← LUPP BROTT GRANSKAD Länk kopierad

Attacker mot kyl- och frysanläggningar väcker oro för hot mot kritisk infrastruktur

Svenska matbutiker inom Ica och Coop ser ut att ha drabbats av en hackerattack mot sina kyl- och frysanläggningar, där temperaturen skruvats upp till omkring 50 plusgrader och lett till kasserade livsmedel. En liknande attack skedde den 12 oktober mot franska livsmedelskedjor som Intermarché, Coopérative U och Leclerc. Ingen har tagit på sig ansvar eller krävt lösensumma. Cybersäkerhetsexperten John Vestberg, vd för Clavister, menar att händelsen visar på samhällets sårbarhet och varnar för att framtida attacker kan rikta in sig på kritisk infrastruktur som elverk eller vattenreningsverk. Problemet uppstår när äldre utrustning, som inte designats för uppkoppling, kopplas samman med internet. En gemensam nämnare i attackerna tycks vara leverantören av kyl- och frysteknik, danska Danfoss, som har avtal med 1 700 nordiska butiker, tillsammans med amerikanska Copeland and Dixell. I Frankrike uppgavs vissa system ha kört utdaterad mjukvara utan säkerhetsuppdateringar. Vestberg pekar på att nya EU-lagen Cyber Resilience Act lägger stort ansvar på tillverkarna att stärka cybersäkerheten. Som akut åtgärd rekommenderas drabbade butiker att koppla bort nätverksanslutningen. Johan Edholm från Detectify betonar vikten av att kartlägga all uppkopplad utrustning, stänga administrationsgränssnitt mot internet och bygga nätverk som begränsar skador vid intrång.

AV EXPRESSEN 2 NOVEMBER 2026 ANALYSERAD

Sammanfattning i korthet — läs hela artikeln hos Expressen ↗

Lupp-analys

AUTOMATISK GRANSKNING · 2 NOV

Påståenden i texten, kontrollerade mot källa.

1 factual

Den 12 oktober utsattes franska livsmedelskedjor för en hackerattack där kyl- och fryssystem fick temperaturen att stiga till upp mot 50 plusgrader.

verifiable

Ett specifikt datum och händelse som kan verifieras genom nyhetsrapportering och officiella källor. Temperatursiffrorna är mätbara fakta.

2 factual

Ingen hackergrupp eller person har tagit på sig ansvaret för den franska attacken, och inget lösensumma-krav har riktats mot de drabbade kedjorna.

verifiable

Kan verifieras genom att söka efter officiella uttalanden från hackergrupper och säkerhetsmyndigheter. Det är ett negativt påstående som kan bekräftas genom avsaknad av publicerad information.

3 factual

Danfoss, Copeland and Dixell samt ytterligare en leverantör var måltavlor i den franska attacken.

verifiable

Företagsnamn och deras roll i attacken är faktisk information som kan verifieras genom säkerhetrapporter och officiella utredningar.

4 factual

Minst två svenska butiker uppger att deras system sköts av Danfoss, som har avtal med 1 700 livsmedelsbutiker i Norden.

verifiable

Kan verifieras genom att kontakta butikerna, Danfoss och genom deras avtalsdokumentation. De specifika siffrorna är faktisk information.

5 factual

I Frankrike uppgav Danfoss att flera drabbade butikers system inte längre fick säkerhetsuppdateringar och drevs med utdaterad programvara.

verifiable

Detta är ett uttalande från ett företag som kan verifieras genom intervjuer, pressmeddelanden eller officiella utredningsrapporter.

6 interpretive

Samma sak verkar ha hänt svenska Ica- och Coop-butiker.

contested

Ordet 'verkar' signalerar tolkning. Det krävs undersökning av specifika svenska butiker för att bekräfta detta, och källorna till denna uppfattning verkar osäkra.

7 interpretive

Nästa gång kan måltavlan vara ett elkraftverk eller vattenreningsverk.

unfalsifiable

Ett spekulation om framtiden. Det är omöjligt att falsifiera detta påstående eftersom det handlar om vad som 'kan' hända, inte vad som faktiskt kommer att hända.

