Atak na lodówki w sklepach się powtórzył: w nocy z 1 na 2 listopada 2026 roku napastnicy zdalnie przestawili chłodnie w ponad 115 sklepach w sześciu krajach Europy, więc właściciel każdego sklepu, piekarni czy chłodni ze sterownikiem dostępnym z internetu powinien dziś sprawdzić swoje urządzenia. W ciągu dnia przypadki potwierdzono jeszcze we Włoszech, w Portugalii i w Finlandii, a 3 listopada także w Islandii. To druga taka fala w ciągu trzech tygodni. Pierwsza uderzyła w sklepy we Francji 12 października i opisaliśmy ją w tekście o ataku na lodówki supermarketów we Francji i alercie CERT-FR. W Polsce CERT Polska potwierdził 3 listopada ataki na urządzenia chłodnicze bez strat materialnych. Auchan potwierdził nieprawidłowości w sterowaniu chłodniami w trzech sklepach, w tym w Olsztynie, gdzie policja sprawdza zgłoszenie ataku hakerskiego. Główny Inspektor Sanitarny wydał 3 listopada zalecenia dla sklepów, hurtowni i kupujących. Stan na 4 listopada 2026 roku, godz. 8:55.
Co się stało w sklepach w nocy z 1 na 2 listopada
Ktoś zdalnie zmienił ustawienia sterowników chłodnictwa, więc część urządzeń zaczęła się rozmrażać albo grzać. BleepingComputer zebrał oświadczenia sieci: ponad 115 sklepów w Belgii, Holandii, Szwecji, Luksemburgu, Irlandii i Estonii. Najwięcej przypadków miał Ahold Delhaize, około 40 sklepów w Belgii i Luksemburgu. Carrefour Belgia podał 15 sklepów z 700, szwedzki Coop 7 z ponad 800, a irlandzki SuperValu 13.
Stephan Moelans, szef firmy Sabcobel, która obsługuje chłodnictwo między innymi w sklepach Delhaize, powiedział agencji Belga, że parowniki przełączono w tryb odszraniania. Według niego napastnik użył tej samej podatności co we Francji. Technicy Sabcobel zaczęli odłączać instalacje o 1:00 w nocy.
Liczba “50°C”, która krąży w nagłówkach, to nastawa zgłoszona przez sklepy. Kierownik sklepu ICA mówił szwedzkiej telewizji TV4, że ktoś ustawił zamrażarki na +50°C i nie dało się tego cofnąć. Temperatury samych produktów nikt nie podał.
W Holandii skutki dotknęły głównie sklepy mięsne i małe sklepy osiedlowe. Rzecznik Danfossa powiedział stacji NOS, że chodzi o co najmniej 17 firm, a duże sieci nie ucierpiały.
Na zdjęciu wyróżniającym: wyspa zamrażarek w supermarkecie Willys w Falköping w Szwecji (sieć nie jest wśród ofiar). Fot. Jonatan Svensson Glad, Wikimedia Commons, domena publiczna.
Włochy, Portugalia, Finlandia i Islandia: kolejne potwierdzone przypadki
We Włoszech ucierpiały co najmniej trzy sklepy Coop w Katanii i jeden w Palermo. Prowadzi je na zasadzie franczyzy grupa Radenza. Jej dyrektor generalny Giuseppe Spadaro powiedział agencji ANSA, że atak przyszedł o 4:00 rano i podniósł temperatury lad. Sprawą zajmuje się włoska policja pocztowa. Coop Italia przekazał ANSA, że w sklepach prowadzonych bezpośrednio przez sieć problemów nie było. Według relacji Today.it z komunikatu włoskiej agencji cyberbezpieczeństwa ACN agencja odnotowała dwa kolejne przypadki: firmę cateringową z Toskanii i producenta mrożonek z Emilii-Romanii. Na 3 listopada o 11:30 rząd zwołał w Palazzo Chigi spotkanie z szefami ACN i służb.
W Portugalii atak objął siedem sklepów Intermarché. Grupa Mosqueteiros przekazała dziennikowi JN, że napastnicy uderzyli w zewnętrznego usługodawcę, który zarządza chłodnictwem sklepów. Według grupy bezpieczeństwo żywności jest zachowane. Sprawę bada portugalska policja kryminalna (Polícia Judiciária).
W Finlandii Traficom potwierdził telewizji MTV Uutiset, że kilka urządzeń chłodniczych padło ofiarą ataku. Juha Tretjakov z fińskiego centrum cyberbezpieczeństwa powiedział, że urząd po ataku we Francji namierzył kilkadziesiąt takich urządzeń w otwartym internecie i ostrzegł ich właścicieli.
