Minst nio matbutiker hos Ica och Coop har drabbats av incidenter i sina kyl- och fryssystem. Sex Coop-butiker i mellersta Sverige är påverkade och Ica rapporterar problem i flera delar av landet. I Sjöbo ska hackare ha ställt in frysarna på 50 grader och butikschefen uppger att mat för hundratusentals kronor förstörts. Händelserna väcker nya frågor om säkerheten i uppkopplad utrustning, bara några veckor efter en liknande cyberattack mot hundratals livsmedelsbutiker i Frankrike.

Ica och Coop drabbade av angrepp mot kyl- och fryssystem

Det var under måndagen den 2 november som omfattningen av problemen i den svenska livsmedelshandeln började klarna.

Först rapporterade Aftonbladet att Ica Kvantum i Sjöbo och Tomelilla drabbats av misstänkta cyberangrepp mot sina kyl- och frysanläggningar. Därefter framkom att även Ica Supermarket Baronen i Stockholm hade problem.

Under förmiddagen bekräftade Coop att sex av kedjans butiker i mellersta Sverige drabbats av liknande incidenter.

Coops presschef Carlos Cancino uppgav för Aftonbladet att han fått informationen omkring klockan 09.30. Vid den tidpunkten kunde han inte lämna närmare besked om hur omfattande problemen var eller vilka skador som uppstått.

Även Ica har bekräftat incidenterna centralt.

Icas pressansvarige Gustaf Nilsson uppger att ett begränsat antal butiker påverkats av en incident i kyl- och fryssystemen under natten och att kedjan hjälper de drabbade butikerna.

Sammanlagt handlar det om minst nio butiker som identifierats eller bekräftats genom uppgifter från butikskedjorna och personalen. Hur många som totalt påverkats är ännu inte fastställt.

Det är inte heller bekräftat att samtliga incidenter har samma tekniska ursprung.

Frysarna ställdes på 50 grader – stora mängder mat slängs

Ica Kvantum i Sjöbo är en av de hårdast drabbade butikerna i den hittills kända rapporteringen.

Butiken uppgav på Facebook att kyl- och fryssystemen hade hackats och att temperaturen i frysarna ställts in på 50 grader.

I en intervju med TV4 berättar butikschefen Rickard Nilsson att varm luft blåser inne i frysarna och att personalen inte kan ändra temperaturinställningarna.

Konsekvenserna har blivit omfattande.

Enligt butikschefen handlar det om livsmedel för hundratusentals kronor som måste kasseras. Butiken har också för avsikt att polisanmäla händelsen.

Under måndagsmorgonen höll verksamheten tillfälligt stängt medan personalen arbetade med att hantera situationen. Den ursprungliga planen var att kunna öppna klockan 09.00.

Det finns ännu ingen slutlig skadeberäkning från butiken.

Uppgiften om 50 grader avser den rapporterade temperaturinställningen. Det innebär inte att samtliga frysar eller livsmedel faktiskt har nått den temperaturen.

Hur länge systemen varit manipulerade och hur temperaturerna utvecklats under tiden är inte klarlagt.

Även butiker i Stockholm och mellersta Sverige drabbade

De nya uppgifterna visar att problemen inte är begränsade till Skåne.

Utöver Ica-butikerna i Sjöbo och Tomelilla har även Ica Supermarket Baronen i Stockholm drabbats, enligt uppgifter som butikspersonal bekräftat för Aftonbladet.

Coops sex drabbade butiker finns i mellersta Sverige, men deras namn har ännu inte offentliggjorts i den tillgängliga rapporteringen.

Det saknas också en samlad uppskattning av de ekonomiska förlusterna hos de båda butikskedjorna.

Butik eller kedja	Bekräftade uppgifter
Ica Kvantum Sjöbo	Manipulerade temperaturinställningar och stora livsmedelsförluster
Ica Kvantum Tomelilla	Drabbad av problem med kyl- och fryssystem
Ica Supermarket Baronen	Incident bekräftad av butikspersonal
Coop	Sex butiker i mellersta Sverige drabbade

De olika butikerna kan ha påverkats i olika omfattning. Att flera rapporterat liknande problem innebär inte att skadorna är lika stora överallt.

