En cyberattack mot kylsystem slog under natten mot måndagen den 2 november ut kylar och frysar i ett antal ICA- och Coop-butiker runt om i Sverige. I flera butiker ställdes systemen om till avfrostningsläge och temperaturen steg till runt 50 grader, och stora mängder mat fick kastas. Coop bekräftar att det rör sig om en cyberincident med obehörig manipulering i sju av kedjans cirka 800 butiker. ICA säger att ett begränsat antal butiker drabbats. Sverige var ett av minst sex europeiska länder där livsmedelsbutiker drabbades samma natt.
Publicerad 2 november 2026. Uppgifterna bygger på uttalanden från ICA, Coop, Danfoss och Nationellt cybersäkerhetscenter till SVT, Reuters, AFP och Ny Teknik. Artikeln uppdateras när mer blir känt.
Det här vet vi om cyberattacken
- När: natten mot måndag 2 november. Enligt Reuters började attacken omkring klockan 02 svensk tid men upptäcktes först flera timmar senare.
- Vad: styrningen av kyl- och frysdiskar manipulerades på distans. Temperaturen steg till 50 grader eller mer.
- Vilka: ICA-butiker i bland annat Skåne, på Öland, i Värmland och i Stockholm, sju Coop-butiker i Gävleborg och Sundsvall samt Axfoods hemleveranser i Göteborg.
- Varför: okänt. Ingen har tagit på sig attacken.
- Utredning: Nationellt cybersäkerhetscenter, som är en del av FRA, arbetar med händelsen.
Butikerna som drabbades
De drabbade ICA-butikerna finns enligt SVT i stora delar av landet, med flera i Skåne, bland annat i Sjöbo, Hammenhög och Sankt Olof, och på Öland. I Böda på norra Öland var en frys uppe i 55 grader när personalen kom till jobbet. ICA-butiken i Sjöbo skrev på Facebook att kylar och frysar hade hackats och att någon ställt in temperaturen på 50 grader. Fackpressen Dagligvarunytt räknade under måndagen till minst åtta drabbade ICA-butiker, men ICA har inte lämnat någon exakt siffra.
Hos Coop drabbades sju butiker: sex i Gävleborg, bland dem Coop Tullhuset i Gävle och en butik i Enånger, och en i Sundsvall. Butikerna hölls öppna. Även Axfood påverkades. Hemleveranser i Göteborg av varor beställda hos Willys och Hemköp drabbades enligt SVT.
| Kedja | Drabbade | Bekräftat |
|---|---|---|
| ICA | ”Ett begränsat antal butiker”, bland annat Sjöbo, Hammenhög, Sankt Olof och Böda | Incident bekräftad, orsak utreds |
| Coop | 7 av cirka 800 butiker, i Gävleborg och Sundsvall | Cyberincident med obehörig manipulering |
| Axfood (Willys, Hemköp) | Hemleveranser i Göteborg | Påverkade enligt SVT |
Upp mot en miljon kronor i kasserade varor
Det direkta resultatet av cyberattacken är mat som inte går att sälja. Rickard Nilsson, butikschef för ICA i Sjöbo, säger till SVT att kasseringen kan kosta butiken upp emot en miljon kronor och kallar attacken ”en form av terrorism”. Coop uppger att kylar och frysar antingen slutade fungera helt eller delvis, och att butikerna fått kasta varor som blivit förstörda eller riskerade att bli det.
Varken ICA eller Coop har sagt att kassasystem, betalningar eller kunddata påverkats. Attacken riktade sig mot den tekniska styrningen av kylanläggningarna, inte mot butikernas IT för försäljning.
Så gick cyberattacken till
Moderna kylanläggningar i butiker styrs av regulatorer som ofta är uppkopplade så att leverantören eller butiken kan övervaka och ändra temperaturer på distans. I de drabbade butikerna ställdes systemen om till avfrostningsläge, så att diskarna i stället för att kyla värmde upp.
Spåren pekar mot den danska tillverkaren Danfoss. ICA:s presstalesperson Helena Johansson säger till Ny Teknik att det ser ut som att de drabbade butikerna är de som är uppkopplade mot Danfoss. ICA:s presschef Gustaf Nilsson säger till SVT att de drabbade butikerna har sin uppkoppling utanför ICA:s centrala nätverk. Coop har bekräftat för Reuters att Danfoss finns bland kedjans leverantörer.
Danfoss säger till CNBC att bolagets övervakning upptäckte problemet, att man agerade direkt och att man arbetar med kunderna för att införa åtgärder. Till AFP säger företaget att den drabbade utrustningen till största delen är äldre produkter som inte längre får mjukvaru- eller säkerhetsuppdateringar.
En våg av attacker i Europa
Sverige var inte ensamt. Samma natt drabbades livsmedelsbutiker i Belgien, Luxemburg och Irland, och enligt SVT även i Estland och Nederländerna.
| Land | Drabbade enligt Reuters och SVT |
|---|---|
| Sverige | ICA, Coop och Axfoods hemleveranser |
| Belgien | Carrefour (15 av 700 butiker), Ahold Delhaize, Colruyt (fem Spar-butiker), ett IKEA-varuhus |
| Luxemburg | Ahold Delhaize-butiker |
| Irland | 13 SuperValu-butiker (Musgrave) |
| Estland och Nederländerna | Butiker med kylproblem enligt SVT |
Måndagens attacker liknar den som drabbade hundratals franska livsmedelsbutiker den 12 oktober. Då tog angripare över styrningen av kylsystem från Danfoss, och enligt fransk polis ledde det till bränder och stora matförluster. EU:s jordbrukskommissionär Christophe Hansen kallar attackerna ”ett medvetet försök att störa vår livsmedelsförsörjning” (vår översättning).