8 interpretive

Det är 'lite tur i oturen' att den aktuella attacken handlar om kyl/frys snarare än något allvarligare.

unfalsifiable

En värdebedömning om allvarlighetsgrad. Olika personer kan bedöma konsekvenserna olika, och påståendet bygger på subjektiva värderingar.

9 interpretive

Leverantörerna har i dagsläget 'väldigt mycket' ansvar för den typen av attacker.

contested

Ansvar är juridisk och etisk fråga där experter, jurister och säkerhetsforscare kan vara oense. Det finns publicerade debatter om var ansvaret bör ligga.

Så tolkas nyheten genom olika linser. Välj en.

Fria priser ÖSTERRIKISK STYRKA 4/5

Danfoss-systemen i Frankrike slutade få uppdateringar – det fångar ingen central lag, bara den lokala ägaren.

Det verkliga problemet som artikeln kan sägas peka på är ett kunskapsproblem: ingen central myndighet eller lagstiftare kan i förväg veta vilka exakta säkerhetsåtgärder som är kostnadseffektiva för varje specifik kyl- eller frysinstallation i tusentals butiker — den kunskapen är utspridd hos varje butiksägare, varje leverantör och varje lokal IT-tekniker som känner sin egen risk. Cyber Resilience Act försöker ersätta denna spridda, lokala kunskap med en enhetlig regel uppifrån, vilket riskerar att skapa en falsk trygghetskänsla ('vi följer lagen') samtidigt som faktiska sårbarheter kvarstår i system som tekniskt uppfyller kraven men ändå är felkonfigurerade på sätt ingen centralbyråkrat kunde förutse. Artikeln nämner själv att Danfoss-system i Frankrike inte längre tog emot säkerhetsuppdateringar och drevs med utdaterad programvara — det är precis det slags lokal, praktisk information (vilken specifik butik har eftersatt sin uppdatering) som prissignaler och direkta avtalsrelationer mellan köpare och säljare är bättre på att fånga än generell lagstiftning. När säkerhet blir en regelefterlevnadsfråga snarare än en marknadsdriven relation mellan den som bär risken och den som levererar skyddet, flyttas incitamenten bort från verklig riskreducering mot formell avprickning — en oavsiktlig konsekvens som historiskt återkommer varje gång ett pris- eller kvalitetsproblem försöks lösas genom centralt dekret istället för genom att låta den som bär kostnaden för ett haveri också bära ansvaret för att förebygga det.

Vad utgår linsen från?

Försiktighet KONSERVATIV

Mat, vatten och el är för grundläggande för att lämnas åt uppkopplade prylar utan robust skydd.

Det som artikeln egentligen avslöjar är hur skört vårt samhälle blivit genom att koppla upp system som aldrig var tänkta att vara uppkopplade — kylar, frysar, kraftverk — mot ett globalt nätverk utan att någon institution tagit ett sammanhållet ansvar för att värna de grundläggande funktioner som håller ett samhälle igång. Det är inte först och främst en fråga om innovation eller marknadsfrihet, utan om att vissa funktioner — mat, vatten, el — är så grundläggande för social ordning att de förtjänar särskild försiktighet och robusta, beprövade skyddsmekanismer snarare än att lämnas åt uppkopplade

Vad utgår linsen från?

Minsta möjliga stat LIBERTARIANSK STYRKA 4/5

Butikskedjor valde billiga uppkopplade kylsystem utan säkerhetskrav – lagtvång är fel svar på det.

