Ciberataque a supermercados en Francia: qué falló en los controladores de frío Danfoss

Un ciberataque contra los controladores de refrigeración de cientos de supermercados franceses forzó, la noche del 11 al 12 de octubre de 2026, ciclos de desescarche que calentaron cámaras frigoríficas y murales durante unas seis horas, hasta 50 °C. Así lo describió ante Bloomberg Les Mousquetaires, el grupo dueño de Intermarché y Netto, según The Next Web. Carne, congelados y verdura acabaron en el contenedor.

El día 12, el CERT-FR, equipo de respuesta de la agencia francesa de ciberseguridad (ANSSI), publicó la alerta CERTFR-2026-ALE-012 sobre numerosos controladores remotos de instalaciones frigoríficas comprometidos. El 13 amplió la lista, que incluye las series AK-SM y AK-SC de Danfoss y las consolas xweb de Copeland y de Dixell. Nadie ha reivindicado el ataque. Una fuente del gabinete del primer ministro dijo a Reuters que la ANSSI ha identificado una vulnerabilidad en software de Danfoss, sin precisar cuál.

¿Qué pasó en el ciberataque a los supermercados franceses?

El ciberataque del 11 y 12 de octubre de 2026 afectó a 150 tiendas de Intermarché, 30 de Netto y 80 de las 6.000 de Carrefour, según los grupos citados por Infosecurity Magazine. Groupe Casino cifró en cerca del 5 % las tiendas de Monoprix afectadas y aseguró que ninguna otra de sus marcas lo estaba. AFP elevó el recuento de Intermarché y Netto a al menos 300 tiendas. Coopérative U, el grupo de Super U y Hyper U, situó sus tiendas afectadas por debajo del centenar, y su consejero delegado, Dominique Schelcher, calificó el ataque en X de «extremadamente grave y sin precedentes», según Euronews.

Thierry Cotillard, consejero delegado de Intermarché, prevé pérdidas de decenas de millones de euros en toda Francia en un solo día, según Reuters. En Haguenau, en Alsacia, un Intermarché y un Super U perdieron mercancía por valor de 270.000 euros, según BFMTV. Leclerc y Auchan, citadas por algunos medios, no lo han confirmado.

La fiscalía de París abrió una investigación de oficio y la encomendó a la Oficina contra la Ciberdelincuencia (OFAC). Según Euronews, que cita a AFP, la investigación busca identificar a las víctimas y vincular el ataque con la mercancía perdida y con los conatos de incendio que comunicaron algunas tiendas. Intermarché advirtió a AFP de que las pólizas de seguro podrían no cubrir este tipo de incidente.

El primer ministro, Sébastien Lecornu, encargó a la ANSSI investigar el ataque, y Francia se coordina con otros países europeos porque también podrían estar afectados, según Reuters. Félix Aimé, analista de Sekoia, dijo a Reuters que hubo víctimas en España, Portugal, Polonia, Alemania y Bélgica, sin dar nombres. El comisario europeo de Alimentación, Christophe Hansen, condenó el ataque en X.

¿Cómo se accede a un controlador de refrigeración desde internet?

Los gestores centrales de frío, como la familia AK-SM de Danfoss, incluyen una interfaz web y acceso remoto para que el técnico atienda alarmas sin desplazarse. Si esa interfaz se publica en internet, queda al alcance de terceros. Un supermercado mediano tiene decenas de muebles frigoríficos, cámaras y centrales de compresores, cada uno con su regulador. Por encima, el gestor reúne temperaturas, alarmas, consignas y ciclos de desescarche, como describe Claroty.

Con frecuencia, sobre todo en Francia, ese gestor lo supervisa a distancia la empresa que mantiene la instalación. The Hacker News sitúa el ataque en ese controlador, que las empresas de mantenimiento pueden gestionar en remoto.

¿Cuántos controladores Danfoss AK-SM están expuestos en internet?

El 13 de octubre de 2026, SOCRadar encontró en Shodan 4.481 resultados para la interfaz web de Danfoss en todo el mundo, 2.898 de ellos en Francia. Shodan cuenta servicios y un mismo equipo puede aparecer varias veces. En Censys, la cifra francesa baja a 881 equipos únicos.

En agosto de 2026, el equipo Team82 de Claroty había contado 2.765 interfaces del AK-SM 800A alcanzables desde la red pública con una búsqueda en Censys. Para el CERT-FR, exponer una interfaz de gestión en internet va contra las buenas prácticas. La exposición indica riesgo, aunque no prueba que el equipo esté comprometido.

¿Cuáles de los equipos Danfoss afectados están fuera de soporte?

Danfoss sostiene que la mayoría de las unidades afectadas eran modelos antiguos, el AK-SM 800, en fin de vida desde mayo de 2021, y el AK-SC 355, retirado en 2016. También resultaron afectados algunos AK-SM 800A actuales con firmware desfasado. La empresa dijo a Reuters estar al tanto de incidentes en Francia que afectan a «un número limitado» de sistemas. A Cooling Post le explicó que trabaja con sus clientes en actualizaciones de firmware donde las hay, en reforzar la protección de red y en retirar la exposición directa a internet.

