Hackerattack mot Ica och Coop ställde frysar på 50 grader

Sammanfattning

En hackerattack mot Ica och Coop natten till måndagen den 2 november 2026 slog ut kylar och frysar i flera svenska matbutiker. Temperaturen ställdes på omkring 50 grader och kyl- och frysvaror fick kasseras. Ica uppger att ett begränsat antal butiker drabbats, bland dem Ica Kvantum Sjöbo, Ica Kvantum Tomelilla och Ica Nära Böda. Coop bekräftar sex drabbade butiker i mellersta Sverige. Ingen av kedjorna har sagt vem som ligger bakom eller hur angriparna kom åt styrningen. Enligt Ica ligger butikernas uppkoppling utanför Icas centrala nät. Coop uppger att den drabbade utrustningen inte kommer från Danfoss, vars styrenheter kapades i hundratals franska butiker den 12 oktober.

Hackerattacken mot Ica och Coop slog till under natten

”Våra kylar och frysar har under natten blivit hackade och de har satt temperaturen på 50 grader”, skrev Ica Kvantum i Sjöbo på Facebook på måndagsmorgonen. Butiken höll stängt på morgonen. Personalen kunde inte justera temperaturen, enligt butikschefen Rickard Nilsson.

I Böda på norra Öland möttes butikschefen Mats Olsson av en vattenpöl på golvet och en frys som visade 55 grader. Ica Nära Böda höll öppet men hade inga kyl- eller frysvaror att sälja. Ica Nära Sundbergs i Mörlunda stängde tills vidare efter vad butiken kallade ett stort kyl- och fryshaveri. Hos Ica Supermarket Brösarp upptäcktes angreppet vid tretiden på natten enligt handlaren Mattias Liljegren. Även Ica Nära Sankt Olof drabbades.

– Som jag har förstått det har någon kommit åt inställningarna i våra kylar och frysar och ändrat dem, säger Camilla Nilsson som är handlare där.

Ica och Coop pekar på uppkopplingen

Gustaf Nilsson, pressansvarig på Ica, bekräftar att ”ett begränsat antal butiker har drabbats av en incident under natten som påverkar deras kyl- och fryssystem”. Ica bistår butikerna i hanteringen. I en skriftlig kommentar som publicerats i Norge uppger Nilsson att de drabbade butikerna har sin uppkoppling utanför Icas centrala nätverk, enligt en publicerad rapport.

– Vi har just fått information om att sex butiker i mellersta Sverige har upplevt problem med sina kylar och frysar, säger Coops presschef Carlos Cancino.

Cancino uppger att angreppet kom via en teknisk uppkoppling och att det inte gäller Danfoss-produkter. På måndagen hade Coop inte kontaktat polisen. En anmälan uteslöts inte. Hittills beskriver Cancino skadorna som begränsade.

Ica har inte redovisat hur många butiker som drabbats.

Frankrike drabbades den 12 oktober

Natten mot den 12 oktober 2026 tvingades kylsystem i hundratals franska butiker in i avfrostning. Intermarché, Coopérative U och Carrefour fanns bland de drabbade och åklagarmyndigheten i Paris inledde en utredning. Franska CERT-FR gick samma dag ut med varningen CERTFR-2026-ALE-012 om komprometterade systemenheter av typen Danfoss AK-SM och AK-SC. I senare uppdateringar lades Copeland XWEB och Dixell XWEB till. Danfoss uppgav att de flesta drabbade enheterna var äldre produkter eller körde föråldrad firmware.

AK-SM är butikens centrala kylstyrning som sköter temperaturer, avfrostning och larm för alla kyldiskar. Säkerhetsforskare på Claroty Team82 publicerade i augusti 2026 sårbarheter i AK-SM 800A, bland dem CVE-2025-41451 som gav fjärrkörning av kod. Danfoss åtgärdade dem i firmware R4.3.1. Spanska INCIBE-CERT har beskrivit en sårbarhet i AK-SM 8xxA före version R4.2 där lösenord genererades utifrån datum.

Danfoss styrsystem finns i svenska Coop-butiker. Enligt ett pressmeddelande från Danfoss den 7 december 2023 uppgraderade Stora Coop i Lund sin övervakning till en AK-SM850A som togs i drift den 22 november 2023. Lund ligger i Skåne. De sex Coop-butikerna finns i mellersta Sverige och enligt Coop är det inte Danfoss-utrustning som drabbats.

Okänt är fortfarande vilket fabrikat eller serviceföretag de drabbade butikerna använder, hur angriparna tog sig in och om enheterna hade aktuell firmware. Inget anspråk på angreppet hade rapporterats på måndagen. Kopplingen till Frankrike bygger än så länge på likheterna mellan attackerna.

Svagheten ligger i butikens egen länk

Ica placerar de drabbade butikerna utanför det centrala nätet. Coop talar om en teknisk uppkoppling och avfärdar Danfoss. Båda uppgifterna lägger alltså problemet vid butikens egen fjärranslutning till kylanläggningen och inte i kedjornas it-miljö. Den franska varningen gällde redan mer än en tillverkare. CERT-FR listade Copeland XWEB och Dixell XWEB vid sidan av Danfoss AK-SM och AK-SC. En genomgång som bara letade efter Danfoss efter den 12 oktober hade missat dem.

Källor

1. Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers (Claroty Team82)
2. Dos nuevos avisos SCI y una actualización (INCIBE-CERT)
3. Sveriges första stora Optyma™ iCO₂ aggregat är i drift (Danfoss)
4. Publicerad rapport

This post is also available in: