Ciberataque a frigoríficos en Francia deja millones en pérdidas por fallos básicos

Un ciberataque coordinado contra los sistemas de refrigeración de centenares de supermercados europeos, en su mayoría franceses, ha dejado pérdidas millonarias, toneladas de alimentos desechados y varios conatos de incendio. Los atacantes no necesitaron herramientas especialmente sofisticadas: les bastó con explotar interfaces de administración expuestas directamente a internet y credenciales que se generan a partir de la fecha del día.

• Alcance: en torno a 700 supermercados europeos resultaron afectados, con cadenas como Intermarché, Netto, Carrefour, Coopérative U, Monoprix y Leclerc entre las damnificadas.
• Modus operandi: los intrusos forzaron los ciclos de desescarche y elevaron la temperatura hasta 50 °C (122 °F) durante unas seis horas, en la madrugada del 11 al 12 de octubre.
• Causa raíz: controladores de Danfoss, Dixell y Copeland con firmware obsoleto y vulnerabilidades divulgadas desde agosto de 2026.

Del desescarche al incendio: así se ejecutó el sabotaje

Los equipos comprometidos no fueron los frigoríficos en sí, sino los controladores que gestionan flotas enteras de vitrinas y cámaras frigoríficas en cada tienda. Estos dispositivos incluyen una interfaz web que permite a los técnicos de mantenimiento resolver alarmas y ajustar temperaturas en remoto, sin desplazarse. Cuando esa interfaz queda publicada en internet, cualquiera puede alcanzarla.

Según el testimonio de un técnico recogido por la prensa gala, en un supermercado cercano a Burdeos los ajustes pasaron de −22 °C a 150 °C, con varios parámetros modificados por segundo, lo que apunta a un proceso automatizado. El resultado fue siempre el mismo: escaparates a temperaturas de hasta 50 °C, charcos de agua en los pasillos, comida descongelada y, en algunos casos, pequeños fuegos en los sistemas eléctricos.

El organismo francés de respuesta a incidentes, CERT-FR, emitió una alerta el 12 de octubre y al día siguiente amplió la lista de sistemas afectados: las series AK-SM y AK-SC de Danfoss y las consolas xweb de Dixell y Copeland. La firma danesa reconoció que la mayoría de las unidades golpeadas eran modelos antiguos —el AK-SM 800, con fin de soporte en mayo de 2021, y el AK-SC 355, retirado en 2016—, aunque también se vieron afectados equipos actuales con firmware desactualizado. Copeland, propietaria de Dixell, habló de una «vulnerabilidad» en una generación de controladores descatalogada.

El detalle técnico es revelador. La firma de seguridad Claroty divulgó el 9 de agosto de 2026 tres fallos en el controlador Danfoss AK-SM 800A: CVE-2025-41450, un bypass de autenticación basado en un «código del día» que deriva la contraseña de administrador a partir de la fecha; CVE-2025-41451, una inyección de comandos que permite ejecutar código; y CVE-2025-41452, que habilita ataques de denegación de servicio. Danfoss corrigió el primero en el firmware 4.2 y los otros dos en el 4.3.1. Quien no actualizó, quedó expuesto.

Miles de controladores a la vista de cualquiera

La superficie de ataque es enorme. El 13 de octubre, la firma SOCRadar localizó 4.481 resultados de la interfaz web de Danfoss en todo el mundo, 2.898 de ellos en Francia; en Censys la cifra francesa baja a 881 dispositivos únicos. Ya en agosto, el equipo Team82 de Claroty había contado 2.765 interfaces AK-SM 800A alcanzables desde internet.

El impacto comercial fue inmediato. Thierry Cotillard, consejero delegado de Intermarché, calculó pérdidas de decenas de millones de euros en un solo día en toda Francia; en Haguenau, un Intermarché y un Super U perdieron 270.000 euros en existencias. Intermarché advirtió además de que las pólizas de seguro podrían no cubrir un incidente de este tipo. La investigación, asumida por la Fiscalía de París y su oficina nacional contra la ciberdelincuencia, busca ahora identificar a las víctimas y vincular los ataques con los daños reportados.

Sin rescate, sin reivindicación y con dudas sobre el móvil

«No fue difícil averiguar cómo tomar el control de los frigoríficos». Se trata de «higiene cibernética básica. Si se hace mal, acabas con un apestoso desastre de comida descongelada».

Así lo resume Ken Munro, socio de la firma británica Pen Test Partners, quien apunta que la gestión de estos equipos suele estar externalizada en terceros «que prestaron poca o ninguna atención a mantener la seguridad». Nadie ha reclamado la autoría ni ha exigido un rescate, algo que desconcierta a los investigadores. Félix Aimé, investigador de la firma francesa Sekoia, confirma que no hay reivindicación pública y no descarta a un atacante solitario, a un grupo hacktivista o una operación destinada a desestabilizar la actividad económica.

Amir Preminger, director de tecnología de Claroty, sostiene que el ataque no fue sofisticado, pero sí deliberado: «No puedes provocar un desescarche por error escribiendo mal un parámetro». Su recomendación pasa por sacar los dispositivos críticos de internet, segmentar las redes, inventariar el equipamiento y controlar quién accede a cada equipo.

Las autoridades francesas han abierto una investigación con la Agencia Nacional de Ciberseguridad (ANSSI) como eje, después de que el primer ministro Sébastien Lecornu se lo ordenara. El ministro de Economía, Roland Lescure, lo describió ante los legisladores como «un toque de atención para todos», y el comisario europeo de Alimentación, Christophe Hansen, condenó los hechos. El consejero delegado de Coopérative U, Dominique Schelcher, lo calificó de «extremadamente grave y sin precedentes». Sekoia señala además que España, Portugal, Polonia, Alemania y Bélgica también habrían sido golpeados, aunque sin identificar víctimas.

El episodio deja una lección incómoda: la cadena de frío europea depende de controladores industriales que llevan años sin soporte y que con frecuencia se conectan a internet por comodidad, no por necesidad. La normativa comunitaria exige monitorizar temperaturas con registros horarios y alarmas, lo que empuja a estas máquinas a la red; la respuesta razonable no es desconectarlas, sino aislarlas tras VPN y segmentación, y actualizar firmware sin esperar a la próxima crisis. Mientras la investigación avanza, miles de interfaces seguirán visibles desde cualquier lugar del mundo.