Para el AK-SM 800A existían correcciones antes del ataque. Claroty publicó el 9 de agosto de 2026 tres vulnerabilidades. CVE-2025-41450 es una elusión de autenticación basada en un mecanismo oculto de «código del día», que deriva la contraseña de administrador de la fecha. CVE-2025-41451 es una inyección de comandos que permite ejecutar código tras autenticarse, y CVE-2025-41452 facilita una denegación de servicio. Danfoss corrigió la primera en la versión 4.2 del firmware y las otras dos en la 4.3.1.

Futura atribuye la intrusión a esa cuenta de administrador con contraseña derivada de la fecha, y BFMTV informó de que el software atacado era anterior a la versión 4. Ninguna fuente oficial ha confirmado que ese fallo fuera la vía de entrada.

¿Puede una cuenta legítima forzar un desescarche sin explotar fallos?

Una cuenta con permisos puede cambiar una consigna o un ciclo de desescarche sin explotar ningún fallo, porque es una tarea de administración corriente. «El desescarche no es un exploit, es una función», dijo Joshua Steinman, consejero delegado y cofundador de Galvanick, a Industrial Cyber.

¿Cómo accede el mantenedor frigorista a los controladores?

Las empresas frigoristas reciben las alarmas y la telemetría de cada tienda y se conectan en remoto para corregir averías. El CERT-FR pide revisar las condiciones del contrato de seguro antes de cortar ese envío de datos por internet.

Según un empleado citado por Je Bosse en Grande Distribution, todas las tiendas cuyas temperaturas supervisaba la plataforma de Danfoss se vieron afectadas. En España, fuentes del sector consultadas por El Confidencial Digital sostienen que externalizar el control remoto del frío es poco habitual y que separar las redes de servicios externos de las internas es práctica común.

¿Ha habido ataques similares contra la refrigeración de supermercados?

Un boletín de Danfoss de octubre de 2025, citado por The Hacker News, menciona ataques en 2022 contra 16 supermercados rusos y accesos no autorizados a 40 tiendas israelíes. Las 40 tiendas israelíes carecían de cortafuegos o VPN adecuados. El boletín no identificó ninguna vulnerabilidad. Reuters relaciona además el caso con las averías de refrigeración que sufrieron a finales de agosto una docena de economatos militares de Estados Unidos.

La investigación de Claroty también abarcó a Copeland. Según Refindustry, Team82 halló 23 vulnerabilidades en la plataforma XWEB Pro, 21 de gravedad alta, entre ellas una credencial de administrador derivada de la fecha, la dirección MAC y claves fijas. En una prueba de laboratorio, los investigadores falsearon la temperatura mostrada. En otra apagaron los ventiladores de un controlador mientras la pantalla seguía mostrando la temperatura legítima. Copeland corrigió los fallos en el firmware 1.13, y la familia xweb es la que el CERT-FR añadió a su alerta el 13 de octubre.

El caso francés afectó a cientos de tiendas en una sola noche. Según Futura, no consta robo de datos ni petición de rescate.

¿Por qué el EDR y el SIEM no detectan un ataque a la refrigeración?

El gestor de frío suele quedar fuera del inventario de TI. Lo compra mantenimiento u obras, lo instala y lo mantiene un tercero y su acceso remoto se pacta en el contrato de servicio. No admite agente de EDR, pocas veces envía registros al SIEM y sus alarmas suenan en el teléfono del técnico de guardia, lejos del centro de operaciones de seguridad. Le ocurre lo mismo que a los equipos de red que analizamos en el artículo sobre los puntos ciegos del EDR.

La orden del atacante coincide con una operación diaria, y un control que busque malware o firmas conocidas no detectará anomalías en un cambio de consigna. Las pruebas de Claroty con Copeland muestran además que el gestor puede llegar a mostrar lecturas falsas.

¿Cómo se detecta la manipulación de un controlador de frío?

Detectar la manipulación de un controlador de frío exige pruebas de quién accedió, qué cambió y si ese cambio correspondía, según Joshua Steinman, de Galvanick. Para reunirlas sirven estas comprobaciones:

• Un escaneo externo de las IP de cada tienda y almacén localiza las interfaces de frío, climatización y gestión de edificios que responden desde internet. La gestión continua de la superficie de ataque lo repite cada semana.
• Unas sondas de temperatura de un sistema distinto del gestor avisan a la plantilla de la empresa si el gestor falla o está comprometido, como recomienda SOCRadar.
• El registro de cambios de consignas, desescarches y usuarios se revisa con atención a los hechos de madrugada o fuera de las ventanas del mantenedor.
• Cada inicio de sesión en la consola se cruza con las direcciones y franjas pactadas, y un acceso desde otro origen obliga a llamar de inmediato al mantenedor.
• El gestor solo debería comunicarse con el concentrador VPN del mantenedor y con los reguladores locales, por lo que una conexión entrante directa desde internet constituye una alerta.

