Danfoss: ciberataque deja sin frío a supermercados europeos

Un ciberataque forzó la descongelación continua en frigoríficos de supermercados europeos

Los atacantes no robaron datos ni cifraron servidores: activaron la descongelación automática de los sistemas de refrigeración y la dejaron corriendo sin parar, con la temperatura programada a 50 °C. La descongelación normal dura dos horas al día. El ciclo forzado, en cambio, no se detiene. Fuentes citadas por La Dépêche describieron "una ola de calor" saliendo de neveras y congeladores.

Las pérdidas ya rondan los 300.000 euros y podrían escalar a varios millones a nivel nacional, según los primeros reportes. Para cualquier founder que venda hardware conectado, la noticia no es sobre supermercados: es sobre qué pasa cuando un dispositivo industrial queda expuesto y nadie lo actualizó.

¿Qué cadenas y qué sistemas están afectados?

Los equipos comprometidos son controles de refrigeración fabricados por la danesa Danfoss, usados por los supermercados franceses Intermarché, Leclerc y Coopérative U. Dominique Schelcher, presidente de Coopérative U, confirmó el lunes por la mañana que "un ciberataque afecta las instalaciones de producción de frío de varias tiendas de nuestra red desde anoche" y lo calificó de "extremadamente grave".

Según Infosecurity Magazine, Schelcher publicó esa confirmación en X el 12 de octubre y situó el inicio del incidente el 11 de octubre. Ese medio reporta además, citando a BFMTV, que los atacantes apuntaron a versiones desactualizadas del software de control de refrigeración del fabricante. Solo dos supermercados —un Intermarché y un Super U en Haguenau, en la región de Alsacia— registraron pérdidas de 270.000 euros (302.000 dólares) en mercadería, y BFMTV estima que 150 tiendas de Intermarché, parte de Groupe Mousquetaire, están afectadas.

El alcance podría ser mayor. El analista Jonathan Le Borgne, autor del sitio especializado Je bosse en grande distribution, reportó que también habrían sido golpeadas E. Leclerc, Carrefour y Monoprix.

El segundo frente: etiquetas de precios y entregas caídas en Países Bajos

En paralelo, la emisora neerlandesa NOS reportó que varias cadenas sufrieron fallos por un incidente de ciberseguridad el domingo por la tarde. Albert Heijn, Etos y Gall & Gall tuvieron sus sitios web caídos, lo que afectó las entregas. Las etiquetas electrónicas de precios también quedaron comprometidas, desordenando el precio en tienda.

"Tomamos medidas de inmediato para proteger nuestro entorno de TI. Parte de esto implica el apagado temporal preventivo de varios sistemas", dijo Albert Heijn en un comunicado. La cadena belga Delhaize, que pertenece a Albert Heijn, también reportó interrupciones. En redes circularon imágenes de tiendas en Ámsterdam advirtiendo a clientes sobre problemas de precios y la suspensión de programas de fidelización.

Todavía no está claro si ambos ataques están relacionados ni qué tan extendidos están. Esa ambigüedad es, en sí misma, un dato: cuando la operación depende de sistemas de terceros, el diagnóstico tarda más que el daño.

¿Por qué los controladores de refrigeración son un blanco fácil?

Este no es un problema nuevo para Danfoss. Según Infosecurity Magazine, productos de la compañía han presentado vulnerabilidades críticas en el pasado, entre ellas CVE-2023-25915, CVE-2025-41450, CVE-2025-41451 y CVE-2025-41452, algunas capaces de dar acceso privilegiado a los sistemas de control y de manipular equipos físicos.

Más reciente: la investigación que Claroty presentó en DEF CON 34, en agosto de 2026, mostró cómo un controlador AK-SM 800A comprometido podía desactivar la refrigeración y a la vez falsificar las lecturas de temperatura, ocultando fallas en la cadena de frío. Es decir, el ataque no solo rompe el equipo: puede borrar la evidencia de que algo se rompió.

