To prorussiske hackergrupper har taget ansvaret for angreb på køle- og fryseanlæg i Europa. Men det materiale, grupperne selv har lagt frem som bevis, overbeviser ikke de sikkerhedseksperter, som SVT har talt med.
Dagen efter angrebene, 3. november, offentliggjorde hackergruppen NoName057(16) to filer på darkweb med mailadresser og adgangskoder. Filerne blev præsenteret som dokumentation for, at gruppen sammen med Z-Pentest Alliance stod bag angrebet.
SVT’s gennemgang viser dog, at mailadresserne også optræder i tidligere datalæk. Ifølge fire sikkerhedsanalytikere, som mediet har kontaktet, kan listerne derfor ikke bruges som bevis for et nyt indbrud.
Eksperter ser ikke noget afgørende bevis
Sai Molige, der er hotanalyschef hos it-sikkerhedsfirmaet Forescout, siger til SVT: “Materialet i sig bevisar inte att de faktiskt har ändrat några inställningar i kylanläggningarna”.
SVT beskriver også, at den ene fil angiveligt indeholder oplysninger om Danfoss-ansatte. Her fandt mediet 171 unikke mailadresser med tilhørende adgangskoder, som blev koblet til Danfoss’ webdomæne.
Ved søgninger i databaser med kendte datalæk fandt SVT, at 168 af de 171 adresser allerede optrådte i ældre læk. Mange af dem fandtes i såkaldte “stealer logs” fra februar 2025 – altså samlinger af stjålne loginoplysninger hentet fra inficerede enheder med skadeprogrammer.
Adgangskoder var måske slet ikke nødvendige
Den anden fil rummede ifølge SVT 1.161 unikke mailadresser med adgangskoder fra påståede Danfoss-kunder. Ni af adresserne var knyttet til svenske .se-domæner, og også de fandtes i ældre læk. Stikprøver blandt de øvrige adresser pegede i samme retning.
Det svækker ifølge SVT påstanden om, at filerne dokumenterer et nyt hackerindbrud. Samtidig peger mediet på, at adgangskoder ikke nødvendigvis behøves for at udføre denne type angreb.
Butikkernes køleanlæg styres af software fra danske Danfoss, som ifølge SVT har haft kendte sikkerhedsbrister. De har gjort det muligt for hackere at omgå login. En talsperson for Danfoss sagde desuden til NOS, at de angrebne kølesystemer ikke lå på et sikkert netværk og brugte standardadgangskoder.
Danfoss vil ikke pege på en ansvarlig
NoName057(16) har selv beskrevet metoden i et opslag på Telegram med ordene “Metoden är enkel och elegant”. Gruppen har også skrevet, at der ikke var tale om ransomware, altså løsepengeangreb, men om brug af funktioner, som allerede fandtes i udstyret.
Danfoss vil ikke bekræfte hackergruppernes oplysninger. I en udtalelse til DR, gengivet af SVT, skriver virksomheden, at der ikke er tegn på et vellykket angreb mod Danfoss’ interne it-infrastruktur eller på et brud på datasikkerheden.
SVT beskriver NoName057(16) som en prorussisk cyberkriminel gruppe, der er kendt for DDoS-angreb – overbelastningsangreb, hvor et system bombardereres med trafik for at slå det ud. Z-Pentest Alliance beskrives som en gruppe, der retter sig mod industrielle styresystemer og kritisk infrastruktur.