Artikeln glider osynligt till att lagstiftning (Cyber Resilience Act) är den naturliga lösningen, men det är inte uppenbart att statligt tvång mot tillverkare är det enda eller bästa sättet att hantera bristfällig IoT-säkerhet. Det är butikskedjornas frivilliga val att köpa billiga, uppkopplade kylsystem utan att kräva säkerhetsavtal eller uppdateringsgaranti — ett marknadsmisslyckande som kunde lösts genom konkurrens, ansvarsförsäkring och avtalsvillkor snarare än genom en centralt påtvingad regleringsapparat som gäller lika för alla oavsett faktiskt riskläge. Att automatiskt lägga 'väldigt mycket' ansvar på tillverkarna via lag, som experten föreslår, flyttar kostnaden till alla konsumenter genom högre priser, oavsett om de drabbade butikerna själva försummat att ställa krav vid upphandling. Den som äger utrustningen har alltid frihet och ansvar att själv koppla bort den från internet eller kräva säkrare lösningar av sin leverantör — att regeln i stället blir en statlig pålaga för en hel bransch är ett ingrepp i avtalsfriheten som inte är neutralt bara för att det kallas 'cybersäkerhet'. Innan man accepterar ännu en lagstiftad lösning bör man fråga om problemet verkligen kräver statligt tvång, eller om det är ett pris- och ansvarsproblem som marknaden själv kan korrigera snabbare och mer precist.

Vad utgår linsen från?

Det som inte togs upp

Frågor och kontext som artikeln utelämnar.

Huruvida den svenska händelsen faktiskt är bekräftat kopplad till samma hackare/metod som den franska attacken, eller om kopplingen enbart bygger på liknande symtom. — Hela artikelns relevans och dramatik vilar på att detta är del av samma våg av attacker; om kopplingen är spekulativ blir hotbilden betydligt mindre tydlig.

Vilken skada attackerna faktiskt orsakat ekonomiskt, för butiker, leverantörer eller konsumenter (utöver kasserade frysvaror). — Artikeln nämner slängda frysvaror men kvantifierar inte omfattningen, vilket gör det svårt att bedöma hur allvarlig händelsen faktiskt är jämfört med den dramatiska ramen om 'kritisk infrastruktur'.

Varför just kyl- och frysleverantörer (IoT-utrustning i allmänhet) har så svaga säkerhetsrutiner, och om det finns strukturella marknadsincitament (kostnad, konkurrens, bristande efterfrågan på säkerhet) som förklarar detta bättre än enbart lagstiftningsglapp. — Utan denna diskussion framstår lagstiftning (CRA) som den enda lösningen, medan marknadens roll i att skapa eller lösa problemet inte utforskas.

Vem som bär kostnaden för att åtgärda säkerhetsbristerna – leverantörer, butikskedjor, eller i förlängningen konsumenter via högre priser. — Artikeln diskuterar ansvar men inte vem som i praktiken betalar notan för ökad cybersäkerhet, vilket är relevant för att bedöma realismen i föreslagna lösningar.

Faktiska sårbarheter och skyddsnivå hos svenska elkraftverk och vattenreningsverk, jämfört med kommersiella kylsystem i butiker. — Experten jämför fritt med kritisk infrastruktur utan att artikeln undersöker om dessa system faktiskt har jämförbara sårbarheter eller om de redan är betydligt bättre skyddade, vilket gör jämförelsen spekulativ.

Myndigheters eller svenska säkerhetstjänsters bedömning av händelsen. — Artikeln bygger enbart på uttalanden från två privata cybersäkerhetsföretags vd:ar/medgrundare, utan att inkludera oberoende myndighetsperspektiv (t.ex. MSB), vilket hade gett en mer balanserad bild av hotnivån.

Outtalade antaganden

Premisser artikeln tar för givna utan att motivera dem.

high

Artikeln antar att attackerna mot svenska Ica- och Coop-butiker är samma fenomen som den franska attacken, utan att detta är bekräftat.

Texten säger att 'samma sak verkar ha hänt svenska Ica- och Coop-butiker' men bygger kopplingen på likhet i tillvägagångssätt och gemensam leverantör, inte på bekräftad utredning. Om kopplingen inte stämmer faller hela premissen om ett växande mönster av attacker mot kritisk infrastruktur.

”Samma sak verkar ha hänt svenska Ica- och Coop-butiker.”

Följ premissen

medium

Artikeln tar för givet att ny lagstiftning (Cyber Resilience Act) är rätt och tillräcklig mekanism för att lösa problemet, utan att undersöka om marknadsincitament, konkurrens eller försäkringslösningar skulle kunna vara effektivare eller komplementära vägar.

