Una segunda ola de ataques a los controladores de refrigeración afectó a más de 115 supermercados y comercios de Bélgica, Países Bajos, Suecia, Luxemburgo, Irlanda y Estonia. Los atacantes cambiaron de forma remota la temperatura de heladeras y freezers, los apagaron o activaron ciclos de descongelado, y en varios locales la mercadería se perdió.
Los incidentes se conocieron el 2 de noviembre de 2026, según BleepingComputer y The Record, tres semanas después del ataque que alcanzó a unos 700 supermercados en Francia.
El blanco no son los sistemas de TI de siempre, sino la tecnología operativa (OT): los equipos que controlan procesos físicos y que muchas veces instala y administra un proveedor externo, fuera del inventario del área de sistemas.
Qué pasó en esta segunda ola
Los atacantes accedieron a los controladores que gestionan la refrigeración de cada local y, durante la noche, modificaron la configuración. En un supermercado de Suecia, el encargado informó que los freezers quedaron fijados en 50 °C y que no era posible cambiar el valor.
Según los reportes, el alcance por país fue el siguiente:
- Bélgica: más de 50 locales, entre supermercados, un local de una cadena de muebles y chocolaterías.
- Países Bajos: al menos 17 carnicerías y comercios de barrio.
- Irlanda: 13 supermercados de una misma cadena.
- Suecia, Luxemburgo y Estonia: un número menor de locales en cada país.
Algunas cadenas avisaron a sus encargados de madrugada y trasladaron la mercadería a camiones refrigerados para no perderla.
Cómo entraron, según lo que se sabe
Ninguna autoridad publicó todavía el vector de ataque de esta ola. Los datos disponibles vienen de los proveedores de refrigeración:
- El director de Sabcobel, empresa de refrigeración que atiende varios de los locales belgas, dijo a la cadena RTL que se usó la misma vulnerabilidad que en Francia y que una actualización de software no alcanza: algunos equipos necesitan modificaciones físicas.
- En Estonia, un contratista indicó que los atacantes accedieron a un sistema Danfoss antiguo. Danfoss aplica desde el ataque de octubre un fin de servicio estricto para sus productos discontinuados.
- La radiotelevisión neerlandesa NOS informó que en Bélgica también hubo equipos Copeland entre los afectados.
Nadie se adjudicó los ataques y no se sabe si las dos olas están relacionadas. El Centro de Ciberseguridad de Bélgica (CCB) confirmó que está al tanto del incidente y advirtió que quizás nunca se pueda identificar a los responsables.
El antecedente: la alerta del CERT-FR de octubre
En la noche del 11 al 12 de octubre, cientos de supermercados franceses sufrieron ciclos de descongelado forzados. El CERT-FR, el equipo de respuesta a incidentes de la agencia francesa ANSSI, publicó la alerta CERTFR-2026-ALE-012 por compromisos de controladores Danfoss AK-SM y AK-SC y, desde el 13 de octubre, también Copeland XWEB y Dixell XWEB. El MUG lo cubrió en su momento: Atacantes calentaron las heladeras de 700 supermercados franceses a través de controladores Danfoss.
La alerta advierte que exponer la interfaz de administración de estos equipos a internet va contra las buenas prácticas y que mantener expuesto un equipo sin soporte (EOL, fin de vida) implica un riesgo muy alto de compromiso. También aclara que un reseteo de fábrica elimina la persistencia del atacante, pero deja el equipo igual de vulnerable.
Qué revisar si su organización tiene refrigeración u otros equipos OT conectados
Las recomendaciones del CERT-FR aplican a cualquier controlador industrial o de edificio con acceso remoto, no solo a supermercados:
- Inventario: relevar con mantenimiento y con los proveedores qué controladores (refrigeración, climatización, bombas, accesos) tienen conexión a internet.
- Exposición: sacar de internet cualquier equipo con IP pública. Antes de cortar el envío de datos al proveedor, revisar las condiciones del seguro.
- Acceso remoto: restablecerlo solo por VPN o por una red protegida. Filtrar por IP de origen en el firewall sirve como medida de emergencia, no como solución.
- Configuración: revisar la configuración completa, en especial los horarios de descongelado.
- Buenas prácticas del fabricante: actualizar el firmware, cambiar las contraseñas por defecto y, en Danfoss, configurar el nivel de seguridad en
Strict. Para Dixell, el fabricante publicó recomendaciones de uso seguro de los supervisores XWEB. - Equipos discontinuados: planificar el reemplazo de los que ya no reciben parches.
Si un equipo ya fue comprometido, el CERT-FR indica además reiniciarlo o volverlo a valores de fábrica y reconfigurarlo antes de devolverlo a servicio, siempre después de quitarle la exposición a internet.
¿Quién administra los equipos OT en su organización?
¿Los controladores de refrigeración o climatización están en el inventario de TI, o los gestiona solo el proveedor? Te leemos en los comentarios.
Fuentes
- CERT-FR: CERTFR-2026-ALE-012, incidente de seguridad en controladores remotos de instalaciones de refrigeración (12/10/2026, actualizada el 16/10/2026).
- BleepingComputer: Hackers disrupt refrigeration systems at European supermarkets (2/11/2026).
- The Record: second wave of attacks on grocery freezers in Europe (2/11/2026).
