Blogg

Kylattackerna visar en större brist i vår cybersäkerhet

Manipulerade kylsystem i svenska matbutiker visar hur kända svagheter i uppkopplad teknik kan få fysiska konsekvenser. Vad hindrar oss från att agera på risker vi redan känner till – och hur bygger vi bättre motståndskraft?

Natten till den 2 november rapporterades störningar i kyl- och fryssystem hos svenska ICA- och Coop-butiker. I Sjöbo uppgavs temperaturen ha ställts till omkring 50 grader och varor fick kasseras. Även andra butiker rapporterade onormalt höga temperaturer. Händelserna innebar både ekonomiska förluster och arbete som fick läggas åt sidan.

Det är en påminnelse om vad som händer när digital styrning får fysiska konsekvenser. En enkel ändring i ett gränssnitt resulterar i förstörd mat, avbruten drift och ekonomiska skador.

Hela händelsekedjan är ännu inte klarlagd. Det är inte fastställt att alla incidenter har samma tekniska orsak eller att angreppen i Frankrike och Sverige utfördes av samma aktör. Men frågorna som väcks är större än enskilda kylsystem.

Varningen fanns. Vad gjorde vi med den?

Redan i rapporten Cybersäkerhet i Sverige 2022 beskrev Nationellt cybersäkerhetscenter internetexponerade butiksfrysar där bristande lösenordshantering gjorde det möjligt att stänga av eller ändra temperaturen på distans. Fler liknande installationer kunde hittas med en enkel sökning.

I oktober 2026 drabbades hundratals franska butiker av angrepp mot kylstyrning. Franska CERT-FR varnade för komprometterade styrenheter. Belgiska cybersäkerhetsmyndigheter uppmanade kort därefter verksamheter att inventera systemen, ta bort direkt internetexponering och säkra fjärråtkomsten. Några veckor senare kom rapporter om nya störningar i flera europeiska länder, däribland Sverige.

Det finns ett obekvämt mönster här. Risken var känd. Varningarna var konkreta. Ändå hann inte alla åtgärder genomföras.

I miljöer jag möter är kostnaden för en säkerhetsåtgärd konkret, medan konsekvensen av att vänta är osäker. Åtgärden skjuts därför upp, ibland gång på gång. Till slut har svagheten blivit en del av miljön.

För varje organisation finns därför en viktig fråga: leder incidenten hos någon annan till att vi faktiskt undersöker vår egen exponering?

Gamla brister i en ny hotbild

Vi lägger mycket uppmärksamhet på nya, avancerade sårbarheter. Men ett öppet administrationsgränssnitt, svaga eller delade lösenord och en styrenhet som inte får säkerhetsuppdateringar kan räcka långt för en angripare.

I vissa rapporterade kylincidenter användes legitima funktioner, exempelvis avfrostning eller temperaturinställningar, för att påverka kylningen. Angriparen behöver alltså inte nödvändigtvis installera särskild skadlig kod för att orsaka skada. Exakt hur åtkomsten erhölls i novemberincidenterna är däremot inte offentligt fastställt.

Forescout har identifierat närmare 13 000 internetexponerade av kylrelaterade tjänster fördelade på drygt 6 000 publika IP-adresser i 99 länder. Det är inte samma sak som 13 000 bekräftat sårbara enheter. Men det illustrerar hur vanlig internetexponerad fjärradministration är.

AI gör den här frågan mer angelägen. Tekniken kan hjälpa försvarare att hitta exponering och prioritera åtgärder, men den kan också hjälpa angripare att kartlägga kända brister snabbare och i större skala. Det finns inget underlag för att AI användes vid de aktuella kylattackerna. Poängen är att den gamla frågan ”Varför skulle någon angripa just oss?” blir allt svagare när exponerade system kan hittas automatiskt.

Sida

AI-säkerhet

Läs

Vem ansvarar för uppkopplade styrsystem?

ICA har beskrivit att de berörda kylsystemens uppkopplingar låg utanför det centrala butiksnätverket. Det är en viktig distinktion. Händelserna ska därför inte beskrivas som intrång i ICA:s centrala IT-miljö.

Men det är också själva lärdomen. Ett välskyddat centralt nätverk räcker inte om kylstyrningen, fastighetsautomationen eller en entreprenörs serviceanslutning har en egen väg ut mot internet. Angriparen bryr sig inte om vems budget systemet tillhör.

