Ciberataque a neveras: 115 supermercados europeos afectados

Un ataque que solo cambia una temperatura y arruina una tienda entera

Más de 115 supermercados en al menos seis países europeos amanecieron con sus neveras y congeladores a unos 50 ºC, y el género de decenas de tiendas terminó en la basura. El ataque se detectó en la madrugada del lunes y afectó a cadenas de Bélgica, Países Bajos, Suecia, Luxemburgo, Irlanda y Estonia, según el recuento de BleepingComputer.

Para un founder, la lección no está en el susto: está en el mecanismo. Nadie reventó una puerta ni robó una base de datos. Alguien cambió un ajuste de temperatura en un controlador conectado a internet y provocó una pérdida operativa inmediata. Es la definición de un riesgo barato de ejecutar y caro de sufrir.

¿Qué ha pasado y qué cadenas están afectadas?

Los números varían según la cadena y ninguna autoridad ha publicado un total consolidado. Lo que sí está confirmado por las propias empresas es esto:

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Ahold Delhaize (Bélgica y Luxemburgo): alrededor de 40 tiendas afectadas, según declaraciones a BleepingComputer.
Carrefour Bélgica: 15 de sus 700 tiendas, ninguna de ellas un hipermercado.
Intermarché Bélgica: alrededor de 15 locales.
Spar / Colruyt: cinco tiendas.
SuperValu (Irlanda): 13 tiendas, según su propietaria Musgrave.
ICA (Suecia): al menos cuatro locales; en uno de Estocolmo los equipos quedaron fijados a 50 ºC y hubo que desechar producto congelado.
Coop (Suecia): siete de más de 800 tiendas.
Selver (Estonia): una tienda.

En Países Bajos, al menos 17 carnicerías y comercios de barrio también reportaron fallos, según el recuento de BleepingComputer. La empresa belga Sabcobel, que gestiona los sistemas de Delhaize, confirmó que los evaporadores se pusieron en modo descongelación de forma remota.

¿Cómo se hackea un frigorífico industrial?

El vector exacto de esta oleada no está confirmado: ninguna autoridad ha señalado un atacante común ni un proveedor compartido esa noche. Pero el patrón técnico sí está documentado.

Los controladores de refrigeración son equipos que permiten a los técnicos administrar a distancia los sistemas de frío de una tienda completa. Muchos están expuestos directamente a internet, con credenciales por defecto o contraseñas predecibles. Ars Technica describió que los controladores Danfoss usaban una credencial que cambiaba cada día y se generaba a partir de la fecha con el firmware público: cualquiera que analizara el código podía reproducirla en miles de dispositivos sin actualizar.

La unidad de investigación Team82 de Claroty publicó tres fallos en el modelo AK-SM 800A: un bypass de autenticación (CVE-2025-41450), inyección de comandos (CVE-2025-41451) y denegación de servicio (CVE-2025-41452). Y IPinfo encontró 1.331 paneles StoreView expuestos a internet solo en Francia a comienzos de octubre, frente a 1.197 en el resto del mundo combinado.

¿Por qué no se arregla con una actualización de software?

Porque el problema es físico y de inventario, no solo de parches. Stephan Moelans, director de Sabcobel, explicó que muchos frigoríficos requieren modificaciones físicas y que actualizar el software no basta.

Además, buena parte del parque instalado ya no recibe soporte: Danfoss reconoció que la mayoría de los equipos afectados en Francia eran productos heredados, con el AK-SC 355 retirado en 2016 y el AK-SM 800 al final de su vida útil en mayo de 2021.

Las respuestas de las empresas lo confirman. Delhaize desconectó la refrigeración de internet por completo. El grupo Mousquetaires anunció que ninguna cámara vuelve a conectarse sin VPN. La agencia francesa ANSSI pidió desconectar los equipos o aplicar un filtrado muy restrictivo con urgencia.

El precedente francés: el ensayo general

La oleada de octubre fue la señal de alarma. Según Ars Technica, afectó a unos 700 supermercados en Francia; el ministro de Finanzas Roland Lescure dio esa misma cifra ante el Parlamento, sobre un total de unos 10.000 supermercados en el país. Thierry Cotillard, presidente del grupo Mousquetaires, habló de decenas de millones de euros en pérdidas en una sola mañana de gestión de crisis.

La alerta CERTFR-2026-ALE-012 de CERT-FR identificó los equipos objetivo: controladores Danfoss AK-SM y AK-SC, Copeland XWEB y Dixell XWEB, además de los paneles StoreView. Y no es un fenómeno nuevo: Danfoss señaló que en 2022 ya hubo intrusiones en supermercados de Rusia e Israel que corrían versiones antiguas de sus controladores.

¿Es sabotaje barato o el inicio de algo más grande?

En Francia nadie reclamó la autoría ni hubo petición de rescate, según IoT Tech News. Eso descarta el modelo de extorsión y apunta a sabotaje puro: daño operativo sin botín. El costo para el atacante es casi nulo; el costo para la cadena se mide en producto destruido, horas de técnicos y confianza del cliente.

Hay una derivada más incómoda. El Pentágono trata los fallos de congeladores de finales de agosto en un comisariado de Fort Huachuca como un posible hackeo, aunque no se ha establecido una causa común con las oleadas europeas.

Qué significa esto para tu startup

Si tu producto, tu operación o tu cliente dependen de hardware conectado, este caso te aplica directamente. Armis, en un informe citado por Facilities Dive, encontró que el 73% de las organizaciones tiene al menos una vulnerabilidad ya explotada en sus sistemas de edificio, y que el 91% usa protocolos inseguros como Modbus o BACnet, diseñados décadas atrás sin autenticación ni cifrado.

Acciones concretas que puedes ejecutar esta semana:

Haz un inventario de lo que está expuesto a internet. No de lo que crees que está expuesto: de lo que realmente responde desde fuera. Un escaneo de superficie y la revisión de los paneles de administración de tus proveedores es el primer paso.
Elimina credenciales por defecto y contraseñas derivadas. Si un equipo genera su clave a partir de la fecha o del firmware, esa clave no es una credencial: es un dato público.
Segmenta la red operativa de la corporativa. El acceso remoto de técnicos y contratistas debe pasar por VPN con registro, no por puertos abiertos.
Define un protocolo de contingencia. Sensores de temperatura con alertas fuera de la red comprometida, criterios claros de retirada de producto y cobertura de seguro revisada.

Si vendes hardware o IoT, la conclusión es de negocio: la seguridad del dispositivo es parte del producto, no un extra. El cliente que pierde el género de una mañana entera no vuelve a comprar la misma marca.

Conclusión

Dos oleadas en pocas semanas con el mismo mecanismo no parecen casualidad. El ataque no busca datos ni rescate: busca paralizar. Y funciona porque la infraestructura civil conectada arrastra años de decisiones cómodas —puertos abiertos, contraseñas por defecto, equipos sin soporte— que nadie revisó porque nunca había pasado nada.

La regla que resume todo esto es simple y sigue siendo la más ignorada: lo que no necesita estar en internet, no debería estarlo.