Oklart vem som ligger bakom attackerna

Varken Ica eller Coop har i den hittills tillgängliga rapporteringen presenterat någon teknisk förklaring till hur incidenterna uppstått.

Det är inte känt vilket fabrikat eller vilken styrplattform de drabbade anläggningarna använder.

Det finns heller inga bekräftade uppgifter om angriparnas identitet, motiv eller om någon gemensam sårbarhet utnyttjats.

En möjlig angreppsväg mot uppkopplad utrustning är att obehöriga lyckas få tillgång till fjärrstyrningsfunktioner. Det kan exempelvis ske genom svaga inloggningsskydd, stulna behörigheter eller säkerhetsbrister i äldre programvara.

Men inget av dessa tillvägagångssätt har fastställts i samband med de aktuella svenska incidenterna.

Den stora geografiska spridningen och likheterna mellan problemen gör det angeläget att undersöka om butikerna delar någon teknisk lösning, leverantör eller fjärranslutning.

Så länge sådana uppgifter saknas går det inte att dra slutsatsen att samtliga drabbats av ett och samma intrång.

Så kan hackare manipulera uppkopplade kylsystem

Moderna kommersiella kyl- och frysanläggningar är ofta betydligt mer avancerade än vanliga hushållsprodukter.

Temperaturreglering, kompressorer, avfrostning, larm och energiövervakning kan hanteras genom digitala styrsystem. I vissa anläggningar kan tekniker övervaka och justera utrustningen på distans.

För butikerna innebär det flera fördelar. Fel kan upptäckas snabbare, energianvändningen kan optimeras och servicepersonal kan göra vissa justeringar utan att behöva besöka anläggningen.

Samtidigt innebär fjärråtkomst att utrustningen har en digital ingång som behöver skyddas.

Om en obehörig person lyckas ta sig förbi säkerhetsskyddet kan det i vissa system vara möjligt att påverka de inställningar som styr den fysiska anläggningen.

Det kan handla om temperaturgränser, avfrostningscykler eller andra funktioner som avgör hur kylningen arbetar.

En angripare behöver alltså inte nödvändigtvis förstöra hela butikens IT-miljö för att orsaka betydande skador.

Det kan i vissa fall räcka att förändra instruktionerna som en enskild maskin följer.

En frys kan vara fullt fungerande rent mekaniskt men ändå bli oanvändbar om någon obehörig får kontroll över dess styrsystem.

Det är just den sortens risk som skiljer angrepp mot operativ teknik från många traditionella dataintrång.

I stället för att enbart komma över information eller låsa datorfiler kan angriparen påverka temperaturer, maskiner och andra fysiska processer.

Liknande cyberattack drabbade hundratals butiker i Frankrike

Händelserna i Sverige kommer bara några veckor efter en omfattande attack mot livsmedelsbutiker i Frankrike.

I oktober rapporterades att flera hundra franska matbutiker drabbats av manipulation av sina kyl- och fryssystem.

Bland de berörda kedjorna fanns Intermarché, Carrefour och Coopérative U.

Även där förekom uppgifter om temperaturinställningar som ändrats till kraftigt förhöjda nivåer. Problemen ledde till störningar i verksamheten och rapporter om förstörda livsmedel.

I rapporteringen om cyberattacken mot franska matbutiker i oktober framkom bland annat misstankar om säkerhetsbrister i äldre styrutrustning.

Tillverkaren Danfoss pekades ut i samband med den franska händelsen. Företaget uppgav att berörda system använde föråldrad programvara.

Det är ett problem som kan uppstå när industriell utrustning används under mycket lång tid.

En kylanläggning kan fortsätta fungera i decennier, samtidigt som mjukvaran som styr den blir föråldrad och inte längre får regelbundna säkerhetsuppdateringar.

Expert ser möjlig koppling till Frankrike

Cybersäkerhetsexperten Nicklas Keijser har i Aftonbladet uppmärksammat likheterna mellan de svenska incidenterna och angreppen mot de franska butikerna.

Han bedömer att det skulle kunna röra sig om samma gruppering som låg bakom händelserna i Frankrike.

Någon sådan koppling har däremot inte bevisats.

