Un ciberataque subió los frigos de 400 supermercados franceses a 50°C
En la noche del 11 al 12 de octubre, atacantes remotos activaron el modo desescarche de los sistemas de refrigeración de cientos de supermercados franceses. Ese ciclo calienta las partes frías para derretir el hielo: algunos equipos llegaron a 50°C y, según la fiscalía de París, parte del equipamiento empezó a incendiarse. Las tiendas tuvieron que tirar su stock fresco y congelado.
El punto de entrada apunta a un solo fabricante: Danfoss, la empresa industrial danesa cuyos controladores gestionan las cámaras frigoríficas de estas cadenas. Los números crecieron a medida que cada retailer reportaba. Más de 400 tiendas resultaron afectadas en total según Futura-Sciences, con pérdidas que podrían alcanzar varios millones de euros.
- Carrefour: 80 supermercados.
- Intermarché y Netto (grupo Les Mousquetaires): más de 300 entre ambas marcas.
- Coopérative U: 80 de sus 2.000 tiendas, según su CEO Dominique Schelcher en RTL.
- Monoprix: alrededor del 5% de sus locales.
- E.Leclerc: varios establecimientos confirmados.
Thierry Cotillard, al frente de Les Mousquetaires, dijo a BFMTV que esperaba pérdidas de decenas de millones de euros en toda Francia, según recogió Reuters. El comisionado europeo de Agricultura y Alimentación, Christophe Hansen, condenó el ataque con una frase que resume el problema: «la seguridad alimentaria requiere más atención en todos los niveles, porque la weaponización de la comida ya es una realidad».
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días¿Por qué los controladores estaban accesibles desde Internet?
La respuesta corta: porque el negocio los necesita así. Los supermercados usan estos controladores para monitorear y gestionar la cadena de frío de forma remota, y eso obliga a exponerlos a la red pública. Schelcher lo explicó con precisión: las tiendas de Coopérative U no le compran directamente a Danfoss, sino que usan un sistema Danfoss provisto por sus contratistas de refrigeración. Es decir, la superficie de ataque no la controla el retailer, sino un tercero.
Danfoss dijo que la mayoría del equipamiento afectado era «legacy» y nombró dos modelos: el AK-SM 800 y el AK-SC 355. Según The Hacker News, Danfoss declaró el AK-SM 800 fin de vida en mayo de 2021 y dejó de fabricar el AK-SC 355 en 2016. Ambos dejaron de recibir parches de seguridad hace años.
El riesgo tampoco era un misterio. BleepingComputer recuerda que la agencia de ciberseguridad de Estados Unidos (CISA) advirtió en mayo de 2025 sobre una vulnerabilidad de omisión de autenticación (CVE-2025-41450) y en agosto de 2025 sobre una de inyección de comandos (CVE-2025-41451) en la plataforma Danfoss AK-SM 8xxA. El equipo de investigación Team82 de Claroty encontró ambas fallas y publicó en agosto un análisis sobre cómo explotarlas para lograr ejecución remota de código en interfaces de administración accesibles públicamente.
Hay además un antecedente directo. Según el boletín de Danfoss de octubre de 2025 citado por The Hacker News, en 2022 ya habían sido atacados 16 supermercados rusos que usaban el AK-SM 800, y ese mismo año se hackearon 40 tiendas israelíes. Las 40 carecían de firewall o protección VPN adecuada.
Cinco meses de paneles abiertos a cualquiera
El blog de IPinfo aporta el dato que cambia la lectura del caso. En su escaneo semanal de IPv4 del 6 y 7 de octubre, cinco días antes del ataque, encontró 2.528 direcciones que mostraban un panel Danfoss StoreView: la misma página que usan las tiendas y los técnicos para ver y gestionar los controladores, salvo que cualquiera que escribiera la dirección podía abrirla.
De esas 2.528, Francia concentraba 1.331 (el 53%), más que los otros 72 países y territorios juntos (1.197). Le seguían Polonia (179), Estados Unidos (101), Portugal (92) y Bélgica (85).
El detalle más incómodo es la antigüedad. El 85% de los paneles franceses (1.136 de 1.331) corría software con fallas de seguridad conocidas: 527 controladores que Danfoss ya no soporta, 280 sin los parches de 2023 y 329 sin los de 2025. Solo 195 tenían todos los arreglos aplicados.
Y no era un problema de un día. Todos los escaneos desde fines de marzo de 2026 hasta el ataque encontraron una cifra parecida: entre 2.464 y 2.622 paneles abiertos, la mitad en Francia. De los 1.331 paneles franceses del 6 de octubre, 1.019 seguían abiertos en la misma dirección que el 30 de marzo, seis meses antes. El número de controladores sin soporte no bajó: 519 a fines de marzo, 527 en octubre.