Att lägga ut underhållet är inte att lägga ut ansvaret. Vem vet vilka system som finns, vilka leverantörer som kan ansluta och vad de har rätt att göra? Vem äger beslutet att stänga av en anslutning när den inte längre är säker?

Här blir Zero Trust konkret: vem får nå styrsystemet, varifrån, med vilken identitet och med vilka befogenheter? Att utrustningen behöver fjärrservice betyder inte att styrningen behöver vara öppen mot internet.

Skyddet måste också begränsa konsekvenserna

Larm och övervakning är viktiga. Men när temperaturen redan stigit till skadliga nivåer kan det vara för sent för varorna. Därför behöver systemen inte bara upptäcker avvikelser utan också begränsa vad en obehörig eller komprometterad användare kan göra.

Ska det över huvud taget gå att fjärrstyra kritiska börvärden utan ytterligare kontroll? Kan temperatur övervakas oberoende av den styrenhet som riskerar att manipuleras? Och vad fortsätter fungera om fjärråtkomsten måste kopplas bort?

Det är frågor som hör hemma när systemen upphandlas, byggs och förvaltas – inte först när en incident pågår. Att återställa en styrenhet utan att stänga den ursprungliga exponeringsvägen löser inte grundproblemet.

Fem frågor att ställa redan i veckan

1. Vet vi vad vi har? Inventera kylstyrning, ventilation, el, passage och andra uppkopplade OT-system. Dokumentera systemägare, leverantör, version, supportstatus och anslutningsvägar.
2. Står något öppet mot internet? Ta bort direkt nåbara administrationsgränssnitt. Använd kontrollerad fjärråtkomst, exempelvis VPN eller ZTNA där det är lämpligt, med individuella identiteter och stark autentisering.
3. Kan vi begränsa konsekvensen? Segmentera miljön och begränsa vad varje identitet och anslutning får nå. Styr särskilt ändringar av verksamhetskritiska parametrar.
4. Vet vi vad leverantörerna gör? Kartlägg externa åtkomster, undvik delade konton och se till att aktiviteter loggas. Bestäm vem som får stänga åtkomsten och hur servicen återupptas säkert.
5. Fungerar verksamheten när uppkopplingen bryts? Övervaka kritiska fysiska värden oberoende av styrsystemet när det är möjligt. Testa manuella rutiner, eskalering och återställning med driftpersonal och leverantörer.

Whitepaper

Implementera Zero Trust

Läs

Ett större ansvar genom hela livscykeln

EU:s Cyber Resilience Act skärper kraven på säkerhet och sårbarhetshantering i produkter med digitala komponenter. Tillverkarnas rapporteringsskyldigheter förutnyttjade sårbarheter och allvarliga säkerhetsincidenter började tillämpas den 11 september 2026. De huvudsakliga produktkraven börjar tillämpas den 11 december 2027.

Det är ett viktigt steg. Men nya krav gör inte befintliga installationer säkra över en natt. Styrsystem som köps in eller redan finns i drift behöver fungera i många år. Tillverkare, underhållsleverantörer och verksamhetsansvariga måste därför ta ansvar för hela livscykeln – även när tekniken blir äldre.

Det här stannar inte vid kylar och frysar. Uppkopplade styrsystem finns inom industri, el, vatten, fastigheter, sjukvård och livsmedelsproduktion. Där kan konsekvensen handla om mer än kasserade varor: produktsäkerhet, kontinuitet och i vissa fall människors fysiska säkerhet.

Motståndskraft byggs innan incidenten

Det kostar att agera i förtid. Men i en pågående incident blir det ofta dyrare, och då går beslutet inte längre att skjuta upp. Cybersäkerhet handlar därför inte bara om att stoppa intrång. Den handlar om att bygga en arkitektur som begränsar skadan, tydliggör ansvar och låter verksamheten fortsätta fungera när något går fel.

Först när kända risker leder till konkreta beslut och en arkitektur som tål störningar blir cybersäkerhet något mer än teknik. Då handlar det om verksamhetens motståndskraft.

Sida

Dagligvaruhandel – den uppkopplade butiken

Dagligvaruhandel står idag inför unika IT-utmaningar på grund av komplexa nätverk och höga kundförväntningar, den uppkopplade butikens IT ska i varje ögonblick vara smidig, snabb och felfri.

Läs

Om författaren