En la noche del 11 al 12 de octubre, atacantes tomaron el control remoto de los sistemas que regulan las heladeras y los freezers de cientos de supermercados en Francia y los pusieron a calentar. El ministro de Economía, Roland Lescure, dijo ante el Parlamento que fueron unos 700 de los 10.000 supermercados del país.
El equipamiento en común era de Danfoss, el fabricante danés de controladores de refrigeración comercial. No hubo robo de datos ni pedido de rescate: el objetivo fue la cadena de frío.
Qué hicieron los atacantes
Toda heladera comercial tiene un ciclo de descongelamiento: el equipo se calienta un rato para derretir la escarcha del evaporador y después vuelve a enfriar. Según la cobertura de la prensa francesa, los atacantes forzaron ese ciclo en forma continua, con una consigna de hasta 50 °C.
También estiraron la duración de los descongelamientos de una a ocho horas. Como subir de temperatura durante el descongelamiento es normal, eso demoró las alarmas y le quitó tiempo de reacción al personal.
A la mañana siguiente había mercadería descartada y equipos dañados. La fiscalía de París abrió una investigación, a cargo de la Oficina Anticibercrimen (OFAC), que incluye el vínculo entre el ataque y los principios de incendio reportados en algunos locales.
Las cadenas afectadas y las pérdidas
Las cadenas no comparten dueño, pero sí fabricante de refrigeración:
- Grupo Les Mousquetaires (Intermarché y Netto): 300 locales afectados, con vitrinas todavía fuera de servicio el martes 13.
- Coopérative U: 80 de sus 2.000 locales. Su CEO, Dominique Schelcher, dijo que la mayoría evitó cortar la cadena de frío y que el ataque «es inaceptable».
- Monoprix: una treintena de locales.
- Carrefour y E.Leclerc: también afectados, sin cifras oficiales consolidadas.
Les Mousquetaires estimó pérdidas de varios millones de euros e Intermarché aclaró que su seguro no cubre este tipo de incidente. Schelcher calculó que un local grande puede perder entre 180.000 y 200.000 euros de mercadería.
Intermarché atribuyó el problema a un ataque que habría afectado a «un proveedor de servicios que gestiona los sistemas de refrigeración» de sus tiendas. Hasta ahora, nadie se adjudicó el ataque.
Qué es OT y por qué esto es distinto a un ransomware
En seguridad se distingue la IT (tecnología de la información: servidores, notebooks, correo, bases de datos) de la OT (tecnología operacional): los equipos que mueven cosas físicas, como compresores, válvulas, ascensores o tableros eléctricos.
Dentro de la OT están los ICS (sistemas de control industrial): controladores que leen sensores y actúan sobre máquinas, más una interfaz web o un software de supervisión para manejarlos a distancia. Un controlador Danfoss de supermercado es exactamente eso.
La diferencia con un ataque clásico es la consecuencia. En IT se pierden datos o disponibilidad; en OT se rompe un equipo, se tira comida o empieza un incendio.
Cómo pudieron entrar
El vector exacto no está confirmado oficialmente, pero lo que se sabe apunta en una dirección clara.
Equipos viejos, sin parches
Danfoss le dijo a la agencia AFP que la mayoría de los equipos afectados son productos discontinuados que ya no reciben actualizaciones de seguridad, y nombró los gestores AK-SM 800 y AK-SC 355. Agregó que hace tiempo recomienda actualizar el firmware y migrar.
Vulnerabilidades conocidas desde 2025
La serie actual AK-SM 8xxA tiene fallas públicas y corregidas en el firmware R4.3.1. El equipo Team82 de Claroty las documentó en agosto:
CVE-2025-41450(CVSS 8,2): un «código del día» oculto, derivado solo de la fecha, que permite saltear la contraseña de administrador.CVE-2025-41451(CVSS 7,6): inyección de comandos en la configuración de alertas por mail, que da ejecución remota de código una vez autenticado.CVE-2025-41452(CVSS 5,4): inyección de configuración en el servidor web Nginx del equipo, que permite tirar la interfaz.
