Kenapa freezer punya pemanas, dan kenapa peretas terus menyalakannya

Pada malam 2 November 2026, freezer di supermarket ICA Kvantum di kota kecil Sjöbo, Swedia, mulai memanas. Pagi harinya toko itu mengabarkan kepada pelanggan lewat Facebook bahwa lemari pendingin dan freezer mereka diretas dan disetel ke 50°C (122°F), dan karyawan sedang membuang produk yang terdampak. Pada malam yang sama, gangguan serupa melanda puluhan toko di empat negara lain, lapor Associated Press.

Ini gelombang ketiga. Pada Agustus, lemari pendingin mengalami gangguan yang sama di toko-toko pangkalan militer AS, dan Pentagon kini menganggapnya sebagai dugaan serangan siber. Pada Oktober, sekitar 700 supermarket di Prancis terkena. Yang paling aneh: tidak ada yang merusak sistem pendinginnya. Para penyerang justru menyalakan sesuatu yang memang dimiliki setiap freezer etalase, yaitu pemanas bawaan. Dan di sebagian besar panel kendali pendingin di Prancis yang bisa dijangkau dari internet sebulan sebelumnya, siapa pun yang punya kalender bisa menghitung sendiri kata sandi administratornya.

Kenapa freezer punya pemanas

Udara di dalam toko itu lembap. Saat menyentuh pipa evaporator yang dingin di dalam etalase, uap airnya menempel sebagai bunga es. Bunga es ini bekerja seperti mantel musim dingin: makin tebal, makin buruk pipa melepas dingin. Karena itu freezer komersial mencairkan esnya sendiri sesuai jadwal. Pemanas menyala, bunga es meleleh, airnya dialirkan keluar, lalu etalase kembali membeku. Biasanya proses ini memakan sekitar dua jam sehari, menurut situs bisnis Swedia Dagens PS.

Para penyerang menyuruh pengendali melakukan defrost tanpa henti dan menaikkan suhu target pemanas ke 50°C. Di sejumlah toko Prancis, menurut Le Monde, mereka juga memperpanjang setiap siklus defrost dari satu jam menjadi delapan jam. Dengan begitu alarm tertunda, dan kerusakan sempat meluas.

Kalau ada yang berjaga, serangan cepat ketahuan. Di Estonia, lapor AP, perusahaan servis Kitman Coldtech memergoki penyerang di dalam komputer yang mengendalikan sistem pendingin milik seorang klien. Mereka sudah sempat menaikkan suhu ke angka yang sama, 50°C. CEO Jann Mutso mengatakan semuanya selesai dalam hitungan menit tanpa kerugian berarti.

Angka 50°C menghiasi semua judul berita, tetapi itu adalah setelan pemanas, bukan suhu di rak. Layar salah satu freezer es krim di Prancis menunjukkan 26°C (79°F), lapor Dagens PS. Bagi es krimnya, selisih itu nyaris tak berarti. Makanan beku seharusnya disimpan pada −18°C (0°F) atau lebih dingin; kenaikan singkat sampai −15°C masih ditoleransi, dan yang lebih hangat dari itu tak boleh dijual. Jadi toko membuang semuanya. “Kami harus membuang seluruh produk segar kami (termasuk konter daging),” tulis sebuah toko Intermarché di Mûr-de-Bretagne, Bretagne.

Tiga gelombang sejak Agustus

Kasus serupa pertama justru muncul di luar Eropa. Pada akhir Agustus 2026, sistem pendingin mati di setidaknya enam toko di pangkalan militer AS, menurut temuan Reuters. Pada 26 Agustus, Fort Huachuca di Arizona mengumumkan bahwa sebuah lemari pendingin beralih sendiri ke mode defrost dan menghangatkan makanan sampai basi. Reuters tidak bisa memastikan peralatan siapa yang dipakai pangkalan-pangkalan itu.

Pada malam 11 menuju 12 Oktober, hal yang sama terjadi di Prancis, di ratusan toko sekaligus. Menteri Keuangan Roland Lescure mengatakan di parlemen bahwa sekitar 700 dari 10.000 supermarket di negara itu terdampak. “Ini tidak bisa diterima,” tulis CEO Coopérative U, Dominique Schelcher. Dua supermarket di Haguenau, Alsace, kehilangan makanan senilai total €270.000 (sekitar $300.000), menurut hitungan Dagens PS. Intermarché memperingatkan bahwa asuransi tidak menanggung insiden semacam ini di toko-tokonya. Kejaksaan Paris sedang menyelidiki serangan itu, termasuk kerugiannya dan laporan kebakaran di beberapa toko.

