Francia: hackeo de neveras afecta a 700 supermercados

Un ataque que calentó las neveras a 50 °C en unos 700 supermercados

En la noche del 11 de octubre, atacantes tomaron el control remoto de los controladores de refrigeración de unos 700 supermercados en Francia y activaron los ciclos de desescarche hasta que neveras y congeladores alcanzaron los 50 °C. El saldo: toneladas de producto perecedero perdidas y, en algunos casos, cuadros eléctricos que se incendiaron.

Para un founder, la lección no es la anécdota del supermercado. Es que el mismo tipo de controlador industrial conectado a internet —sin autenticación robusta, sin parches y sin segmentación de red— está también en almacenes, plantas farmacéuticas, bodegas y salas técnicas. La superficie de ataque de tu operación, no solo la de tu oficina.

Qué pasó exactamente y a quién

CERT-FR, el equipo de respuesta a incidentes del gobierno francés (parte de ANSSI), publicó una alerta el 12 de octubre nombrando como "sistemas afectados" a los controladores Danfoss AK-SM y AK-SC, y también a los Dixell xweb y Copeland xweb. Es decir, no fue un solo fabricante: fueron al menos tres líneas de producto distintas.

Las cadenas dieron sus propias cifras a AFP, Reuters y la emisora RTL, según recopiló The Hacker News:

• Intermarché y Netto (grupo Les Mousquetaires): al menos 300 tiendas entre ambas marcas, según AFP; unas 150 según Reuters.
• Coopérative U: 80 de sus 2.000 tiendas, según su CEO Dominique Schelcher.
• Carrefour: 80 supermercados.
• Monoprix: alrededor de 30.
• E.Leclerc: varias tiendas.

Thierry Cotillard, al frente de Les Mousquetaires, dijo a BFMTV que esperaba pérdidas de "decenas de millones de euros" en toda Francia, según Reuters. La fiscalía de París abrió una investigación por iniciativa propia, liderada por su sección de cibercrimen.

El detalle que más debería inquietar a un equipo técnico: Le Monde reportó un supermercado cerca de Burdeos donde los atacantes cambiaron la configuración del congelador de −22 °C a 150 °C, y un técnico observó varios ajustes modificados por segundo. Eso no es un operador equivocándose: es automatización.

Las vulnerabilidades llevaban meses documentadas

Lo más incómodo del caso es que el terreno estaba abonado y avisado. Según Ars Technica, los tres modelos de controlador señalados contenían vulnerabilidades críticas que permiten a un atacante iniciar sesión en remoto con los mismos privilegios que un administrador.

En el caso de Danfoss, los controladores usaban hasta hace poco una credencial que cambia cada día, generada por el firmware de acceso público a partir de la fecha. Cualquiera que analice el código puede reproducir el cálculo en cualquier equipo sin actualizar. Y como el password diario es idéntico entre modelos, la misma clave sirve para cientos o miles de tiendas a la vez.

En paralelo, Claroty —firma de seguridad industrial— publicó en agosto un reporte sobre fallos de alta severidad en la interfaz web de administración de los controladores Danfoss AK-SM 800A. Los investigadores demostraron que un atacante podía apagar la refrigeración de un controlador comprometido mientras el personal seguía viendo temperaturas normales en pantalla. Los fallos se registraron como CVE-2025-41450 (evasión de autenticación en versiones anteriores a la 4.2), CVE-2025-41451 (inyección de comandos con posible ejecución remota de código) y CVE-2025-41452 (denegación de servicio), corregidos en la versión 4.3.1, según The Hacker News. Claroty presentó los hallazgos en DEF CON en Las Vegas y reportó miles de interfaces de administración de AK-SM 800A alcanzables desde internet.

El problema de fondo es el ciclo de vida del hardware. Danfoss declaró el AK-SM 800 fin de vida en mayo de 2021 y retiró el AK-SC 355 en 2016: ninguno recibe ya parches de seguridad. Algunas unidades del modelo vigente, el AK-SM 800A, también fueron alcanzadas, en esos casos corriendo firmware desactualizado.

Y no es la primera vez. Un boletín de Danfoss de octubre de 2025 recoge ataques previos sobre el AK-SM 800: 16 supermercados rusos en 2022 y 40 tiendas israelíes ese mismo año. Las 40 carecían de firewall o VPN adecuados.