¿Qué cambió después del ataque?
Mucho, pero tarde. El escaneo del 14 de octubre, dos días después del incidente, encontró solo 316 de los 1.331 paneles franceses todavía en línea: una caída del 76%. En las semanas previas, apenas entre el 3% y el 7% desaparecía de una semana a otra. Censys, otra empresa de escaneo, midió una caída similar del 71% en Francia entre el 11 y el 14 de octubre.
El patrón revela la reacción: cayeron más los controladores viejos sin soporte (de 527 a 64) y también los que estaban completamente actualizados (de 195 a 54). Es decir, las tiendas los desconectaron en lugar de parchearlos.
El problema no terminó ahí. El director técnico de Claroty dijo a Tom’s Guide que, al momento de esa entrevista, seguía habiendo dispositivos AK-SM 800 expuestos en línea. El escaneo de IPinfo del 14 de octubre todavía encontró 64.
Y Francia no es el único país con estos sistemas abiertos. Paneles Danfoss con fallas conocidas estaban expuestos en otros 69 países y territorios, liderados por Polonia (157), Estados Unidos (85) y Portugal (77). En Islandia el 80% eran controladores sin soporte; en Australia, el 75%; en Alemania, el 72%. Un analista de Sekoia citado por Reuters señaló que España, Portugal, Polonia, Alemania y Bélgica también habrían sido afectados.
Qué significa esto para tu startup
Si tu producto depende de hardware conectado —sensores, controladores, cámaras, medidores— este caso es tu problema, no el de un retailer francés. La lección central es que un dispositivo con IP pública y firmware sin parches es una puerta abierta, y el costo ya no es reputacional: es físico.
Acciones concretas que puedes ejecutar esta semana:
- Haz un inventario real de tu superficie expuesta. No asumas que sabes qué está en Internet. Herramientas como Shodan o Censys permiten buscar por fabricante y modelo; el propio caso muestra que un escaneo externo encuentra dispositivos que la empresa no tenía mapeados. Si tu equipo no puede hacerlo, es la primera contratación o servicio que necesitas.
- Saca los paneles de administración de la red pública. La recomendación de CERT-FR es explícita: desconectar los controladores de Internet y, si un contratista necesita acceso remoto, darlo a través de una VPN segura. Permitir solo las direcciones IP del proveedor es un parche temporal, no una solución.
- Revisa la vida útil de tu hardware antes de que te la recuerde un incidente. El AK-SM 800 dejó de recibir soporte en 2021 y seguía desplegado en cientos de tiendas cinco años después. Define hoy un plan de reemplazo para todo equipo que el fabricante ya marcó como fin de vida.
- Audita a tus proveedores y contratistas. Coopérative U no compraba a Danfoss: heredaba el riesgo de sus contratistas de refrigeración. Si tu operación depende de terceros que instalan o mantienen equipos conectados, la cláusula de seguridad y de responsabilidad en ese contrato es tan importante como el precio.
La seguridad OT ya tiene consecuencias físicas
CERT-FR advirtió que las campañas de ataque «probablemente siguen en curso» y que mantener un equipo sin parches expuesto a Internet implica «una probabilidad muy alta de compromiso». También aclaró que un simple reset de fábrica no alcanza: borra la persistencia del atacante, pero el equipo sigue vulnerable y volverá a ser comprometido. Para los sistemas Danfoss recomienda actualizar el firmware, fijar el nivel de seguridad en Strict y cambiar las contraseñas por defecto.
El contexto más amplio confirma la tendencia. CPO Magazine recuerda que en abril de 2026 las autoridades federales de Estados Unidos advirtieron sobre hackers iraníes atacando infraestructura crítica mediante sistemas de control industrial expuestos, y que en julio de 2026 un ataque coordinado golpeó más de 30 plantas de tratamiento de agua en Minnesota comprometiendo controladores lógicos programables.
Para un founder, la conclusión es incómoda pero clara: la seguridad de los sistemas operativos dejó de ser un tema de TI y pasó a ser un riesgo de negocio. Los sistemas industriales se diseñaron para ser confiables y disponibles, no para resistir ataques. La postura correcta, como resume Louis Eichenbaum de ColorTokens, es asumir que ya estás comprometido y que tu infraestructura es vulnerable — y diseñar desde ahí.
Fuentes
- IPinfo: France’s Supermarket Fridges Were Vulnerable Online for Months (fuente original)
- The Hacker News: Attackers Heat French Supermarket Fridges Up to 50°C by Hijacking Danfoss Controllers
- BleepingComputer: Cyberattack shuts down refrigerators at French supermarkets
- CPO Magazine: Cyber Attack Shuts Down Refrigerators at 700 French Supermarkets
- Tom’s Guide: Cyberattaque des frigos de supermarchés
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