Dalam peringatan darurat, badan keamanan siber Prancis menyebut perusahaan Denmark Danfoss sebagai pembuat perangkatnya. Sehari kemudian badan itu menambahkan dua produsen lain dan memperingatkan bahwa serangan kemungkinan masih berlangsung. Tiga minggu kemudian dugaan itu terbukti: pada 2 November, beberapa lusin toko Delhaize, Carrefour, dan SuperValu di Belgia, Luksemburg, dan Irlandia terkena. Toko-toko di Irlandia sudah mengisi ulang lemari pendinginnya menjelang malam.

Kata sandi dari kalender

Danfoss AK-SM 800A pada dasarnya adalah panel induk sistem pendingin sebuah toko. Lewat halaman web, staf memantau setiap sirkuit, menetapkan batas suhu, mengubah jadwal defrost, dan membetulkan setelan dari jarak jauh. Dulu unit pendingin terputus dari internet; kini unit-unit itu tersambung demi sensor dan pemantauan jarak jauh, kata konsultan keamanan siber Antoine Hautin kepada AFP. Perusahaan servis bisa mengawasi etalase semua kliennya dari kantornya sendiri.

Peneliti di Claroty, perusahaan keamanan siber industri, menemukan “kode harian” tersembunyi di panel ini: kata sandi servis yang dihitung perangkat setiap hari hanya dari tanggal saat itu. Tiru rumusnya, dan Anda bisa masuk sebagai administrator tanpa tahu kata sandi yang sebenarnya. Para peneliti melaporkan celah itu, dan pada Maret 2025 Danfoss menambalnya lewat firmware 4.2. Amir Zaltzman dari Claroty menerbitkan uraian rinci pada 9 Agustus 2026.

Pemilik punya waktu satu setengah tahun untuk memperbarui. Hanya sedikit yang melakukannya. Pada 11 Oktober, sehari sebelum serangan, mesin pencari perangkat Censys menghitung 1.825 panel semacam ini di Prancis yang bisa diakses langsung dari internet. Dari jumlah itu, 1.158 masih memakai firmware versi di bawah 4.2, artinya kata sandi kalender masih berlaku. Tidak ada yang tahu apakah penyerang memakai celah yang satu ini: baik Danfoss maupun otoritas Prancis belum menyebut pintu masuknya.

Nasib model lama lebih buruk lagi. Sebagian besar unit yang terdampak, kata Danfoss, adalah sistem AK-SM 800 dan AK-SC 355. Dukungan untuk yang pertama dihentikan pada Mei 2021, dan yang kedua sudah tidak diproduksi sejak 2016. Keduanya sama sekali tidak mendapat pembaruan, dan toko lambat menggantinya: sistem ini awet bertahun-tahun dan harganya mahal.

Tak ada yang minta tebusan

Peretasan biasanya soal uang: penyerang mencuri data atau mengenkripsinya lalu meminta bayaran. Di sini tidak ada yang dicuri, tidak ada tebusan yang diminta, dan tidak ada yang mengaku bertanggung jawab. Untuk serangan sebesar ini, hal itu tidak lazim, kata Christopher Whyte dari Virginia Commonwealth University. Menurut dia, melancarkannya “tidak terlalu sulit”. Untuk apa semua ini dilakukan, belum ada yang tahu.

Triknya tidak sepenuhnya baru. Danfoss mengatakan kepada Reuters bahwa pada 2022 penyerang memanfaatkan pengendali lawas buatannya untuk menyerang supermarket di Rusia dan Israel. Yang baru adalah skalanya: ratusan toko dalam satu malam, dan kini di beberapa negara. John Hultquist, kepala analis Google Threat Intelligence Group, merangkumnya begini: “Sistem rumit yang mengantarkan makanan kita itu rapuh, tetapi sering tidak mendapat perhatian yang layak.”

Dicabut, bukan ditambal

Setelah serangan Oktober, para pemilik kalang kabut. Dalam tiga hari, jumlah pengendali di Prancis yang terlihat dari internet turun dari 1.825 menjadi 537, anjlok 71%. Namun perangkat yang sudah ditambal dan yang belum menyusut dengan laju yang sama. Artinya, sebagian besar panel sekadar diputus dari internet tanpa menyentuh firmware-nya. Menurut Censys, itu mungkin pilihan terbaik: tidak ada alasan perangkat ini terpapar langsung ke internet. Badan siber Prancis sepakat dan menyarankan akses jarak jauh hanya dipulihkan lewat VPN yang aman.

Satu angka menunjukkan betapa jarangnya panel ini diperbarui. Pada 11 Oktober, Censys menemukan firmware terbaru Danfoss, versi 5.3.2, di 27 dari hampir 3.000 panel yang terlihat dari internet di seluruh dunia, kurang dari satu persen. Tak ada yang menyebut pintu masuknya, tak ada yang tahu motifnya, dan November membuktikan serangan belum berhenti. Seberapa besar gelombang berikutnya bergantung pada berapa banyak panel ini yang masih terpapar ke internet.