Hackerattack mot Ica och Coop ställde frysar på 50 grader

Sammanfattning

En hackerattack mot Ica och Coop natten till måndagen den 2 november 2026 slog ut kylar- och fryssyem i flera svenska matbutiker. Temperaturen ställdes in på omkring 50 grader och kyl- och frysvaror fick kasseras. Ica uppger att ett begränsat antal butiker drabbats, bland dem Ica Kvantum Sjöbo, Ica Kvantum Tomelilla och Ica Nära Böda. Coop bekräftar sex drabbade butiker i mellersta Sverige. Ingen av kedjorna har uppget vem som ligger bakom angreppet eller hur angriparna kom åt styrningen. Enligt Ica ligger butikernas uppkoppling utanför Icas centrala nät. Coop uppger att den drabbade utrustningen inte kommer från Danfoss, vars kylstyrning kapades i hundratals franska butiker den 12 oktober.

Hackerattacken mot Ica och Coop slog till under natten

”Våra kylar och frysar har under natten blivit hackade och de har satt temperaturen på 50 grader”, skrev Ica Kvantum i Sjöbo på Facebook på måndagsmorgonen. Butiken höll stängt på morgonen. Personalen kunde inte justera temperaturen, enligt butikschefen Rickard Nilsson.

I Böda på norra Öland möttes butikschefen Mats Olsson av en vattenpöl på golvet och en frys som visade 55 grader. Ica Nära Böda höll öppet men hade inga kyl- eller frysvaror att sälja. Ica Nära Sundbergs i Mörlunda stängde tills vidare efter vad butiken kallade ett stort kyl- och fryshaveri. Hos Ica Supermarket Brösarp upptäcktes angreppet vid tretiden på natten enligt handlaren Mattias Liljegren. Även Ica Nära Sankt Olof drabbades.

– Som jag har förstått det har någon kommit åt inställningarna i våra kylar och frysar och ändrat dem, säger Camilla Nilsson, handlar i butiken.

Ica och Coop pekar på uppkopplingen

Gustaf Nilsson, pressansvarig på Ica, bekräftar att ”ett begränsat antal butiker har drabbats av en incident under natten som påverkar deras kyl- och fryssystem”. Ica bistår butikerna men har inte redovisat hur många som drabbats. I en skriftlig kommentar som publicerats i Norge uppger Nilsson att de drabbade butikerna har sin uppkoppling utanför Icas centrala nätverk, enligt en publicerad rapport.

– Vi har just fått information om att sex butiker i mellersta Sverige har upplevt problem med sina kylar och frysar, säger Coops presschef Carlos Cancino.

Cancino uppger att angreppet kom via en teknisk uppkoppling och att det inte gäller Danfoss-produkter. På måndagen hade Coop inte kontaktat polisen. En polisanmälan var dock inte utesluten. Hittills beskriver Cancino skadorna som begränsade.

Frankrike drabbades den 12 oktober

Natten mot den 12 oktober 2026 tog angripare över kylsystemen i hundratals franska butiker och tvingade dem in i avfrostning. Intermarché, Coopérative U och Carrefour fanns bland de drabbade och åklagarmyndigheten i Paris inledde en utredning. Frankrikes nationella incidentcenter varnade samma dag för kapade styrenheter från Danfoss och lade senare till utrustning från ytterligare två tillverkare. Danfoss uppgav att de flesta drabbade enheterna var äldre produkter eller saknade de senase uppdateringarna

Målet var butikens centrala kylstyrning, den enhet som sköter temperaturer, avfrostning och larm för alla kyldiskar. Säkerhetsforskare hade redan i augusti visat att Danfoss enheter kunde tas över på distans. Danfoss har sedan dess släppt rättningar.

Danfoss styrsystem finns i svenska Coop-butiker. Enligt ett pressmeddelande från Danfoss den 7 december 2023 uppgraderade Stora Coop i Lund sin övervakning till ett Danfoss-system som togs i drift i november 2023. Lund ligger i Skåne. De sex Coop-butikerna finns i mellersta Sverige och enligt Coop är det inte Danfoss-utrustning som drabbats.

Det är fortfarande okänt är vilket fabrikat eller serviceföretag de drabbade butikerna använder. Det är också okänt hur angriparna tog sig in och om enheterna var uppdaterade. Inget anspråk på angreppet hade rapporterats på måndagen. Kopplingen till Frankrike bygger än så länge på likheterna mellan attackerna.

Svagheten ligger i butikens egen länk

Ica placerar de drabbade butikerna utanför det centrala nätet. Coop talar om en teknisk uppkoppling och avfärdar Danfoss. Båda uppgifterna lägger problemet vid butikens egen fjärranslutning till kylanläggningen, alltså i den operativa tekniken (OT) och inte i kedjornas it-miljö. Det är samma lager som CERT-FR pekade ut i varningen CERTFR-2026-ALE-012 om komprometterade systemenheter av typen Danfoss AK-SM och AK-SC. I senare uppdateringar lades Copeland XWEB och Dixell XWEB till. En butik som bara kontrollerade sin Danfoss-utrustning efter den 12 oktober hade missat dem.

För Danfoss enheter är bristerna dokumenterade. Claroty Team82 använde CVE-2025-41451 för fjärrkörning av kod i AK-SM 800A, åtgärdad i firmware R4.3.1. INCIBE-CERT beskriver ett kringgående av autentisering i AK-SM 8xxA före version R4.2, där lösenordet genererades utifrån datum. Den AK-SM850A som Stora Coop i Lund installerade 2023 ingår i samma 8xxA-serie.

Referenser

1. Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers
2. Dos nuevos avisos SCI y una actualización
3. Sveriges första stora Optyma™ iCO₂ aggregat är i drift
4. Publicerad rapport

This post is also available in: