Ciberataque a frigoríficos Danfoss afecta 350 tiendas

Un ataque que no buscaba datos, sino apagar el frío

Los frigoríficos de entre 250 y 350 supermercados franceses subieron hasta los 50 °C y obligaron a tirar toneladas de producto fresco y congelado. Los atacantes no buscaban bases de datos ni rescates en criptomonedas: tomaron el control del software que regula la temperatura y activaron el desescarche forzado de las cámaras.

Para cualquier founder con inventario físico —retail, foodtech, logística, dark stores, incluso laboratorios— la lección es incómoda. La parte más frágil de tu operación puede no estar en tu nube, sino en un controlador industrial conectado a internet que nadie audita desde hace años.

Qué pasó en los supermercados franceses

El incidente ocurrió en la noche del domingo al lunes y golpeó a varias cadenas a la vez: Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc y Super U, según BleepingComputer. Los atacantes secuestraron controladores de refrigeración que corrían versiones antiguas del software de la danesa Danfoss y los usaron para disparar el sistema automático de desescarche.

Las cifras que los propios retailers dieron a la agencia AFP son elocuentes: al menos 300 tiendas de Intermarché o de su marca Netto fueron objetivo, junto con más de 100 puntos de Coopérative U. Carrefour reconoció 80 supermercados afectados y Monoprix calculó que el impacto llegó a cerca del 5% de sus casi 490 tiendas, según Al Jazeera.

Thierry Cotillard, CEO de Intermarché, dijo a BFM TV que el ataque representaría pérdidas de «decenas de millones de euros en todo el país en un solo día». En varios locales se reportaron además incendios. La fiscalía de París abrió una investigación y el primer ministro Sébastien Lecornu ordenó a la agencia nacional de ciberseguridad, ANSSI, intervenir.

El alcance no se quedó en Francia: Felix Aime, analista de Sekoia Threat Detection and Research, señaló a Reuters que España, Portugal, Polonia, Alemania y Bélgica también registraron equipos afectados.

Danfoss sostuvo que los equipos comprometidos «corrían firmware desactualizado» y que se trata de productos heredados que ya no reciben actualizaciones de software ni de seguridad, según declaraciones recogidas por AFP y Facilities Dive.

Cómo se ataca un frigorífico industrial

La pregunta suena absurda hasta que se entiende la arquitectura. Los paneles que gestionan la refrigeración de una gran superficie llevan más de una década conectados a la red corporativa para permitir mantenimiento remoto, alertas automáticas y optimización energética. Eso los convierte en un dispositivo IoT más, y como cualquier otro, en un vector de entrada.

El problema de fondo es el protocolo. Modbus, el estándar de comunicación más usado en automatización de edificios en Europa, se diseñó para redes aisladas y sin autenticación ni cifrado, según el informe de Armis from ServiceNow citado por Facilities Dive. Nadie pensó en seguridad porque se asumía que esos equipos nunca estarían expuestos.

Los avisos existían. La agencia de ciberseguridad de Estados Unidos, CISA, publicó en mayo de 2025 una alerta por una vulnerabilidad de omisión de autenticación (CVE-2025-41450) y en agosto de 2025 otra por inyección de comandos (CVE-2025-41451) en la plataforma Danfoss AK-SM 8xxA, usada para gestionar refrigeración y climatización en el sector alimentario, según BleepingComputer. Ese mismo mes, el equipo de investigación Team82 de Claroty publicó un análisis detallado de cómo explotarlas para lograr ejecución remota de código en interfaces de gestión accesibles desde internet.

Amir Preminger, CTO de Claroty, lo resumió así en declaraciones a Facilities Dive: los sistemas de control industrial como los controladores de refrigeración «a menudo se asumen en redes aisladas de forma segura, pero muchos de estos dispositivos están directamente expuestos a internet».

Y hay un detalle operativo que explica por qué la respuesta fue tirar la comida. En Francia, el umbral de seguridad para desechar lácteos y cárnicos es superar los 8 °C durante más de 6 horas. Si el sistema de alarmas está caído, nadie sabe cuánto tiempo llevan los productos fuera de rango sin abrir cada armario y medir a mano: inviable en una tienda con cientos de metros lineales de frío.

Cuántos equipos siguen expuestos hoy

Aquí está la parte que debería quitar el sueño a cualquier operador. Baptiste Robert, CEO de Predicta Lab, encontró 2.752 sistemas Danfoss expuestos en internet el mismo lunes del ataque, 1.590 de ellos en Francia, según BleepingComputer. El buscador de dispositivos conectados Shodan rastreaba más de 4.500 equipos Danfoss accesibles desde la red pública.

No es un caso aislado. El informe de Armis from ServiceNow citado por Facilities Dive encontró que el 73% de las organizaciones tiene al menos una vulnerabilidad ya explotada en sus sistemas de edificio, y que el 91% de esos sistemas se comunica con protocolos inseguros. Un informe previo de Team82 de Claroty, publicado en junio de 2025, ya había detectado que el 75% de las organizaciones tenía sistemas de gestión de edificios afectados por vulnerabilidades conocidas y explotadas, y que en el 51% de los casos esas fallas estaban vinculadas a ransomware y con conexión insegura a internet.