Det finns inga offentliggjorda tekniska uppgifter som visar att samma angripare, säkerhetsbrist eller leverantör ligger bakom båda händelserna.

Keijser uppmanar samtidigt svenska livsmedelsbutiker att undersöka hur deras kyl- och frysanläggningar är anslutna till internet och att kontakta sina systemleverantörer.

Hans rekommendation är att berörda internetanslutningar kopplas bort för att minska risken för ytterligare intrång.

För verksamheter med omfattande fjärrövervakning behöver sådana åtgärder genomföras kontrollerat, så att nödvändiga säkerhetsfunktioner och larm fortfarande fungerar.

Tusentals svenska styrsystem har varit exponerade mot internet

Säkerheten i uppkopplade tekniska installationer har redan varit föremål för en omfattande svensk granskning.

I oktober presenterade SVT en kartläggning som identifierat 3 809 publika IP-adresser kopplade till industriella styrsystem och tillhörande tjänster.

För över 2 000 av adresserna kunde vissa ytterligare nätverksskydd inte identifieras.

Bland den kartlagda utrustningen fanns kyl- och frysanläggningar i svenska livsmedelsbutiker, men också ventilationssystem, laboratorieutrustning och installationer inom lantbruket.

SVT redovisade dessutom exempel på styrsystem som enligt granskningen kunde nås utan att användaren behövde ange användarnamn och lösenord.

John Billow, chef för Nationellt cybersäkerhetscenter inom Försvarets radioanstalt, FRA, bekräftade att myndighetens egna undersökningar visade en liknande problembild.

Den tidigare kartläggningen av svenska styrsystem visar hur mycket utrustning som styr verkliga processer som numera har någon form av internetanslutning.

Att en anläggning är nåbar från internet betyder inte automatiskt att den går att hacka. En identifierad IP-adress motsvarar heller inte nödvändigtvis en egen osäker installation.

Men varje anslutning behöver skyddas så att obehöriga inte kan påverka funktioner som är viktiga för verksamheten.

Det gäller särskilt utrustning där felaktiga inställningar kan orsaka ekonomiska skador eller påverka människors säkerhet.

Sårbara produkter kan påverka betydligt mer än matbutiker

System som används för att styra fysiska maskiner och processer brukar kallas operativ teknik, ofta förkortat OT efter engelskans operational technology.

Sådana system finns i allt från industrier och energianläggningar till moderna kontorsfastigheter, sjukhus och jordbruk.

Skillnaden mot traditionella IT-system är att tekniken inte bara hanterar information. Den kan också påverka vad som faktiskt händer i en byggnad eller anläggning.

Uppkopplad utrustning	Möjliga följder vid intrång
Butikskylar och frysar	Förstörda livsmedel och avbruten försäljning
Värme och ventilation	Felaktiga temperaturer och driftstörningar
Laboratorieutrustning	Skador på temperaturkänsliga prover och material
Automatiserade lantbruk	Störningar i utfodring och klimatstyrning
Smarta hemprodukter	Manipulerade funktioner och integritetsrisker

Exemplen beskriver möjliga konsekvenser vid lyckade angrepp, inte att samtliga dessa typer av incidenter har inträffat.

Riskerna varierar kraftigt beroende på hur systemen är konstruerade och skyddade.

En uppkopplad lampa i ett hem har normalt en helt annan betydelse än en styrdator som reglerar temperaturen i en stor livsmedelsanläggning.

Den grundläggande säkerhetsfrågan är ändå densamma.

När en produkt ansluts till internet kan den också bli möjlig att angripa via nätverket om tillräckliga skydd saknas.

Det kan gälla både produkter med avancerade säkerhetsfunktioner och äldre installationer som ursprungligen konstruerades för att användas i avskilda nätverk.

Gamla maskiner med gammal programvara

Många industriella anläggningar är byggda för att användas betydligt längre än vanliga datorer och mobiltelefoner.

En ventilationsanläggning eller kommersiell frys kan ha lång återstående teknisk livslängd även när styrsystemets programvara blivit föråldrad.

Det kan göra säkerhetsarbetet komplicerat.

Att byta en styrdator, uppgradera äldre programvara eller förändra nätverksanslutningen kan kräva tekniska anpassningar och ibland tillfälliga driftstopp.