CRA nämns som facit ('man har ett jobb i att komma ikapp lagstiftningen') utan diskussion av om regelefterlevnad verkligen leder till bättre faktisk säkerhet, eller om lagstiftning är rätt verktyg jämfört med marknadsmekanismer som ansvarsförsäkring eller kundkrav.

”Du har den nya cybersäkerhetslagen Cyber Resilience Act som har trätt i kraft. Den lägger ett jättestort ansvar på produkttillverkarna”

high

Att en attack mot kyl/frys-system är ett 'försmak' eller föregångare till attacker mot elkraftverk eller vattenreningsverk förutsätter att angriparens kapacitet och motiv är överförbara till helt andra typer av infrastruktur.

Experten spekulerar fritt om nästa mål utan att motivera varför en grupp som hackar kylsystem i matbutiker skulle ha förmåga eller intresse av att angripa betydligt mer skyddad och komplex infrastruktur som elkraftverk. Detta är en glidning från ett konkret fall till ett generellt hot utan empiriskt stöd i artikeln.

”Nästa gång kan det vara ett elkraftverk eller ett vattenreningsverk”

Följ premissen

medium

Artikeln antar att ansvaret för cybersäkerhetsbrister främst ligger hos produkttillverkarna/leverantörerna, snarare än hos butikskedjorna som köper och driftsätter systemen eller hos regelverket som sådant.

Frågan 'Vilket ansvar kan läggas på frys- och kyl-leverantörerna' och svaret 'Väldigt mycket' styr tolkningen mot leverantörsansvar, men artikeln problematiserar inte om inköpande butikskedjor hade ansvar för att kräva uppdaterade system, eller om lagstiftningen (CRA) i sig är rätt mekanism för att lösa problemet.

”Vilket ansvar kan läggas på frys- och kyl-leverantörerna vid den här typen av attacker? – I dagsläget skulle jag säga: Väldigt mycket.”

Följ premissen

low

Artikeln antar implicit att 'begränsad terroristhandling' eller 'påverkansoperation från främmande stat' är de enda rimliga förklaringarna, och utelämnar mer vardagliga motiv som vandalism, testning av exploits, eller ekonomiskt motiverad sabotage mot konkurrenter.

Experten presenterar två spekulativa scenarier (terror eller statsaktör) som de enda alternativen trots att ingen tagit på sig ansvar och ingen lösensumma krävts, vilket också kunde tyda på andra motiv som artikeln inte utforskar.

”Alltså någon form av begränsad terroristhandling... Vill man spekulera åt ett annat håll skulle det teoretiskt kunna vara en påverkansoperation från en främmande stat”

Följ premissen

medium

Experternas uttalanden tas som auktoritativa bedömningar av hotbilden utan att artikeln problematiserar deras kommersiella intresse av att framställa cybersäkerhetshot som allvarliga.

Både Vestberg och Edholm driver cybersäkerhetsföretag som tjänar på ökad oro för digitala hot. Artikeln presenterar deras spekulationer om framtida attacker mot kritisk infrastruktur som neutral expertbedömning utan att nämna denna intressekonflikt.

”John Vestberg, vd för cybersäkerhetsföretaget Clavister”

Följ premissen

Analysen genereras automatiskt och kan innehålla fel. Granska alltid källorna.

Lupp-analys

Granskning av originalartikeln ↗

AUTOMATISK GRANSKNING · 2 NOV

Påståenden i texten, kontrollerade mot källa.

1 factual

Den 12 oktober utsattes franska livsmedelskedjor för en hackerattack där kyl- och fryssystem fick temperaturen att stiga till upp mot 50 plusgrader.

verifiable

Ett specifikt datum och händelse som kan verifieras genom nyhetsrapportering och officiella källor. Temperatursiffrorna är mätbara fakta.

2 factual

Ingen hackergrupp eller person har tagit på sig ansvaret för den franska attacken, och inget lösensumma-krav har riktats mot de drabbade kedjorna.

verifiable

Kan verifieras genom att söka efter officiella uttalanden från hackergrupper och säkerhetsmyndigheter. Det är ett negativt påstående som kan bekräftas genom avsaknad av publicerad information.