Dyrektor islandzkiego zespołu CERT-IS Magni Reynir Sigurðsson powiedział 3 listopada RÚV, że ofiarą hakerów padły co najmniej dwa urządzenia chłodnicze. Atak wykryto niemal od razu, więc według niego spowodował niewielkie szkody albo żadne. Dodał, że tam, gdzie ataki się udały, część oprogramowania nie była zaktualizowana.
Co wiadomo o Polsce: potwierdzenia CERT i nieprawidłowości w trzech sklepach Auchan
Marcin Dudek, dyrektor CERT Polska, potwierdził 3 listopada na konferencji prasowej NASK, że w Polsce doszło do jednego ataku na urządzenie chłodnicze. Nie ujawnił, której firmy dotyczył, i zapewnił, że atak nie wyrządził strat materialnych, jak relacjonuje CyberDefence24. Po atakach we Francji CERT przeskanował sieć i znalazł w Polsce 140 chłodziarek dostępnych z internetu. Według TVN24 po kontakcie z CERT około 70 firm odłączyło swoje urządzenia od sieci. Jedno urządzenie nie oznacza jednego sklepu, bo w sklepie może ich pracować kilka. Według Dudka to proste ataki: sprawcy masowo skanują sieć, próbują prostych haseł i znanych od lat podatności.
Po 13:00 RMF FM podało, że CERT Polska potwierdził reporterce stacji dwa zaatakowane urządzenia. Jedno było w małym sklepie spożywczym, drugie u dystrybutora żywności. Do obu ataków doszło 2 listopada i żaden nie spowodował strat, bo pracownicy zauważyli rosnącą temperaturę i zabezpieczyli żywność. Dudek powiedział stacji, że około 70 urządzeń chłodniczych nadal jest dostępnych z internetu. Liczba ataków różni się więc od tej z konferencji. TVN24 poprosił CERT o wyjaśnienie i do publikacji nie dostał odpowiedzi. Na cert.pl do 4 listopada, 8:55 nie było osobnego komunikatu o lodówkach.
Olsztyn i oświadczenie Auchan
Osobno policjanci z olsztyńskiego zarządu Centralnego Biura Zwalczania Cyberprzestępczości dostali w nocy z 2 na 3 listopada zgłoszenie ataku hakerskiego na jeden ze sklepów w Olsztynie. Monika Przestrzelska z CBZC powiedziała Radiu ESKA, że policjanci zbierają i zabezpieczają dowody. Nazwy sklepu nie podała. Dzień wcześniej w sklepie Auchan na olsztyńskich Nagórkach nie działały urządzenia chłodnicze, co pracownicy potwierdzili WP Finanse.
Po południu biuro prasowe Auchan Polska odpowiedziało Gazecie Olsztyńskiej i DlaHandlu.pl. Sieć potwierdziła nieprawidłowości w działaniu systemów sterowania urządzeniami chłodniczymi w trzech sklepach: w Olsztynie, Częstochowie-Poczesnej i Sosnowcu. W oświadczeniu nie użyła słowa atak. Napisała, że po pierwszych informacjach o podobnych zdarzeniach w Europie zaczęła wzmacniać odporność systemów. Temperaturę w urządzeniach we wszystkich sklepach na bieżąco kontrolują pracownicy. CERT nie powiedział, czy któryś z potwierdzonych ataków dotyczy sklepów Auchan.
4 listopada lokalny portal TKO napisał, powołując się na komunikat Wojewódzkiej Stacji Sanitarno-Epidemiologicznej w Olsztynie, że olsztyński sanepid skontrolował hipermarket Auchan. W części urządzeń chłodniczych temperatura wzrosła. Mięso, nabiał i ryby z tych urządzeń wycofano ze sprzedaży i przekazano do utylizacji. Pozostałe urządzenia według WSSE działają prawidłowo. Samego komunikatu WSSE na jej stronie do 8:55 nie było, a ilości zutylizowanej żywności nikt nie podał.
Kto stoi za atakiem i który sprzęt padł
Sprawcy nie wskazała żadna instytucja i nikt nie przyznał się do ataku. Katrien Eggers z belgijskiego Centrum Cyberbezpieczeństwa (CCB) powiedziała serwisowi The Record, że nie wiadomo, kto za nim stoi, i być może nigdy nie da się tego ustalić. CCB martwi rosnąca liczba incydentów, także z powodu celowego użycia AI, ale nie wie, czy AI użyto przy tym ataku. Belgijska prokuratura federalna wszczęła śledztwo.