Traducido: el ataque a los supermercados franceses no fue un golpe de suerte. Fue un objetivo que llevaba años señalizado.

Por qué la cadena de frío es infraestructura crítica sin tratar como tal

Los ataques a infraestructura crítica suelen imaginarse en energía, agua o transporte. La cadena de frío alimentaria es igual de crítica y nadie la trata como tal: está distribuida, conectada, gestionada por software de terceros con actualizaciones irregulares y operada por personal sin formación en ciberseguridad.

La reacción institucional dejó claro que el sector lo entendió. Dominique Schelcher, CEO de Coopérative U, calificó el ataque de «extremadamente grave» e «inédito». El comisionado europeo de Agricultura y Alimentación, Christophe Hansen, escribió que «la seguridad alimentaria exige más atención en todos los niveles, porque convertir la comida en arma ya es una realidad». La federación francesa del retail, FCD, exigió a Danfoss «total transparencia».

Steven Lachance, analista de ciberseguridad, dijo a Al Jazeera que el ataque no es inédito pero sí raro por su escala, y lo describió como «un llamado de atención global»: «Tenemos infraestructura conectada y viva en internet, y se puede hackear. Es una nueva realidad».

En paralelo, el gigante Ahold Delhaize anunció ese mismo lunes que tuvo que desconectar sistemas tras un «incidente de ciberseguridad». No hay evidencia de que ambos hechos estén relacionados, pero la coincidencia temporal refuerza la sensación de que el sector está bajo escrutinio activo.

Qué implica NIS2 y qué queda fuera

La Directiva NIS2 europea obliga desde octubre de 2024 a los operadores de infraestructura esencial a reportar incidentes y cumplir estándares de seguridad. El problema es el encuadre del sector alimentario.

Según la tabla oficial de INCIBE-CERT, el sector «producción, transformación y distribución de alimentos» cubre a las empresas alimentarias dedicadas a la distribución al por mayor y a la producción y transformación industrial. Las cadenas de supermercados —distribución minorista— no aparecen nombradas de forma explícita, y la norma aplica en general a medianas y grandes empresas de los sectores incluidos.

Esa laguna es la que este incidente pone sobre la mesa: si el software de frío de un proveedor puede paralizar cientos de tiendas en seis países, el eslabón débil no está en la tienda, está en la cadena de suministro tecnológica. Y NIS2 sí exige a las entidades dentro de su ámbito evaluar los riesgos de su cadena de suministro TIC.

Qué significa esto para tu startup

Aunque no vendas comida, si tu operación depende de hardware conectado —sensores, cámaras, controladores, PLCs, puntos de venta— este caso te aplica directamente. Cinco acciones concretas:

• Haz un inventario de lo que está expuesto a internet. No de tus servidores: de tus dispositivos OT e IoT. Herramientas como Shodan o Censys permiten ver qué equipos tuyos son visibles desde fuera. Si un controlador de temperatura o un panel de frío aparece ahí, es un problema urgente, no una tarea del próximo trimestre.
• Segmenta la red IT de la red OT. El mantenimiento remoto es cómodo y ahorra costos, pero exige un salto controlado: VPN, autenticación multifactor y accesos nominativos. Nunca un panel industrial con IP pública y contraseña compartida.
• Audita a tus proveedores de software industrial. Pregunta por versión de firmware, fecha del último parche, si el modelo está en fin de soporte y cuál es el plan de migración. Si la respuesta es «producto heredado sin actualizaciones», tienes un riesgo de continuidad, no solo de seguridad.
• Diseña un plan B para cuando el panel caiga. El desescarche forzado no se detectó hasta que fue tarde. Sensores de temperatura independientes con registro y alertas por SMS o correo te dan la evidencia que necesitas para decidir si un producto es recuperable o hay que desecharlo.
• Documenta y ensaya. NIS2 y los marcos equivalentes en LATAM no solo piden medidas: piden evidencias. Un procedimiento de respuesta a incidentes escrito y probado una vez vale más que diez herramientas sin dueño.

Conclusión

El ataque a los frigoríficos franceses no fue sofisticado: fue paciente. Aprovechó firmware antiguo, protocolos sin autenticación y equipos que llevaban años visibles desde internet. La factura la pagaron los supermercados en comida tirada, pero el mensaje es para cualquiera que gestione operaciones físicas conectadas.

La pregunta que queda abierta es incómoda y aplica a toda Europa y a LATAM: si un ataque relativamente básico a un proveedor de software de refrigeración basta para paralizar cientos de tiendas, ¿cuántos sistemas similares están esperando el mismo tratamiento?

Fuentes

• whatsnew (fuente original)
• BleepingComputer
• Al Jazeera
• Mirror
• Facilities Dive vía Yahoo News
• Claroty Team82 vía Yahoo Finance
• INCIBE-CERT