Seis horas de descongelación, ordenadas a distancia
En la noche del domingo 11 al lunes 12 de octubre, unos atacantes tomaron el control del software de gestión remota de las unidades de refrigeración de supermercados franceses y las pusieron en descongelación. En lugar de un breve calentamiento nocturno, neveras y congeladores siguieron calentándose. Intermarché dijo que sus equipos llegaron a calentarse hasta 50 grados durante unas seis horas, y tiró todo lo afectado para descartar riesgos sanitarios.
Los encargados que llegaron el lunes por la mañana se encontraron con una ola de aire caliente procedente de los congeladores, y en algunas tiendas hubo pequeños incendios. El primer ministro Sébastien Lecornu encargó a la agencia nacional de ciberseguridad ANSSI que investigara, y la fiscalía de París abrió una investigación sobre lo que calificó de ataque a gran escala contra las cámaras frigoríficas de varias grandes cadenas de distribución alimentaria. No se ha identificado a ningún atacante.
| Cadena | Tiendas afectadas según los informes | Fuente |
|---|---|---|
| Intermarché y Netto | De 150 a más de 300 | Reuters unas 150, BBC 180, AFP al menos 300 |
| Coopérative U | 80 de 2.000 afectadas, más de 100 atacadas | La cadena a través de The Hacker News, BBC |
| Carrefour | 80 de 6.000 | Carrefour a través de la BBC |
| Monoprix | Unas 30, o el 5 % de sus más de 400 tiendas | The Hacker News, BBC |
| E.Leclerc | Citada como víctima, sin cifra | BBC, BleepingComputer |
| Todas las cadenas | De 250 a 350, o unas 400 de unas 15.000 | Medios franceses a través de BleepingComputer, BBC |
Estas cifras proceden de las cadenas y de periodistas que escribieron a distintas horas. Léalas como rangos. Ninguna fuente da un total global confirmado.
Los controladores más antiguos no tienen parche que instalar
Danfoss afirma que la mayoría de las unidades afectadas son modelos antiguos cuyo software de seguridad no se puede actualizar. Añadió que desde hace tiempo aconseja a sus clientes mantener los sistemas compatibles con el firmware actual.
The Hacker News informa de que el AK-SM 800 está al final de su vida útil desde mayo de 2021 y el AK-SC 355 se retiró en 2016, y que ninguno recibe actualizaciones de software ni de seguridad. Según se informa, también fueron alcanzadas algunas unidades del AK-SM 800A, un modelo actual, que funcionaban con firmware desfasado. La alerta del CERT-FR, actualizada el 13 de octubre, cita como productos afectados las series Danfoss AK-SC y AK-SM junto con los controladores Copeland xweb y Dixell xweb.
El CERT-FR añade una advertencia que importa a quien conserve equipos viejos: un restablecimiento de fábrica no basta en equipos al final de su vida útil que siguen expuestos a internet, porque probablemente volverán a ser comprometidos. Para esas unidades solo queda sacarlas de internet o sustituirlas.
Cómo entraron sigue siendo un misterio
Según BleepingComputer, ninguna información pública explica todavía cómo se comprometieron los controladores.
El equipo Team82 de Claroty publicó en agosto una investigación sobre el AK-SM 800A: una elusión de autenticación (CVE-2025-41450, CVSS 8,2), una inyección de comandos (CVE-2025-41451, 7,6) y un fallo de denegación de servicio (CVE-2025-41452, 5,4). Los escaneos de Censys contaron 2.765 de estas unidades accesibles desde internet, y Danfoss publicó una actualización después. Ninguna fuente vincula esos fallos con este ataque, así que son contexto y no la causa.
La exposición del lunes era enorme de todos modos. El director de Predicta Lab, Baptiste Robert, encontró 2.752 sistemas Danfoss en línea, 1.590 de ellos en Francia, y Shodan registra más de 4.500 dispositivos Danfoss accesibles desde internet.
Puede que el ataque no sea solo francés. El analista de Sekoia Félix Aimé dijo a Reuters que España, Portugal, Polonia, Alemania y Bélgica también se habían visto afectadas, sin dar detalles, y una persona del entorno del primer ministro dijo que la ANSSI está en contacto con agencias de otros países europeos. Ahold Delhaize anunció ese mismo lunes un problema de seguridad en su propia red y desconectó algunos sistemas con las tiendas abiertas, pero su comunicado no menciona Francia y BleepingComputer no vio indicios de relación.
Intermarché avisó de que el seguro quizá no pague
Intermarché dijo que las tiendas afectadas tuvieron que desechar todos los productos frescos y congelados, y advirtió de que sus pólizas de seguro quizá no paguen, porque no cubren este tipo de incidente en las tiendas.
El dinero sigue sin estar claro. Thierry Cotillard, de Les Mousquetaires, espera pérdidas de decenas de millones de euros en toda Francia, según The Hacker News, y la BBC habla de alimentos por valor de millones de euros. Dos supermercados de Alsacia declararon 270.000 euros de pérdidas entre ambos. Coopérative U dijo que la cadena de frío aguantó en la mayoría de sus 80 tiendas afectadas y que solo una minoría perdió mercancía.
La propia guía del CERT-FR dice que se revisen las condiciones del seguro antes de cortar el enlace de datos con el contratista de refrigeración. La opinión de la aseguradora sobre la monitorización remota debe entrar en la misma conversación que la decisión de desconectar.
Lo que pide el CERT-FR, paso a paso
La alerta CERTFR-2026-ALE-012 del CERT-FR, emitida el 12 de octubre y actualizada el 13, da a los propietarios un orden de trabajo breve.
Si el equipo no está comprometido: retirar la exposición a internet de las unidades afectadas y de cualquier unidad con dirección IP pública; revisar toda la configuración, sobre todo los calendarios de descongelación; restablecer el acceso solo mediante una VPN segura o una red protegida, aceptando el filtrado de las direcciones IP de origen del contratista únicamente como medida de emergencia; y aplicar las buenas prácticas del fabricante, que en Danfoss significan el nivel de seguridad en Strict y las contraseñas por defecto cambiadas.
Si el equipo puede estar comprometido: retirar la exposición, restaurarlo con un restablecimiento de fábrica, devolver el acceso solo mediante una VPN segura, reconfigurar la unidad antes de ponerla de nuevo en servicio y aplicar después las medidas del fabricante. El CERT-FR dice que las campañas de ataque probablemente siguen activas.
Pregunte esta semana tres cosas al contratista de refrigeración: qué modelos de controlador y versiones de firmware hay en cada emplazamiento, cuáles han superado el fin de su vida útil y quién puede acceder a ellos de forma remota y desde dónde.
Leer a continuación: Francia excluye a OpenAI de su propia ciberdefensa | Gusanos de IA: el IoT barato sería su primer blanco