Komisja Europejska też nie wskazuje sprawców, bo to zadanie krajowych organów śledczych. 3 listopada rano odbyły się dwie narady. Najpierw rozmawiały agencje UE, w tym ENISA i Europol, potem przedstawiciele państw w unijnej sieci CYCLONe. Komisarz Christophe Hansen zapowiedział omówienie sprawy na Kolegium Bezpieczeństwa Komisji Europejskiej, jak podał Onet za RMF FM.
Według paryskiej prokuratury pierwsza fala z października miała około 700 ofiar. Nie wiadomo, czy obie fale to dzieło tych samych osób.
W Estonii wykonawca instalacji mówił o “starszym systemie Danfoss”. Według holenderskiej NOS w Belgii celem był też sprzęt Copelanda. Po ataku we Francji obie firmy podały, że chodzi głównie o wycofane modele, które nie dostają już poprawek bezpieczeństwa. Rzecznik Danfossa dodał dla NOS, że 13 października firma zaleciła holenderskim klientom odłączenie systemów od internetu. Dotknięte urządzenia nie były w bezpiecznej sieci i miały domyślne hasła.
Producentów sprzętu do takich poprawek dziś nic nie zmusza. Unijny Cyber Resilience Act nałoży wymogi dotyczące okresu wsparcia dopiero od grudnia 2027 roku.
Co powinien sprawdzić właściciel sklepu, piekarni albo chłodni
Najpierw trzeba ustalić, czy sterownik chłodni albo panel serwisowy da się otworzyć z internetu. Dotyczy to też urządzeń, które podłączył serwisant, na przykład przez router z kartą SIM. Alert CERT-FR i biuletyn włoskiej ACN zalecają:
- Usunąć dostęp z internetu do sterowników i do każdego urządzenia pod publicznym adresem IP. Przed odcięciem przesyłu danych do firmy chłodniczej sprawdzić warunki umowy ubezpieczenia.
- Sprawdzić całą konfigurację: nastawy temperatur, harmonogramy odszraniania, progi alarmów i to, do kogo idą powiadomienia.
- Przywrócić zdalny dostęp tylko przez zabezpieczony VPN albo chronioną sieć. ACN dodaje uwierzytelnianie dwuskładnikowe i osobne konto dla każdego serwisanta.
- Zmienić hasła domyślne i powtarzane, wyłączyć nieużywane konta serwisowe.
- Zaktualizować oprogramowanie urządzenia. Dla sprzętu Danfoss CERT-FR wymienia też poziom bezpieczeństwa “Strict”.
- Przejrzeć dzienniki zdarzeń z ostatnich 90 dni pod kątem logowań z nietypowych adresów i zmian nastaw.
Filtrowanie adresów IP serwisanta na zaporze CERT-FR dopuszcza tylko doraźnie. ACN przypomina, że strona logowania z HTTPS nie chroni przed wykorzystaniem luki.
Sprzęt bez wsparcia producenta trzeba wymienić albo odciąć od internetu. CERT-FR pisze, że sam reset fabryczny usuwa mechanizmy, którymi napastnik utrzymuje dostęp, ale nie usuwa luki, więc urządzenie znów wystawione do internetu niemal na pewno zostanie przejęte ponownie. ACN radzi przed resetem zachować dzienniki i konfigurację do analizy. Moelans mówił agencji Belga, że części urządzeń nie naprawi sama aktualizacja i potrzebne są fizyczne przeróbki. Prace trzeba planować razem z serwisem chłodniczym, żeby nie wyłączyć chłodzenia na ślepo. Podobny problem dotyczy innych systemów sterowania podłączonych do internetu, na przykład w wodociągach.
Komunikat GIS: co mają zrobić sklepy i hurtownie
Główny Inspektor Sanitarny opublikował 3 listopada komunikat o atakach na łańcuch chłodniczy. Według GIS druga fala ruszyła 2 listopada i objęła supermarkety w co najmniej 10 krajach Europy. W wyliczeniu urząd wymienia obok krajów opisanych wyżej także Niemcy, Wielką Brytanię i Polskę, bez szczegółów o konkretnych sklepach. Ataki dotyczą zarówno dużych sieci handlowych, jak i mniejszych firm, między innymi rzeźni i zakładów dystrybucji mięsa. Napastnicy przełączają sterowniki w tryb odszraniania albo podnoszą temperaturę do 40-50°C. GIS zaznacza, że ataki nie dotyczyły domowych lodówek.
