Frysattacker mot svenska butiker blottar brister i leverantörers fjärråtkomst

Enligt Techtidningen ändrade cyberattacker mot kylsystem i svenska matbutiker temperaturen i kyl- och frysutrymmen till omkring 50 grader Celsius. Livsmedel värda stora belopp fick kasseras. I oktober drabbades omkring 700 franska livsmedelsbutiker av liknande attacker.

Det är ännu inte helt klarlagt hur angriparna tog sig in i de svenska butikernas system. Två proryska hackergrupper har tagit på sig ansvaret. Säkerhetsexperterna Johan Nordin från Evolvit och Joakim Berghman från Mentcon säger till Techtidningen att händelserna visar på ett bredare problem: företag saknar ofta full kontroll över externa leverantörers fjärråtkomst.

Kylsystem, ventilation, larm och produktionsutrustning är exempel på system som leverantörer kan underhålla på distans. Experterna säger att åtkomst kan finnas kvar i åratal efter installation eller service, ibland utan att företaget vet vilka konton som finns eller vem som använder dem. Vanliga brister är standardlösenord, delade konton, utrustning som är åtkomlig från internet, avsaknad av multifaktorautentisering, föråldrad programvara och otillräcklig övervakning. Om uppkopplad utrustning delar nätverk med företagets övriga system kan angripare också få en väg vidare in i verksamheten.

Experterna rekommenderar att företag inventerar system och leverantörer med fjärråtkomst, stänger anslutningar som inte behövs, byter standardlösenord, kräver multifaktorautentisering, skiljer uppkopplad utrustning från övriga it-system och övervakar inloggningar och ändringar av inställningar. De säger att enkelriktade datadioder kan passa för särskilt kritiska styrsystem, men att de kostar mer.

Sveriges cybersäkerhetslag trädde i kraft den 15 januari 2026. Föreskrifter som kompletterar lagen tillkom den 1 oktober. Nordin och Berghman säger att vissa företag fortfarande inte vet om lagen omfattar dem. De rekommenderar också att utse en ansvarig i ledningen, stänga gamla åtkomster, testa återställning från säkerhetskopior och utbilda medarbetare. De nämner Disa, en kostnadsfri nätutbildning från Myndigheten för civilt försvar som tar omkring 25 minuter.