Danfoss: ciberataque calienta 300 supermercados en Francia

Un ciberataque dejó a cientos de supermercados franceses sin cadena de frío

Durante la noche del domingo 11 al lunes 12 de octubre, un ciberataque intervino de forma remota los sistemas que regulan la temperatura de los equipos frigoríficos de cientos de supermercados en Francia. Entre las cadenas afectadas figuran Intermarché, E.Leclerc y Coopérative U, según la información publicada por AFP y Reuters.

El caso rompe el molde de lo que solemos imaginar cuando hablamos de ciberseguridad: no hubo robo de datos de clientes ni cajas registradoras caídas. El objetivo fue el frío.

Les Mousquetaires, propietario de Intermarché, informó a Reuters que unas 150 tiendas de la cadena resultaron afectadas y que los frigoríficos alterados alcanzaron temperaturas de hasta 50 °C durante seis horas. La compañía tuvo que desechar los alimentos perjudicados para evitar riesgos sanitarios. Una actualización posterior elevó el conteo a al menos 300 establecimientos de Intermarché y Netto, más de 100 de Coopérative U y varios de E.Leclerc. Carrefour comunicó 80 supermercados afectados.

¿Cómo consiguieron calentar los frigoríficos a distancia?

Los controladores que usan estos establecimientos no solo supervisan la temperatura: coordinan funciones de la instalación frigorífica, entre ellas los ciclos de descongelación que eliminan la escarcha acumulada. Según BFMTV, citado por AFP, los atacantes lograron activar a distancia esa función y mantenerla activa, lo que calentó el interior de los equipos por encima de lo debido.

En Haguenau, en el este de Francia, la propietaria de un Intermarché relató a Clarín que los atacantes programaron la emisión de aire caliente a 50 °C y que las vitrinas refrigeradas llegaron a 36 °C. Su estimación de pérdidas: 50.000 euros. Según BFMTV, dos supermercados de esa localidad —un Intermarché y un Super U— sumaron pérdidas de mercancía por 270.000 euros (unos 302.000 dólares).

El Groupement Mousquetaires estima el daño total en varios millones de euros, aunque todavía no hay una cifra exacta. Lo que aún no se ha aclarado es cómo consiguieron acceder a los dispositivos.

Danfoss, el eslabón débil: controladores sin soporte desde 2021

El fabricante danés Danfoss confirmó a AFP que los modelos AK-SM800 y AK-SC355 figuran entre los afectados y recordó que estos productos ya no reciben actualizaciones de seguridad. La compañía recomienda sustituirlos.

No es un problema nuevo. Según PCMag, los AK-SM800 se declararon fuera de soporte en 2021, y en agosto los investigadores de Team82 —la unidad de investigación de Claroty— advirtieron de múltiples vulnerabilidades en los controladores más nuevos, los AK-SM 800A, con más de 2.700 controladores Danfoss expuestos en internet público. Infosecurity Magazine reportó que un escaneo con Shodan el 19 de agosto todavía encontraba 3.726 de estos controladores accesibles desde internet.

También existe una vulnerabilidad conocida, CVE-2025-41450, que afecta a la serie AK-SM 8xxA y permite exponer información interna sensible. Por ahora no hay pruebas de que ese fallo concreto se haya explotado en Francia. Danfoss ya había documentado ataques contra supermercados de Rusia e Israel en 2022 que utilizaban controladores AK-SM800.

En DEF CON 34, en agosto de 2026, Claroty mostró cómo un controlador AK-SM 800A comprometido podía desactivar la refrigeración y a la vez falsificar las lecturas de temperatura, ocultando la falla en la cadena de frío.

¿Por qué un ataque al frío es más grave que un hackeo a la caja?

Porque el daño sale de la pantalla. Un ataque a los sistemas de pago se resuelve con un plan de contingencia y unas horas de caja manual. Un ataque a la refrigeración destruye inventario, dispara el desperdicio y abre un frente sanitario y reputacional.

El episodio también muestra la convergencia IT-OT: equipos industriales que durante décadas estuvieron aislados de internet hoy están conectados mediante sensores y sistemas de monitoreo remoto. Antoine Hautin, de la consultora de ciberseguridad Almond, dijo a AFP que estos equipos fueron diseñados para priorizar la fiabilidad y el control de costos frente a la protección contra ciberataques, y que la magnitud del ataque sugiere cierta sofisticación.