Według GIS po ingerencji w sterownik elektroniczny system monitoringu może też pokazywać nieprawidłową temperaturę, więc przedsiębiorcy nie powinni polegać wyłącznie na automatycznych wskazaniach. Sklepom spożywczym, hurtowniom i innym miejscom sprzedaży i przechowywania żywności inspekcja zaleca:
- Regularnie mierzyć i zapisywać temperaturę w lodówkach, chłodniach i zamrażarkach niezależnym termometrem.
- Porównywać wskazania systemów elektronicznych z tymi pomiarami.
- Reagować na nietypowe zmiany temperatury, niewyjaśnione zmiany ustawień urządzeń oraz brak albo złe działanie alarmów.
- Częściej kontrolować urządzenia, gdy one albo system monitoringu działają nieprawidłowo.
- Przy każdym niekontrolowanym wzroście temperatury od razu ocenić bezpieczeństwo żywności, zanim wróci do sprzedaży.
- Sprawdzić, czy systemy chłodzenia korzystają z publicznego internetu i jak zabezpieczone są sterowniki i moduły komunikacyjne.
Podejrzane zdarzenia GIS każe zgłaszać właściwym organom, w sprawach bezpieczeństwa żywności także Państwowej Inspekcji Sanitarnej. Firmy powinny też przejrzeć wewnętrzne procedury utrzymania chłodzenia i procedury kryzysowe. Od strony technicznej GIS odsyła do zaleceń CERT Polska: sprawdzić dane logowania, zwłaszcza czy zmieniono domyślne hasła, i rozważyć VPN do zdalnego dostępu. Wymienia też bezpłatny serwis moje.cert.pl.
Szef GIS Paweł Grzesiowski mówił 3 listopada na konferencji prasowej, że najtrudniej wykryć ataki przerywane, na przykład trwające kilka godzin w nocy, bo pracownicy mogą ich nie zauważyć na czas. Zapowiedział też na ten sam dzień naradę z wojewódzkimi inspektorami sanitarnymi, jak relacjonuje Gazeta Olsztyńska.
Czy żywność z tych sklepów jest bezpieczna
Sieci, których sklepy ucierpiały, wyrzucały towar z rozmrożonych urządzeń. Kierownik sklepu ICA mówił TV4, że mrożonki poszły do utylizacji. Grupa Mosqueteiros zapewnia, że w Portugalii warunki higieny i bezpieczeństwa żywności są zachowane.
GIS prosi kupujących o szczególną uwagę przy produktach z lodówek i zamrażarek. Według komunikatu warto sprawdzić:
- czy lodówka albo zamrażarka w sklepie działa prawidłowo,
- czy produkt nie ma oznak rozmrożenia albo złego przechowywania,
- stan opakowania i produktu: uszkodzenia, wycieki, nietypowy wygląd, zapach, zawilgocenie,
- przy mrożonkach oznaki ponownego zamrożenia, zbrylenie albo dużo lodu w opakowaniu.
Produktu, co do którego są uzasadnione wątpliwości, GIS radzi nie kupować, a każdą nieprawidłowość, na przykład brak chłodzenia, zgłosić obsłudze sklepu. W uzasadnionych przypadkach dotyczących bezpieczeństwa żywności można zgłosić interwencję do Państwowej Inspekcji Sanitarnej.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Druga fala ataków na chłodnie objęła w nocy z 1 na 2 listopada ponad 115 sklepów w Belgii, Holandii, Szwecji, Luksemburgu, Irlandii i Estonii. W ciągu dnia doszły potwierdzone przypadki we Włoszech, w Portugalii, w Finlandii i w Islandii. Napastnicy przełączali sterowniki chłodnictwa w tryb odszraniania albo zmieniali nastawy. Producenci wiązali pierwszą falę głównie ze starymi, niewspieranymi modelami i domyślnymi hasłami. Sprawca jest nieznany. W Polsce CERT Polska znalazł 140 chłodziarek dostępnych z internetu i potwierdził ataki bez strat materialnych. Auchan potwierdził nieprawidłowości w sterowaniu chłodniami w trzech sklepach. Policja bada zgłoszenie ataku na sklep w Olsztynie. GIS zalecił 3 listopada sklepom i hurtowniom mierzenie temperatury niezależnym termometrem, a kupującym sprawdzanie, czy mrożonki nie były rozmrożone (stan na 4 listopada, godz. 8:55). Właściciele sklepów, piekarni, gastronomii i chłodni powinni dziś sprawdzić, czy panel sterownika jest dostępny z internetu, i przenieść zdalny dostęp serwisu do VPN.
