Un ciberataque a la refrigeración de supermercados franceses obligó a retirar producto fresco y congelado en cientos de tiendas después de que, en la noche del 11 al 12 de octubre, los atacantes tomaran el control a distancia de los sistemas que gestionan el frío y llevaran muebles y cámaras hasta 50 °C durante varias horas. La agencia francesa de ciberseguridad mantiene la alerta abierta y considera probable que las campañas contra estos equipos sigan en curso.
Qué ha pasado
Las cadenas afectadas no pertenecen a un mismo grupo. Intermarché, Netto, Coopérative U, Carrefour, E.Leclerc y Monoprix han reconocido incidencias en parte de su red, y cada una ha dado su propio balance, que no siempre cuadra con el de las demás fuentes. Coopérative U habla de 80 de sus 2.000 tiendas, la mayoría sin rotura de la cadena de frío, Carrefour cifra en 80 sus supermercados afectados y Les Mousquetaires dio a Reuters una cifra de 150 tiendas y a AP otra de 300 entre Intermarché y Netto. La BBC, sumando los datos de cada enseña, calcula unas 400 tiendas afectadas sobre las cerca de 15.000 que hay en el país, y el presidente de Intermarché estimó en BFM TV unas pérdidas de decenas de millones de euros en un solo día.
Según BFM TV, los atacantes forzaron a distancia el desescarche de los equipos, lo que explica que la temperatura subiera de madrugada con las tiendas cerradas y nadie delante de los muebles. La fiscalía de París ha abierto una investigación por un ataque a gran escala contra frigoríficos conectados, que en algunos establecimientos llegó a provocar incendios, y el Gobierno francés ha encargado el análisis a la ANSSI. A fecha de hoy nadie ha reivindicado el ataque.
Qué equipos están afectados y qué se sabe del acceso
La alerta CERTFR-2026-ALE-012 del CERT-FR, publicada el 12 de octubre y actualizada el 13 y el 16, identifica los gestores y supervisores Danfoss de las series AK-SM y AK-SC, Copeland XWEB y Dixell XWEB. Danfoss ha explicado a AFP que la mayor parte de los equipos comprometidos eran productos antiguos que ya no reciben actualizaciones de software ni de seguridad, y Reuters localizó al menos 4.500 interfaces de la marca accesibles directamente desde Internet, sin que se sepa cuántas de ellas llevan un firmware vulnerable.
El vector exacto de entrada no se ha hecho público. Había antecedentes, porque la agencia estadounidense CISA publicó en 2025 varios avisos sobre fallos en la plataforma AK-SM 8xxA, entre ellos uno que permitía obtener una sesión de administrador sin conocer la contraseña, corregidos a partir del firmware 4.3.1, aunque ninguna fuente oficial ha vinculado todavía esos fallos con lo ocurrido en Francia.
La situación en España
No hay ningún caso en España confirmado por una fuente oficial. Un analista de la firma Sekoia citó a España, Portugal, Polonia, Alemania y Bélgica en declaraciones a Reuters, aunque algunas versiones de esa cita hablan de equipos afectados y otras solo de equipos vulnerables presentes en esos países, que no es lo mismo. A 13 de octubre, INCIBE-CERT no había publicado ningún aviso sobre estos controladores.
La Asociación de Empresas del Frío y sus Tecnologías publicó el 15 de octubre una nota en la que AEFYT pide prevención sin alarmismo, donde sostiene que la alerta francesa no permite atribuir una afectación generalizada a las instalaciones españolas y recuerda que disponer de supervisión remota no equivale a tener los equipos expuestos a Internet. La asociación distingue entre el controlador local que regula, la supervisión que recoge datos y gestiona alarmas y la plataforma que permite conectarse desde fuera, tres funciones que muchas veces conviven en el mismo sistema y que no se protegen igual.
Qué recomiendan revisar el CERT-FR y AEFYT
Las dos organizaciones coinciden en lo esencial y dirigen sus recomendaciones a titulares, mantenedores e instaladores, siempre en coordinación con el responsable informático de cada cliente:
- Retirar la exposición directa a Internet de las interfaces de gestión y de cualquier equipo con IP pública, y restablecer el acceso solo mediante una VPN segura o una red protegida, con autenticación multifactor según AEFYT.
- Revisar toda la configuración, con atención especial a las franjas de desescarche, las consignas, las alarmas y los usuarios dados de alta.
- Actualizar el firmware, cambiar las contraseñas por defecto y, en los equipos Danfoss, configurar el nivel de seguridad en modo estricto.
- Tratar el filtrado de IP de los prestatarios en el cortafuegos como una medida de urgencia y no como una solución definitiva.
- Antes de cortar la conexión de datos hacia el frigorista, comprobar las condiciones del contrato y del seguro, y mantener en todo momento la vigilancia de temperaturas y alarmas.
En equipos sin soporte, el CERT-FR avisa de que un reset de fábrica elimina la intrusión pero no la vulnerabilidad, de modo que, si el equipo sigue expuesto, lo previsible es que vuelva a ser comprometido. AEFYT añade que, cuando no pueda garantizarse una seguridad adecuada, hay que planificar la sustitución en función del soporte y del riesgo y no solo de la antigüedad, una decisión que encaja mejor en la revisión periódica del mantenimiento de la instalación que en una urgencia.
Quién responde del acceso remoto
La supervisión remota se ha vendido durante años como un servicio que ahorra desplazamientos y adelanta averías, y lo hace, pero casi nunca se ha presupuestado como lo que también es, un acceso a la instalación que alguien tiene que mantener, actualizar y vigilar. La pregunta que me hago leyendo lo de Francia es cuántos contratos de mantenimiento dicen por escrito quién responde de ese acceso, y la propia polémica francesa va por ahí, porque Les Mousquetaires sostuvo que los sistemas estaban bajo gestión de Danfoss y que la denuncia le correspondía al proveedor.
La misma pregunta vale para la climatización. La aerotermia, el VRF y la zonificación se gestionan cada vez más desde una app o una plataforma en la nube, y esa conexión es la que permite revisar la configuración del equipo sin desplazarse tras la puesta en marcha, así que lo razonable no es renunciar a ella. Lo que conviene es saber qué instalaciones de tus clientes tienen acceso desde fuera, por dónde entra y con qué credenciales, y dejarlo reflejado en el contrato antes de que alguien lo pregunte después de una incidencia.
Fuentes: CERT-FR, alerta CERTFR-2026-ALE-012 · AEFYT, nota del 15 de octubre de 2026 · Reuters, AFP, AP, BBC y BFM TV.
