--- title: "Gehackte koelsystemen en de keerzijde van IoT" description: "Van gehackte koeling in Frankrijk tot verstoorde leveringen bij Albert Heijn. Over connected technology, echte schade en verantwoordelijkheid die verder gaat dan de oplevering." url: "https://alexandervanwynsberghe.be/schrijven/gehackte-koelsystemen/" language: nl-BE --- [← Alle blogs](https://alexandervanwynsberghe.be/schrijven/) Security # Gehackte koelsystemen en de keerzijde van IoT Van gehackte koeling in Frankrijk tot verstoorde leveringen bij Albert Heijn. Over connected technology, echte schade en verantwoordelijkheid die verder gaat dan de oplevering. 13 oktober 2026 · 5 min lezen Een diepvriezer die op 50 graden wordt gezet. Dat kom je liever niet tegen. Toen ik de berichten over Franse supermarkten las, dacht ik vooral aan hoeveel er achter zo’n ogenschijnlijk eenvoudige installatie zit. Elektronica, software, een netwerk, iemand die vanop afstand onderhoud doet. Allemaal bedoeld om ervoor te zorgen dat jij diep gevroren product van het rek kan nemen. En plots wordt diezelfde technologie gebruikt om de boel te ontregelen. Ik ben al jaren bezig met de verbinding tussen de fysieke en digitale wereld. IoT, embedded systemen, smart technology. Ik geloof daar heel sterk in. Maar deze incidenten doen me wel stilstaan bij wat we precies bouwen. En vooral: wat we blijven ondersteunen zodra het ergens up & running is voor meedere jaren. ## Wat er in Frankrijk gebeurde In de nacht van 11 op 12 oktober 2026 werden koelinstallaties van verschillende Franse supermarktketens aangevallen. Volgens de [BBC](https://www.bbc.com/news/articles/crq5nzxv9q4yo) raakten honderden winkels betrokken en moesten verse en diepgevroren producten worden weggegooid. De berichtgeving spreekt over aangepaste temperatuurinstellingen en misbruik van de ontdooifunctie. Intermarché meldde temperaturen tot 50 °C; Danfoss bevestigde tegenover de BBC niet hoe warm de installaties daarbij konden worden. Het exacte getal doet er ook niet toe. Voedsel kan al veel eerder onbruikbaar worden. De economische schade en verspilling zijn ook zonder dat spectaculaire getal bijzonder ernstig. Het Franse [CERT-FR waarschuwde op 12 oktober](https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/) voor talrijke inbraken van Danfoss-systemen uit de AK-SM- en AK-SC-reeksen. Het advies is duidelijk: toegang vanaf het netwerk loskoppelen of filteren. Beheerinterfaces rechtstreeks op het internet zetten druist volgens de instantie in tegen goede beveiligingspraktijken. Een exacte eindtelling van getroffen winkels of schade is naar mijn gevoel niet relevant. Die cijfers evolueren nog. Het is vooral het onderliggende probleem dat me triggert. ## Een bekende kwetsbaarheid is nog geen bewezen aanvalsmethode Goed, even wat technische context. Zo’n controller is veel meer dan een digitale thermostaat. De AK-SM 800A is een centrale beheerder waarmee je verschillende koelcontrollers kan opvolgen en instellingen aanpassen. Handig voor een technieker die meerdere winkels ondersteunt. Je hoeft niet voor ieder alarm in de wagen te springen. ![De Danfoss AK-SM 800A: een systeembeheerder met touchscreen, en de aanmeldpagina van de webinterface op een tablet.](https://alexandervanwynsberghe.be/_astro/danfoss-ak-sm-800a.CBx5-_eb_1WKe0d.webp) De Danfoss AK-SM 800A met zijn webinterface. Foto: Danfoss. [Claroty Team82 publiceerde op 9 augustus 2026 onderzoek](https://fr.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers) naar kwetsbaarheden in dat platform. Onder meer een verborgen “code-of-the-day”-mechanisme, waarmee bepaalde authenticatiecontroles konden worden omzeild, en fouten die na authenticatie ongewenste opdrachten of wijzigingen aan de webserver mogelijk maakten. Claroty Team82 rapporteerde 2.765 publiek bereikbare AK-SM 800A-beheerinterfaces in zijn onderzoek van augustus 2026. Danfoss had daarvoor al correcties uitgebracht. Het [rapport uit maart 2025](https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-03-01/) · beschrijft een authenticatiefout en verwijst naar versie 4.2. Het [rapport uit augustus 2025](https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-08-01/) behandelt twee kwetsbaarheden waarvoor versie 4.3.1 beschikbaar kwam. Maar daarmee is de oorzaak van de Franse aanvallen niet bewezen. [Team82 zegt zelf](https://www.claroty.com/blog/france-supermarket-hacks-expose-risks-of-internet-facing-refrigeration-systems) dat de toegangsmethode nog onbekend is. Onderzoek naar de 800A is ook geen bewijs dat alle getroffen oudere systemen hetzelfde probleem hadden. Ook in [een openbare X-post van Bluetouff](https://x.com/bluetouff/status/2109555910267789632) komt dat onderzoek terug. Die stap van “er bestaat een kwetsbaarheid” naar “zo is de aanval gebeurd” wordt online soms wel heel snel gezet. Begrijpelijk, maar ik wil ze hier niet maken. ## Albert Heijn toont een andere afhankelijkheid Bij Albert Heijn speelt ondertussen een ander verhaal. Volgens het [officiële mediastatement](https://nieuws.ah.nl/mediastatement-inzake-it-incident/) hebben