La lección estructural es la misma que atraviesa todo el IoT industrial. Sistemas diseñados para operar en redes cerradas terminaron expuestos a internet sin autenticación robusta ni firmware al día. El mismo informe señala que Danfoss tiene previsto presentar el 13 de octubre en la feria Chillventa de Núremberg su nuevo variador iC7-HVACR con "funciones de ciberseguridad integradas" — un recordatorio de que la seguridad se está volviendo argumento comercial, no solo requisito técnico.

El mercado que crece detrás del incidente

El gasto en seguridad para tecnología operativa (OT) —el software y hardware que controla plantas, redes eléctricas y, sí, cámaras frigoríficas— pasó de 22.150 millones de dólares en 2025 a 25.190 millones en 2026, y se proyecta en 47.950 millones para 2031, con un crecimiento anual compuesto del 13,74%, según Mordor Intelligence.

Ese mismo informe señala que la manufactura concentró el 25,7% de los incidentes ciberindustriales reportados en 2023-2024 y que los grupos alineados con Estados aumentaron un 49% los ataques a activos de energía, transporte y agua durante 2024. La directiva europea NIS2, vigente desde octubre de 2024, obliga a reportar incidentes en 24 horas y contempla multas de hasta 10 millones de euros.

El contexto de amenaza es consistente en otras fuentes. Según el informe IBM X-Force 2026 citado por Splunk, la manufactura fue el sector más atacado por quinto año consecutivo y concentró el 28% de todos los ciberataques en 2025, con la explotación de aplicaciones expuestas a internet como principal vía de entrada (32% de los casos observados).

¿Qué significa esto para tu startup?

Si tu producto toca hardware, sensores o cualquier dispositivo conectado, este incidente es una advertencia directa y no una noticia lejana.

• Audita qué está expuesto a internet. El vector de entrada más común sigue siendo una aplicación o interfaz accesible desde fuera. Revisa qué paneles de administración, APIs o puertos de tus dispositivos responden a una consulta pública. Si un controlador de refrigeración de un supermercado estaba alcanzable desde la red abierta, cualquier equipo de tu stack también puede estarlo.
• Trata el firmware como un producto vivo, no como un entregable único. Las versiones desactualizadas del software de control fueron el punto débil reportado. Define un ciclo de actualizaciones, un canal de notificación de vulnerabilidades y un plan de parcheo que no dependa de que el cliente se acuerde de aplicarlo.
• Diseña para el peor caso, no para el mejor. La investigación de Claroty demostró que un equipo comprometido puede mentir sobre su propio estado. Si tu sistema de monitoreo confía ciegamente en la telemetría del dispositivo, no tienes monitoreo: tienes una promesa. Añade verificación cruzada con sensores independientes.
• Documenta tu cadena de suministro. Si vendes a retail, industria o cualquier sector regulado en la UE, tus clientes van a empezar a preguntar por NIS2. Tener un inventario de componentes y proveedores con su estado de seguridad te pone por delante en una licitación y te ahorra el pánico cuando ocurra un incidente.

La conclusión incómoda

El ataque no tumbó un banco ni una red eléctrica: apagó la cadena de frío de un supermercado. Eso es precisamente lo relevante. La infraestructura crítica del día a día —refrigeración, etiquetas de precios, logística de última milla— corre sobre dispositivos baratos, conectados y rara vez actualizados, administrados por proveedores que el usuario final nunca ve.

Para un founder hay una oportunidad doble. Por un lado, existe un mercado de seguridad OT creciendo a doble dígito y con presión regulatoria empujando la demanda. Por otro, hay una lección de diseño que conviene aplicar hoy: la seguridad de un dispositivo conectado no es una función que se agrega al final, es una decisión de arquitectura que se toma —o se omite— desde el primer prototipo.

Fuentes

• Tom's Hardware (fuente original)
• Infosecurity Magazine
• Mordor Intelligence
• Splunk