¿Qué recomienda el CERT-FR en la alerta CERTFR-2026-ALE-012?

La alerta CERTFR-2026-ALE-012 pide desconectar de internet los gestores de frío no comprometidos y las demás unidades con IP pública. También pide revisar toda la configuración, con atención a los desescarches, y dar acceso solo por VPN segura o red protegida. Remite después a las buenas prácticas del fabricante, que en Danfoss incluyen firmware al día, nivel de seguridad «Strict» y contraseñas por defecto cambiadas. Filtrar en el cortafuegos las IP del mantenedor se admite solo como medida de urgencia.

Si el equipo está comprometido, se añaden un restablecimiento de fábrica y una reconfiguración completa antes de volver a ponerlo en marcha. El CERT-FR advierte de que el restablecimiento elimina la persistencia, pero deja intacta la vulnerabilidad. Un equipo sin soporte que siga expuesto tiene una probabilidad muy alta de volver a caer, y según el CERT-FR las campañas probablemente siguen en curso.

En el AK-SM 800A, según The Hacker News, la actualización debe pasar de la rama 3.x a la 4.x antes de llegar a la 5.3.x, y una vez en esta no admite volver atrás. Desde la versión 4.0, el control estricto de sesión, que obliga a usar HTTPS, viene activado de serie.

¿Qué deben exigir los contratos con el mantenedor frigorista?

El contrato con el mantenedor debería fijar cómo entra en los equipos, con VPN y autenticación multifactor, cuentas nominales, registro de sesiones y aviso previo de las intervenciones fuera de horario. Es gestión de riesgo de terceros aplicada a un proveedor que, según nuestra experiencia, no suele pasar por el comité de seguridad. La red de la tienda debe aislar el frío del resto de sistemas, con los criterios que describimos en la guía sobre segmentación de la red interna.

Los AK-SM 800 y AK-SC 355 no recibirán más correcciones, así que sustituirlos es una partida de inversión que necesita fecha en el plan de renovación. La póliza de ciberseguro debe aclarar si cubre la destrucción de producto causada por un ataque a sistemas que gestiona un tercero. El plan de respuesta a incidentes debe fijar quién decide de noche si se desecha o se traslada la mercancía, con el responsable de calidad alimentaria en la cadena de avisos.

¿Afecta NIS2 a los supermercados?

NIS2 incluye en su anexo II la distribución mayorista de alimentos y su producción y transformación industrial, y deja fuera el comercio minorista, como detalla la autoridad alimentaria finlandesa. Los criterios se aplican al conjunto de la actividad de la empresa, de modo que una entidad con actividad mayorista puede quedar dentro aunque también tenga tiendas. El responsable de cumplimiento de NIS2 debe confirmarlo en cada caso.

¿Está expuesta la distribución española a un ataque similar?

Ningún distribuidor español había comunicado un incidente a 14 de octubre de 2026, aunque Sekoia sitúa víctimas en España. Claroty había publicado en agosto los fallos del AK-SM 800A, Danfoss había retirado los modelos antiguos años atrás y los buscadores de dispositivos conectados los listaban a la vista. Mantenimiento compra el equipo, el frigorista gestiona el acceso remoto y TI no lo tiene inventariado, de modo que miles de interfaces quedaron publicadas sin un responsable de su seguridad.

Las empresas con instalaciones físicas tienen equipos parecidos, como climatización, control de accesos, grupos electrógenos o cámaras de almacén, y en la distribución pueden ser decenas por tienda. La primera tarea es averiguar qué equipos de este tipo responden hoy desde internet en las IP de la empresa. Con esa lista se ordenan los contratos, las sustituciones y el plan de ciberseguridad industrial.

Fuentes y atribución: este análisis se basa en la alerta CERTFR-2026-ALE-012, en la investigación de Claroty Team82 y en la cobertura de Reuters, AFP, The Hacker News, Infosecurity Magazine, Euronews, Industrial Cyber, SOCRadar, Futura y otros medios citados en el texto. La información está actualizada a 14 de octubre de 2026.

Las cifras de tiendas y pérdidas proceden de los distribuidores o de la prensa y pueden variar. La vía de entrada no se ha establecido oficialmente, y citar un producto o una vulnerabilidad no implica que se usara en este ataque. Ninguna mención implica un fallo de seguridad en los productos citados si el vector resulta ser el abuso de accesos o una mala configuración.

Aviso técnico: las medidas descritas son orientativas y dependen del modelo, la versión de firmware y el contrato de mantenimiento de cada instalación. Los cambios en el acceso remoto, el firmware o la configuración de un controlador de frío deben coordinarse con el mantenedor y planificarse para no poner en riesgo la cadena de frío.