Vem ligger bakom?
Ingen har tagit på sig cyberattacken, och varken ICA, Coop eller Danfoss har pekat ut någon. Reuters har inte kunnat fastställa vem som ligger bakom eller om attackerna i olika länder hänger ihop. Katrien Eggers vid Belgiens centrum för cybersäkerhet säger att det inte är känt vem som ligger bakom ”och det kanske aldrig går att fastställa” (vår översättning).
Experterna är inte överens om hur avancerad attacken var. Emil Olofsson, cybersäkerhetsexpert på Integrity360, säger till Ny Teknik att hackningen ”inte är jättekomplicerad” och att det kan röra sig om amatörer. Fredrik Blix, doktor i cybersäkerhet vid Stockholms universitet, säger till SVT att det är ”lite av ett misslyckande för kyl-leverantörerna” och att lärdomar borde ha dragits efter attacken i Frankrike.
Myndigheterna
Nationellt cybersäkerhetscenter, som drivs under FRA, arbetar med händelsen. Centrets chef John Billow säger till SVT att man har löpande kontakt med de drabbade, erbjuder stöd och försöker skapa sig en samlad bild. Företag som drabbas av en it-incident kan rapportera den till centret via ncsc.se.
Vad betyder det för dig som kund?
- Varorna i hyllan: butikerna har kasserat det som blivit varmt. Har du handlat kyl- eller frysvaror i en drabbad butik under måndagen och är osäker på hur de förvarats, kontakta butiken.
- Kortbetalningar och kunddata: inget som kedjorna sagt tyder på att betalningar eller kunduppgifter berörts.
- Utbudet: enskilda butiker kan ha tunnare kyl- och frysdiskar tills varorna ersatts.
Det här är andra gången på kort tid som en svensk konsumentverksamhet drabbas av en it-incident. Läs också om dataläckan som drabbade Liseberg i oktober.
Varför cyberattacken spelar roll
De flesta förknippar en cyberattack med stulna lösenord, låsta datorer eller läckta kunduppgifter. Den här gången var målet styrsystem för fysisk utrustning, så kallad operativ teknik. Det gör skadan direkt och synlig: varm frys, förstörd mat, ekonomiska förluster och i värsta fall risk för livsmedelssäkerheten.
Händelsen visar också risken med äldre uppkopplad utrustning som sitter utanför företagets egen it-miljö och som inte längre får säkerhetsuppdateringar. För handlare och andra med uppkopplade kylsystem är lärdomarna tydliga:
| Risk | Åtgärd |
|---|---|
| Fjärråtkomst till kylstyrningen | Kräv VPN och tvåfaktorsinloggning, begränsa vilka adresser som får ansluta |
| Utrustning direkt mot internet | Separera styrsystemen från övriga nätverk och från internet |
| Standardlösenord | Unika lösenord per anläggning, byt dem regelbundet |
| Ingen insyn | Larm på temperaturavvikelser, inloggningar och ovanliga kommandon |
| Äldre utrustning | Inventera regulatorer som inte längre får uppdateringar och planera utbyte |
| Ingen beredskap | Rutin för att koppla bort utrustning, återställa kylningen och bedöma varorna |
Sammanfattning
Cyberattacken natten mot den 2 november manipulerade kylsystem i ICA- och Coop-butiker och slog ut Axfoods hemleveranser i Göteborg. Coop har bekräftat en cyberincident i sju butiker, ICA ett begränsat antal drabbade butiker, och spåren pekar mot äldre styrsystem från Danfoss. Samma typ av attack drabbade samtidigt butiker i minst fem andra europeiska länder. Vem som ligger bakom är okänt. Vi uppdaterar artikeln när ICA, Coop eller myndigheterna lämnar nya uppgifter. Fler nyheter finns under Nyheter.
Vanliga frågor
Vilka butiker drabbades av cyberattacken?
ICA-butiker i bland annat Sjöbo, Hammenhög, Sankt Olof och Böda samt i Värmland och Stockholm, sju Coop-butiker i Gävleborg och Sundsvall och Axfoods hemleveranser i Göteborg.
Är det bekräftat att det var en cyberattack?
Coop har bekräftat en cyberincident med obehörig manipulering av kylsystemen. ICA bekräftar att ett begränsat antal butiker drabbats men har inte slagit fast orsaken.
Påverkades kortbetalningar eller kunddata?
Inget som ICA eller Coop sagt tyder på det. Attacken riktade sig mot styrningen av kylar och frysar, inte mot kassasystemen.
Vem ligger bakom attacken?
Det är okänt. Ingen har tagit på sig attacken, och varken företagen eller myndigheterna har pekat ut någon.
Vad har Danfoss med attacken att göra?
Danfoss tillverkar styrsystem för kylanläggningar. Enligt ICA verkar de drabbade butikerna vara de som är uppkopplade mot Danfoss, och Coop har Danfoss bland sina leverantörer. Danfoss säger att det mest gäller äldre produkter som inte längre får säkerhetsuppdateringar.