Por qué las neveras de un supermercado están conectadas a internet

Aquí está la trampa que atrapa a cualquier operación con activos físicos. La normativa europea exige monitoreo con marca de tiempo de las temperaturas y alarmas ante subidas anómalas, para reforzar la seguridad alimentaria. A eso se suma que la conexión permite mantenimiento remoto y baja el costo de servicio.

El resultado, como resumió Amir Preminger, CTO de Claroty, a Infosecurity Magazine: "los sistemas de control industrial como los controladores de refrigeración suelen asumirse como seguros en redes aisladas, pero nuestra investigación encontró que muchos de estos dispositivos están directamente expuestos a internet". La comodidad de resolver incidencias en remoto reduce el costo de mantenimiento, pero también baja la barrera de entrada para un atacante.

¿Fue sabotaje industrial deliberado?

Preminger no lo considera un ataque sofisticado, pero sí intencional: "no puedes provocar un desescarche por error tecleando mal un parámetro. Alguien tuvo que guiar el exploit". Comparó la táctica con un incidente en una planta de procesamiento de alimentos en Israel en 2025, donde un atacante dentro de la red manipuló un compresor de refrigeración, aunque no afirmó que sean el mismo grupo.

El alcance tampoco se limita a Francia. Félix Aimé, analista de inteligencia de amenazas de Sekoia, dijo a Reuters que España, Portugal, Polonia, Alemania y Bélgica también se vieron afectados, sin dar detalles. ANSSI está en contacto con agencias de otros países europeos.

Qué significa esto para tu startup

Si tu producto depende de hardware conectado —sensores, controladores, pasarelas, equipos de frío, bombas, PLC— este caso es un recordatorio de que la seguridad no termina en el software que escribes.

Acciones concretas que puedes ejecutar esta semana:

• Haz inventario de todo lo que habla con internet. No solo servidores: controladores, cámaras, sensores de temperatura, sistemas de acceso. Si no tienes la lista, no tienes control. Claroty encontró miles de interfaces de administración de un solo modelo expuestas públicamente; es probable que en tu organización haya activos que nadie mapeó.
• Saca las interfaces de administración de la red pública. La primera instrucción de CERT-FR es literal: desconectar el controlador o filtrar el acceso. Si necesitas administración remota, hazlo detrás de una VPN corporativa o una pasarela APN, y limita el acceso a IPs de confianza.
• Segmenta la red OT de la red corporativa. Preminger lo resume así: "blinda tus dispositivos, segmenta tus dispositivos. Esa es la primera frontera". Un controlador de frío no tiene por qué compartir red con el correo del equipo.
• Pregunta por el fin de vida antes de comprar hardware. Un equipo sin parches es un pasivo, no un activo. Si tu proveedor ya no publica actualizaciones de seguridad para el modelo que usas, el reemplazo entra en el presupuesto de este año, no del próximo.
• Exige parches en el contrato con tus proveedores. Coopérative U no compraba directamente a Danfoss: era cliente de contratistas de refrigeración que le suministraban el sistema. Si tu startup depende de un integrador, la cláusula de actualizaciones y de responsabilidad tiene que estar por escrito.

Conclusión

Un ataque que no requería habilidades excepcionales dejó a cientos de supermercados tirando inventario y apagando fuegos, con pérdidas que su responsable estimó en decenas de millones de euros. Lo que falló no fue un zero-day exótico: fue autenticación débil, equipos sin parches y puertos de administración expuestos a internet.

Para un founder, la pregunta útil no es si tu sector está en la lista de objetivos, sino cuántos dispositivos de tu operación responden hoy a una petición desde cualquier parte del mundo. Ese número es tu riesgo real.

Fuentes

• Ars Technica: Fridge hack costing millions and sparking fires stemmed from poor security (fuente original)
• The Hacker News: Attackers Heat French Supermarket Fridges Up to 50°C by Hijacking Danfoss Controllers
• Infosecurity Magazine: French Supermarket Cyber-Attack Impacts More Refrigeration Controllers
• Cybersecurity Dive vía Yahoo: Dangerous flaws in refrigeration equipment were disclosed months before retail attacks