directe reikwijdte krijgen van klanten die er wél onder vallen steeds vaker de vraag dezelfde discipline aan te tonen.

Niet zeker wat er in uw operatie verbonden, blootgesteld of stilletjes buiten support is? Die kaart is het eerste resultaat van een technology assessment met vaste scope, of neem contact op.