Euronews et The Guardian rapportent que des contrôleurs de réfrigération de supermarchés dans neuf pays ont été visés les 2 et 3 novembre après des jours de sondage ; une société de sécurité évoque la Russie, mais personne n'a revendiqué ni confirmé l'attaque.

Les systèmes de réfrigération de supermarchés dans neuf pays européens, ainsi que plusieurs banques de sang en France, ont été attaqués les 2 et 3 novembre, rapporte Euronews. Les pirates ont exploité une sécurité faible et des vulnérabilités du gestionnaire de réfrigération AK-SM de Danfoss pour basculer réfrigérateurs et congélateurs en mode dégivrage, avec des températures montant parfois jusqu'à 50 °C, et de nombreux commerçants ont dû jeter des denrées abîmées. The Guardian décrit un grossiste londonien en fruits et légumes qui a vu les voyants de dégivrage s'allumer et a débranché le câble reliant ses appareils à internet ; des commerçants en Belgique, en Estonie, en Irlande, en Finlande, au Luxembourg, aux Pays-Bas et en Suède ont signalé des pannes similaires.

La question des responsables reste ouverte. La société de sécurité Lupovis affirme que ses honeypots, des leurres imitant de vrais appareils, ont enregistré plus de 276 tentatives de 91 acteurs différents visant des composants de contrôleurs Danfoss entre le 20 et le 30 octobre, avec un pic le 26, et qu'une partie de l'activité remonte à un hébergement dit « bulletproof » déjà utilisé par des groupes russes. Son directeur général, Xavier Bellekens, estime qu'un acteur étatique correspond à une opération coordonnée, mais souligne que l'entreprise n'est pas certaine qu'il s'agisse de la Russie. George Nott, rédacteur technologie de The Grocer, rappelle qu'aucune demande de rançon ni revendication n'est apparue et que l'auteur pourrait aller d'un groupe soutenu par un État à des amateurs ; même les agences nationales divergent sur le terme : la Belgique, le Luxembourg, l'Italie, le Portugal et l'Estonie parlent de cyberattaque, la Suède et l'Irlande d'incident cyber, et l'agence européenne ENISA évite de parler d'attaque.

Les experts s'accordent en revanche sur le caractère élémentaire des failles. Les attaquants auraient trouvé des pages de connexion sur l'internet ouvert et utilisé des vulnérabilités déjà corrigées et des mots de passe faibles, et le Centre national de cybersécurité britannique affirme qu'ils n'avaient pas besoin d'IA, des mots de passe par défaut figurant dans des manuels. Danfoss a déclaré au Guardian que la plupart des équipements touchés étaient anciens et ne recevaient plus de mises à jour de sécurité, et Lupovis estime qu'un VPN plutôt qu'une exposition directe aurait écarté une grande part du risque. Le patron du NCSC, Richard Horne, avertit que nous sommes aux « contreforts » d'une vague d'incidents, tandis que son premier directeur, Ciaran Martin, parle d'une mauvaise série mais pas inédite, en citant NotPetya et WannaCry en 2017.