Controladores de refrigeración expuestos en Francia provocaron el caos en los supermercados

La noche del 11 al 12 de octubre de 2026, ciberatacantes forzaron los sistemas de refrigeración de cientos de supermercados franceses a entrar en modo desescarche, lo que hizo que las temperaturas subieran hasta 50 °C. El incidente, que afectó a grandes cadenas como Carrefour e Intermarché, resultó en incendios de equipos y la eliminación de vastas cantidades de productos perecederos. Las investigaciones señalan a vulnerables controladores conectados a Internet fabricados por la empresa industrial danesa Danfoss como el punto de entrada de la interrupción.

Qué ocurrió

El ataque tuvo como objetivo los paneles de control basados en web utilizados por los técnicos para monitorear y gestionar la refrigeración de las tiendas. Estas interfaces, conocidas como StoreView, eran accesibles directamente desde Internet público sin protección adecuada. Los atacantes pusieron los sistemas en ciclos de desescarche, un proceso que calienta los componentes de enfriamiento para derretir la acumulación de hielo. En muchos casos, esto provocó un sobrecalentamiento peligroso, con algunas unidades incendiándose y otras echando a perder su contenido. La fiscalía de París ha abierto una investigación, aunque no se ha identificado ningún grupo específico como responsable.

Grandes grupos minoristas confirmaron la magnitud de los daños. Carrefour reportó impactos en 80 tiendas, mientras que Les Mousquetaires, propietaria de Intermarché y Netto, vio afectados más de 300 establecimientos. Monoprix declaró que aproximadamente el 5% de sus tiendas fueron golpeadas, y Coopérative U confirmó ataques en 80 de sus 2.000 ubicaciones. Danfoss identificó el hardware comprometido como modelos heredados (legacy), específicamente los controladores AK-SM 800 y AK-SC 355, cuya vida útil la empresa declaró finalizada en 2023.

Detalles clave

• Francia tenía 1.331 paneles de Danfoss expuestos en línea antes del ataque, más que el resto del mundo combinado.
• El 85% de estos sistemas franceses ejecutaban software con fallos de seguridad conocidos, incluidos 527 controladores heredados sin soporte.
• La mayoría de los dispositivos vulnerables habían estado expuestos a Internet durante al menos seis meses antes del incidente.
• Solo 195 de los 1.331 paneles franceses tenían aplicadas todas las correcciones de seguridad conocidas.
• Tras el ataque, el 76% de los paneles franceses previamente expuestos se desconectaron de la red en dos días.
• CERT-FR también advirtió sobre vulnerabilidades en supervisores XWEB de Copeland y Dixell, encontrando 70 de estos dispositivos en línea en Francia.

Antecedentes

Los dispositivos del Internet Industrial de las Cosas (IIoT) suelen cerrar la brecha entre la maquinaria física y la gestión digital. En este caso, los controladores de Danfoss permiten el monitoreo remoto de la temperatura y la salud del sistema. Sin embargo, cuando estos dispositivos se conectan directamente a Internet público en lugar de a una red interna segura o una red privada virtual (VPN), se vuelven visibles para cualquiera que escanee direcciones IP. Muchas de estas unidades funcionan con firmware antiguo que carece de protecciones de seguridad modernas, haciéndolas susceptibles a exploits conocidos como saltos de autenticación (login bypass).

El término "heredado" (legacy) en este contexto se refiere a hardware que el fabricante ya no soporta activamente con actualizaciones de seguridad. Para el AK-SM 800, Danfoss terminó el soporte en 2023, pero cientos permanecían en línea y accesibles. Sin parcheos regulares o aislamiento de red, estos dispositivos conservan configuraciones predeterminadas o vulnerabilidades sin corregir que los atacantes pueden explotar para tomar el control de infraestructuras críticas.

Por qué importa

Para los equipos que gestionan software autoalojado o dispositivos de borde (edge), este incidente destaca los graves riesgos de exponer interfaces administrativas a Internet público. No basta con asumir que el hardware oscuro o especializado permanecerá desapercibido. Los escáneres automatizados sondean constantemente todo el espacio IPv4, identificando cualquier dispositivo que responda en puertos estándar. Si su infraestructura incluye controladores IoT similares, sistemas de gestión de edificios u otro hardware de borde, dejarlos públicamente accesibles equivale a dejar la puerta trasera abierta.

La lenta tasa de parcheo observada en los datos es otra lección crítica. Entre marzo y octubre de 2026, el porcentaje de controladores totalmente actualizados en Francia solo aumentó del 14% al 24%. Esto sugiere que muchas organizaciones carecen de procesos automatizados para actualizar el firmware incrustado. En un entorno autoalojado, descuidar estas actualizaciones deja los sistemas vulnerables a exploits que son conocimiento público desde hace años, convirtiendo tareas de mantenimiento manejables en posibles fallos catastróficos.

Qué puede hacer

• Audite su red en busca de dispositivos IoT o de borde con direcciones IP públicas y restrinja el acceso inmediatamente.
• Mueva las interfaces administrativas detrás de una VPN o utilice reglas estrictas de firewall para permitir el acceso solo desde direcciones IP confiables específicas.
• Identifique cualquier hardware heredado que ya no reciba actualizaciones de seguridad y cree un plan para reemplazarlo o aislarlo.
• Implemente monitoreo automatizado de versiones de firmware y configure alertas para cuando haya actualizaciones disponibles.
• Cambie todas las contraseñas predeterminadas y active niveles de seguridad estrictos en cualquier controlador expuesto restante.
• Revise las pólizas de seguro y los acuerdos con contratistas para asegurar que los métodos de acceso remoto cumplan con las mejores prácticas de seguridad.