3 factual

Danfoss, Copeland and Dixell samt ytterligare en leverantör var måltavlor i den franska attacken.

verifiable

Företagsnamn och deras roll i attacken är faktisk information som kan verifieras genom säkerhetrapporter och officiella utredningar.

4 factual

Minst två svenska butiker uppger att deras system sköts av Danfoss, som har avtal med 1 700 livsmedelsbutiker i Norden.

verifiable

Kan verifieras genom att kontakta butikerna, Danfoss och genom deras avtalsdokumentation. De specifika siffrorna är faktisk information.

5 factual

I Frankrike uppgav Danfoss att flera drabbade butikers system inte längre fick säkerhetsuppdateringar och drevs med utdaterad programvara.

verifiable

Detta är ett uttalande från ett företag som kan verifieras genom intervjuer, pressmeddelanden eller officiella utredningsrapporter.

6 interpretive

Samma sak verkar ha hänt svenska Ica- och Coop-butiker.

contested

Ordet 'verkar' signalerar tolkning. Det krävs undersökning av specifika svenska butiker för att bekräfta detta, och källorna till denna uppfattning verkar osäkra.

7 interpretive

Nästa gång kan måltavlan vara ett elkraftverk eller vattenreningsverk.

unfalsifiable

Ett spekulation om framtiden. Det är omöjligt att falsifiera detta påstående eftersom det handlar om vad som 'kan' hända, inte vad som faktiskt kommer att hända.

8 interpretive

Det är 'lite tur i oturen' att den aktuella attacken handlar om kyl/frys snarare än något allvarligare.

unfalsifiable

En värdebedömning om allvarlighetsgrad. Olika personer kan bedöma konsekvenserna olika, och påståendet bygger på subjektiva värderingar.

9 interpretive

Leverantörerna har i dagsläget 'väldigt mycket' ansvar för den typen av attacker.

contested

Ansvar är juridisk och etisk fråga där experter, jurister och säkerhetsforscare kan vara oense. Det finns publicerade debatter om var ansvaret bör ligga.

Så tolkas nyheten genom olika linser. Välj en.

Fria priser ÖSTERRIKISK STYRKA 4/5

Danfoss-systemen i Frankrike slutade få uppdateringar – det fångar ingen central lag, bara den lokala ägaren.

Vad utgår linsen från?

Försiktighet KONSERVATIV

Mat, vatten och el är för grundläggande för att lämnas åt uppkopplade prylar utan robust skydd.

Vad utgår linsen från?

Minsta möjliga stat LIBERTARIANSK STYRKA 4/5

Butikskedjor valde billiga uppkopplade kylsystem utan säkerhetskrav – lagtvång är fel svar på det.

Vad utgår linsen från?

Det som inte togs upp

Frågor och kontext som artikeln utelämnar.

Outtalade antaganden

Premisser artikeln tar för givna utan att motivera dem.

high

Artikeln antar att attackerna mot svenska Ica- och Coop-butiker är samma fenomen som den franska attacken, utan att detta är bekräftat.

”Samma sak verkar ha hänt svenska Ica- och Coop-butiker.”

Följ premissen

medium

”Du har den nya cybersäkerhetslagen Cyber Resilience Act som har trätt i kraft. Den lägger ett jättestort ansvar på produkttillverkarna”

high

”Nästa gång kan det vara ett elkraftverk eller ett vattenreningsverk”

Följ premissen

medium

”Vilket ansvar kan läggas på frys- och kyl-leverantörerna vid den här typen av attacker? – I dagsläget skulle jag säga: Väldigt mycket.”

Följ premissen

low

”Alltså någon form av begränsad terroristhandling... Vill man spekulera åt ett annat håll skulle det teoretiskt kunna vara en påverkansoperation från en främmande stat”

Följ premissen

medium

Experternas uttalanden tas som auktoritativa bedömningar av hotbilden utan att artikeln problematiserar deras kommersiella intresse av att framställa cybersäkerhetshot som allvarliga.

”John Vestberg, vd för cybersäkerhetsföretaget Clavister”

Följ premissen

Analysen genereras automatiskt och kan innehålla fel. Granska alltid källorna.