Albert Heijn, Etos en Gall & Gall sinds zondagmiddag 11 oktober te maken met een cybersecurityincident. Het bedrijf schakelde systemen preventief uit om de IT-omgeving te beschermen. Op 13 oktober om 11.30 uur meldt Albert Heijn dat de winkels open zijn, de kassa’s werken en meerdere distributiecentra operationeel zijn. De bevoorrading wordt hersteld, maar verschilt per winkel en productcategorie. Online bestellen en bezorgen blijven onmogelijk en bepaalde persoonlijke kortingen en spaaracties zijn niet beschikbaar. Dit is dus geen bevestigde aanval op koelcontrollers bij Albert Heijn. Evenmin is een gezamenlijk daderschap of verband met Frankrijk aangetoond. [NOS laat deskundigen aan het woord](https://nos.nl/artikel/2634740-groot-cyberincident-bij-albert-heijn-je-neemt-niet-zomaar-zulke-maatregelen) die een inbraak aannemelijk vinden, maar dat blijft een inschatting. Wat mij opvalt, is hoe snel digitale afhankelijkheid zichtbaar wordt in het dagelijkse leven. Zelfs systemen uitschakelen om verdere schade te voorkomen heeft gevolgen voor bestellingen, leveringen en beschikbare producten. Een noodzakelijke veiligheidsmaatregel kan dus zelf een stevige operationele kost hebben. ## Waarom we die toestellen verbinden Ik snap de reflex om nu te zeggen: haal alles van het internet. Toch zit er veel meerwaarde in geconnecteerde koeling. Je kan afwijkingen sneller opmerken, energieverbruik opvolgen en onderhoud organiseren voordat een installatie uitvalt. Dat zijn concrete voordelen voor een winkelier en voor het voedsel dat daar ligt. Een klant koopt uiteindelijk geen “IoT”. Die wil een installatie die betrouwbaar werkt en minder zorgen geeft. Dat is altijd de bedoeling geweest. Alleen geeft connectiviteit ook toegang. Wie enkel temperaturen moet kunnen uitlezen, hoeft daarom nog geen instellingen te kunnen veranderen. Een onderhoudspartner heeft misschien tijdelijk beheerrechten nodig. De hele wereld heeft die nooit nodig. Voor mij begint security-by-design precies daar: tijdens het ontwerp bepalen wie wat mag doen, hoe toegang wordt gecontroleerd en wat er gebeurt als die controle faalt. Daarna volgen veilige standaardinstellingen, controleerbare updates, gescheiden netwerken en bruikbare logging. Geen magisch “schild”, wel verschillende lagen die elkaar versterken. En bij fysieke processen zou ik verder kijken. Kan lokale beveiliging gevaarlijke wijzigingen begrenzen? Blijven alarmen werken wanneer het centrale beheersysteem onbetrouwbaar wordt? Wat kan een winkelmedewerker nog doen als de verbinding wegvalt? Dat zijn natuurlijk productvragen die thuishoren bij ontwerpbesprekingen. ## De levensduur van hardware en software Een installatie kan technisch nog prima werken terwijl de softwareondersteuning voorbij is. Dan krijg je een lastige situatie: vervangen kost geld, blijven gebruiken lijkt logisch, maar het risico groeit. De BBC rapporteert dat Danfoss de getroffen installaties omschreef als oudere modellen waarvan de beveiligingssoftware niet meer kon worden bijgewerkt. Dat maakt lifecycle management plots heel tastbaar. Een patch publiceren is belangrijk. Daarna moet iemand weten welke versie waar draait, wie de update uitvoert en hoe je controleert of alles goed blijft functioneren. Ook het moment waarop ondersteuning eindigt, vraagt een plan. Fabrikant, integrator, onderhoudspartner en exploitant hebben daarin elk een rol. ## Waarom de CRA hier relevant is De Europese [Cyber Resilience Act](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) legt cybersecurityverplichtingen op voor producten met digitale elementen, van ontwerp tot onderhoud en kwetsbaarhedenbeheer. Wel even de timing juist zetten: de meldplichten gelden sinds 11 september 2026; de belangrijkste productverplichtingen worden van toepassing op 11 december 2027. De CRA is dus geen maatstaf waarmee we vandaag zomaar iedere bestaande installatie kunnen veroordelen. Ik vind vooral de richting relevant. Beveiliging hoort bij de verantwoordelijkheid voor een product gedurende de ondersteuningsperiode. Dat dwingt ons toch om eerder na te denken over updates, afhankelijkheden en onderhoud. Wetgeving kan dat stimuleren, maar het het “dagelijkse werk” moeten we zelf organiseren. Moeten we slimme apparaten blijven bouwen? Hell yeah. Maar “slim” betekent voor mij ook dat een product veilig kan blijven werken, dat iemand verantwoordelijkheid neemt na de verkoop en dat herstel is voorzien wanneer er iets misloopt. De volgende keer dat we enthousiast een toestel verbinden, wil ik dus ook het gesprek over de jaren daarna voeren. Wie houdt het veilig, wie grijpt in en wat gebeurt er wanneer het netwerk uitvalt? Want een mooie demo is een begin. De echte waarde moet blijken wanneer dat toestel jarenlang in de echte wereld draait. Ik ben **Alexander Vanwynsberghe**. Ik schrijf over wat er gebeurt wanneer technologie de fysieke wereld raakt. [Reageer per mail](mailto:hi@alexandervanwynsberghe.be?subject=Over%20je%20blog) · [Meer over mij](https://alexandervanwynsberghe.be/over/)