Los datos del sector apuntan en la misma dirección. La NCSC británica advirtió que los ataques a sistemas de tecnología operativa (OT) están aumentando en múltiples sectores, y Nozomi Networks señala que el error más peligroso es asumir que un sistema no está conectado a internet. Claroty analizó más de 200 ataques a sistemas ciberfísicos en doce meses: el 82% involucró clientes VNC usados para acceder remotamente a activos expuestos y el 66% pasó por HMI o sistemas SCADA comprometidos.

En paralelo, Dragos identificó 1.140 incidentes de ransomware en organizaciones industriales durante el segundo trimestre de 2026, un 12% más que en el trimestre anterior. Y el mercado lo está descontando: según ResearchAndMarkets, el mercado global de seguridad para sistemas de control industrial pasaría de 17.910 millones de dólares en 2026 a 38.480 millones en 2031, con una tasa anual compuesta del 16,5%.

El contexto europeo: Ahold Delhaize y la sombra de la guerra híbrida

Mientras las autoridades francesas investigan, el grupo neerlandés Ahold Delhaize comunicó otro incidente de ciberseguridad en su red y desconectó varios sistemas como medida preventiva. En Países Bajos, su cadena Albert Heijn sufrió interrupciones en la web, la aplicación y las entregas a domicilio. En Bélgica, Delhaize desconectó parte de sus sistemas internos y su atención al cliente quedó temporalmente fuera de servicio. Los establecimientos siguen abiertos y, por ahora, no existen pruebas que relacionen estos problemas con el ataque a la refrigeración en Francia.

La respuesta institucional fue rápida. La Fiscalía de París abrió una investigación para identificar a las víctimas y determinar qué daños pueden vincularse al ciberataque, incluidos los incendios notificados durante el incidente. El primer ministro Sébastien Lecornu encargó a la ANSSI que examinara el caso. Según una fuente gubernamental citada por Reuters, el organismo identificó una vulnerabilidad en el software de Danfoss, aunque no se ha confirmado si se usó para acceder a los equipos. Francia también se coordina con otros países europeos ante posibles afectaciones.

El comisario europeo de Agricultura, Christophe Hansen, condenó el ataque y advirtió que la instrumentalización de la alimentación se ha convertido en una realidad. El contexto no es casual: según CBS News, el presidente Emmanuel Macron ordenó el mes pasado medidas para proteger la infraestructura crítica francesa frente a lo que describe como ataques híbridos.

Qué significa esto para tu startup

Si tu producto toca hardware, sensores o cualquier equipo que opere en el mundo físico, este caso te aplica directamente, aunque no vendas a supermercados.

• Inventaría todo lo que está conectado, no lo que crees que está conectado. El error más común es asumir que un equipo está aislado porque nadie lo conectó a propósito. Las conexiones olvidadas de proveedores, los firewalls mal configurados y los dispositivos que nadie documentó son la vía de entrada típica. Arma una lista real de activos, con versión de firmware y quién los administra.
• Trata el fin de soporte como una fecha límite de negocio. Los controladores afectados llevaban años sin actualizaciones de seguridad y el fabricante ya recomendaba reemplazarlos. Si tu stack depende de un componente sin soporte, ese riesgo ya está en tu balance: ponlo en el roadmap de reemplazo con presupuesto y responsable.
• Diseña para el modo degradado. Pregúntate qué pasa con tu operación si el sistema de control se comporta de forma anómala pero sigue reportando normalidad, exactamente lo que mostró la demostración de Claroty. Define umbrales de alerta por sensor físico, no solo por estado del software, y ten un protocolo manual para las primeras horas.
• Revisa tu póliza y tus contratos. Intermarché activó a sus equipos legales y de seguros apenas detectó el incidente. Verifica si tu cobertura alcanza daño a inventario o interrupción de negocio, y si tus contratos con proveedores de software definen responsabilidad cuando falla un componente de terceros.

Conclusión

El ataque a los frigoríficos franceses no es una anécdota curiosa: es la demostración de que la superficie de riesgo de una empresa ya no termina en sus servidores. Cuando el software controla temperatura, presión o movimiento, un fallo de seguridad se convierte en pérdida de producto, en riesgo sanitario y en un problema regulatorio.

Para un founder, la lección es de priorización. La ciberseguridad dejó de ser un tema exclusivo del CTO y pasó a ser una decisión de operaciones: qué equipos se conectan, con qué soporte y con qué plan B. Las empresas que traten el inventario de activos conectados como parte de su operación diaria van a estar mejor paradas que las que esperen al próximo incidente.

Fuentes

• Xataka (fuente original)
• PCMag
• Infosecurity Magazine
• Clarín
• CBS News
• BankInfoSecurity
• Help Net Security
• Yahoo Finance