Encadenar las dos primeras da control total del gestor sin conocer ninguna contraseña. No hay confirmación de que sean las usadas en Francia.
Expuestos a internet
Claroty contó 2.765 gestores AK-SM 800A con la interfaz web accesible desde internet. El lunes 12, Baptiste Robert (Predicta Lab) encontró 2.752 sistemas Danfoss expuestos, 1.590 de ellos en Francia.
La respuesta del CERT-FR
El CERT-FR (el equipo de respuesta de la ANSSI, la agencia francesa de ciberseguridad) publicó el 12 de octubre la alerta CERTFR-2026-ALE-012. Dice tener conocimiento de «numerosas compromisiones» y que las campañas probablemente sigan activas.
El 13 la amplió más allá de Danfoss (series AK-SC y AK-SM) a los supervisores Copeland xweb y Dixell xweb. Copeland reconoció una vulnerabilidad en «una generación de controladores discontinuada». El 16 actualizó las recomendaciones:
- Sacar de internet los equipos afectados y cualquier otro con IP pública.
- Revisar toda la configuración, en especial los horarios de descongelamiento.
- Dar acceso remoto solo por VPN o red protegida. Filtrar por IP del proveedor vale como parche de emergencia, no como solución.
- En Danfoss: actualizar firmware, subir el nivel de seguridad a «Strict» y cambiar las contraseñas por defecto.
- Si hubo compromiso: reiniciar o volver a valores de fábrica, y reconfigurar antes de poner en servicio.
La alerta advierte que el reseteo solo elimina la persistencia del atacante, pero deja el equipo igual de vulnerable. Mantener expuesto un equipo sin soporte implica un riesgo «muy alto» de compromiso.
Qué revisar si tenés equipos conectados en tu empresa o comercio
El caso francés no es exclusivo de supermercados. Cualquier empresa en Argentina o LATAM tiene equipos parecidos: el BMS (sistema de gestión del edificio), el aire acondicionado central, las cámaras, el control de accesos, los grupos electrógenos. Muchos los mantiene un tercero que pidió «acceso remoto» y nadie volvió a revisar.
- Inventario: qué equipos tienen IP, quién los instaló y qué firmware corren.
- Exposición: buscar tu IP pública en Shodan o Censys (los buscadores que indexan equipos conectados) y revisar qué puertos redirige el firewall.
- Accesos de terceros: módems 3G/4G, routers del proveedor o herramientas de escritorio remoto que entran por fuera de tu red.
- Credenciales: contraseñas de fábrica o compartidas entre todos los locales.
- Segmentación: que la OT viva en una red separada de la de oficina y del Wi-Fi de clientes.
- Fin de soporte: si el fabricante ya no lo parchea, el plan es aislarlo y presupuestar el reemplazo.
- Alarmas independientes: un sensor de temperatura o de estado que avise por otro canal, aunque el controlador diga que todo está bien.
¿Quién tiene la llave de tu aire acondicionado?
En Francia, el equipo afectado era de un proveedor, lo mantenía otro proveedor y la pérdida la pagó el supermercado. Esa cadena de responsabilidades existe en casi cualquier edificio corporativo.
¿Sabés cuántos equipos de tu empresa son accesibles desde internet y quién tiene la contraseña? Te leemos en los comentarios.
Fuentes
- CERT-FR: CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération
- Claroty Team82: Freeze the Controller, Defrost the Food
- AP: Cyberattack targeting refrigeration systems hits 700 supermarkets, French government says
- BleepingComputer: Cyberattack shuts down refrigerators at French supermarkets
- Malwarebytes: Hackers heat up supermarket fridges, spoiling food across France
- Le Monde Informatique: Une cyberattaque perturbe les installations frigorifiques de centaines de supermarchés
- Cybersecurity Dive: Dangerous flaws in refrigeration equipment were disclosed months before retail attacks
- The Local: What we know so far about the cyberattack that targeted French supermarkets
