Tilanne 2.11.2026
Yöllä 1.–2.11.2026 hyökkääjät muuttivat etänä ruokakauppojen kylmä- ja pakastelaitteiden asetuksia ainakin seitsemässä Euroopan maassa, Suomessa muutamassa pienessä K-ruokakaupassa. Kyberturvallisuuskeskuksen mukaan iskut kohdistuivat Danfossin tiettyihin malleihin, jotka oli kytketty avoimesti internetiin. Sama tekniikka oli käytössä Ranskassa lokakuussa, jolloin noin 700 kauppaa joutui kohteeksi.
Tapahtumat Suomessa
Häiriöitä havaittiin maanantain vastaisena yönä muutamassa pienemmässä K-ruokakaupassa joko automaattisesta hälytyksestä tai henkilökunnan tullessa aamulla töihin. Keskon turvallisuuspäällikön Petri Käyhkön mukaan häiriö ei ole laajamittainen, eivätkä laitteet olleet Keskon keskitetyn suojauksen piirissä. Verkon kautta tapahtunutta häiriköintiä ei ole suljettu pois, ja kaupoissa on aloitettu korjaustoimet.
- K-market Lönkan Herkussa (Helsinki) osa kylmäkalusteista oli vikaantuneena 1–2 tuntia, ja tuoretuotteita meni jonkin verran hukkaan.
- K-market Oliivi (Lauttasaari) kertoi kylmälaiterikosta oveen kiinnitetyssä lapussa.
- S-ryhmä ja Lidl eivät ole havainneet vastaavaa.
Kyberturvallisuuskeskus kartoitti Ranskan iskujen jälkeen Suomesta verkkoon näkyvät vastaavat laitteet. Niitä löytyi muutamia kymmeniä, ja omistajia kehotettiin poistamaan ne julkisesta verkosta. Erityisasiantuntija Juha Tretjakovin mukaan näkyvissä on enää muutama.
Keskuksen mukaan iskut Suomessa ja muualla kohdistuivat Danfossin tiettyihin malleihin, ja avoimeen laitteeseen pääsi kohtalaisen helposti. Keskukselle on tullut yksi ilmoitus vahinkoa aiheuttaneesta tapahtumasta. Tekijää ja motiivia ei tiedetä, ja tekijän selvittäminen on poliisin asia. Kesko ei ole itse nimennyt laitevalmistajaa.
Laitteet ja hyökkäystapa
Kohteena ovat kaupan kylmälaitteiden keskusohjaimet. Niillä säädetään lämpötiloja ja sulatuksia, ja niissä on oma selainkäyttöliittymä. Ranskan tutkinnassa nimettiin Danfossin mallit AK-SM800 ja AK-SC355, joiden tuki on päättynyt (AK-SC355 vuonna 2016 ja AK-SM800 toukokuussa 2021). Ranskan CERT-FR listasi lisäksi Copelandin ja sen Dixell-merkin XWEB-valvontapalvelimet.
Hyökkääjät kirjautuivat ohjaimiin ja käynnistivät jatkuvan sulatuksen, jolloin sulatusvastukset nostivat lämpötilan 50 asteeseen tai yli. Monissa Ranskan laitteissa käyttäjätunnus oli admin ja salasana kulloinenkin päivämäärä. Danfossin mukaan 2.11. murretut laitteet käyttivät oletussalasanaa eivätkä olleet suojatussa verkossa.
Kansainvälinen tilanne
Suomen tapaukset kuuluvat samana yönä Euroopassa tehtyjen iskujen aaltoon. Danfoss vahvisti, että kohteena olivat samat mallit kuin Ranskassa lokakuussa.
- Belgia ja Luxemburg (1.–2.11.): noin 40 Delhaizea, ainakin 15 Carrefouria ja 5 Spar-kauppaa; ruokaa hävitettiin ainakin 100 000 euron arvosta.
- Ruotsi (1.–2.11.): rajattu määrä ICA-kauppoja ja 6 Coop-kauppaa; yhdessä kaupassa lämpötila 50 °C.
- Hollanti (1.–2.11.): ainakin 17 yritystä, mm. lihakauppoja ja lähikauppoja; sekä Danfossin että Copelandin järjestelmiä.
- Irlanti (1.–2.11.): 13 SuperValu-kauppaa.
- Viro (1.–2.11.): ainakin yksi Selver-kauppa.
- Ranska (11.–12.10.): jopa 700 kauppaa, mm. yli 300 Intermarchéa ja Nettoa, 80 Carrefouria ja 80 Coopérative U:ta; osa laitteista syttyi palamaan, vahingot kymmeniä miljoonia euroja.
Kukaan ei ole ottanut iskuja nimiinsä, eikä kiristysvaatimuksia ole tiedossa.
Miksi laitteet olivat avoimesti verkossa
Kylmäliikkeet valvovat ja säätävät laitteita etänä. Helpoin tapa on avata ohjaimen selainkäyttöliittymä suoraan internetiin, usein 4G-modeemin kautta. Laitteet ovat usein kauppiaan tai urakoitsijan vastuulla eivätkä ketjun keskitetyn tietoturvan piirissä, kuten Keskon ja ICA:n tapauksissa.
Vanhoja ohjaimia ei ole päivitetty tai niihin ei enää saa päivityksiä, ja oletustunnukset ovat jääneet voimaan. Suojauskeinot ovat tunnettuja: ohjain pois julkisesta verkosta, etäyhteys VPN:n kautta, oletussalasanojen vaihto ja tuen ulkopuolisten laitteiden uusiminen.
Lähteet
www.tivi.fi
yle.fi
dawn.fi
www.yrittajat.fi
www.is.fi