Därför kan äldre utrustning bli kvar trots att dess digitala skydd inte längre motsvarar dagens hotbild.

Säkerhetsbrister kan också uppstå om leverantörernas fjärranslutningar inte hanteras korrekt eller om standardlösenord aldrig byts.

Samtidigt är det viktigt att skilja mellan att en produkt är uppkopplad och att den faktiskt är sårbar.

Rätt konstruerad och underhållen fjärrövervakning kan förbättra driftsäkerheten. Den kan göra det möjligt att upptäcka avvikelser tidigt och förhindra kostsamma haverier.

Problemen uppstår när anslutningarna saknar tillräckligt skydd eller när systemen inte längre underhålls.

Därför kan en frysattack orsaka stora ekonomiska skador

För en livsmedelsbutik är fungerande kyl- och frysanläggningar avgörande för den dagliga verksamheten.

Livsmedelsverket rekommenderar generellt omkring 4 grader i kylskåp och minus 18 grader i frysar.

Om kylningen slutar fungera börjar temperaturen så småningom stiga. Hur snabbt det sker beror bland annat på anläggningens konstruktion, hur mycket den innehåller och hur länge problemet pågår.

Frysta livsmedel blir inte automatiskt farliga när temperaturen förändras.

Men när produkter tinar kan mikroorganismer börja föröka sig, och både hållbarhet och livsmedelssäkerhet kan påverkas.

Livsmedelsföretag ansvarar för att maten hanteras under säkra förhållanden och att kylkedjan upprätthålls.

Om en butik inte kan säkerställa att livsmedlen förvarats korrekt kan kassering bli nödvändig.

Utöver själva varuförlusten kan ett angrepp också medföra kostnader för personal, teknisk felsökning, återställning och utebliven försäljning.

I vissa fall kan även leveranser påverkas när butiken behöver bygga upp sitt lager igen.

I Sjöbo uppger butikschefen att mat för hundratusentals kronor måste slängas. Någon motsvarande sammanställning för samtliga drabbade Ica- och Coop-butiker finns ännu inte.

Så kan företag skydda sina uppkopplade system

Nationellt cybersäkerhetscenter har under 2026 uppmärksammat de särskilda säkerhetsrisker som finns inom operativ teknik.

En central rekommendation är att kritiska styrsystem inte ska vara mer tillgängliga från internet än vad verksamheten faktiskt kräver.

Fjärråtkomst behöver skyddas med säkra inloggningsmetoder och tydliga behörighetsbegränsningar.

Det är också viktigt att hålla programvaran uppdaterad, kontrollera vilka leverantörer som har tillgång till systemen och upptäcka misstänkt aktivitet.

System som reglerar kritiska funktioner bör dessutom vara avskilda från andra delar av organisationens IT-miljö när det är möjligt och lämpligt.

På så sätt kan konsekvenserna av ett intrång begränsas.

Nationellt cybersäkerhetscenter beskriver riskerna och skyddsåtgärderna närmare i sina rekommendationer om säkerhet i operativ teknik.

Samma grundprinciper gäller även för hushåll med uppkopplade produkter.

Standardlösenord bör bytas, säkerhetsuppdateringar installeras och produkter som inte längre får stöd från tillverkaren bör bedömas utifrån vilka risker de innebär.

För företag är det särskilt viktigt att veta vilka system som faktiskt är anslutna till internet och vem som ansvarar för deras säkerhet.

Flera frågor återstår efter angreppen

De svenska incidenterna visar vilka konsekvenser ett intrång i teknisk utrustning kan få för en verksamhet som är beroende av fungerande maskiner.

För Ica och Coop återstår fortfarande flera centrala frågor.

Det är ännu inte fastställt hur många butiker som totalt drabbats, om incidenterna har en gemensam teknisk orsak eller vem som kan ligga bakom angreppen.

Inte heller finns någon samlad uppskattning av de ekonomiska förlusterna.

Ica har uppgett att kedjan arbetar med att hjälpa de drabbade butikerna, medan Coop hittills bekräftat incidenter i sex butiker i mellersta Sverige.

I Sjöbo planerar butiken att polisanmäla händelsen efter att stora mängder livsmedel behövt kasseras.