Ciberataque en Francia: atacantes descongelan las neveras de cientos de supermercados

Qué ha pasado

En la noche del domingo 11 de octubre, unos atacantes accedieron en remoto a los controladores de refrigeración de varias cadenas de supermercados francesas y subieron la temperatura de neveras y vitrinas. Según BleepingComputer, tomaron el control de controladores Danfoss con software de gestión antiguo y activaron la función de desescarche automático que traen los propios equipos. Así consiguieron que se calentaran sin necesidad de dañar nada físicamente.

Entre las cadenas afectadas están Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc y Super U. La prensa francesa calcula que el ataque alcanzó a entre 250 y 350 tiendas, con pérdidas económicas importantes y mucha comida desperdiciada.

Dominique Schelcher, presidente de Coopérative U, confirmó que «un ciberataque está afectando a los sistemas de refrigeración de varias tiendas» y lo calificó de «extremadamente grave y sin precedentes». El comisario europeo de Agricultura y Alimentación, Christophe Hansen, también condenó el ataque. La Fiscalía de París ha abierto una investigación sobre este «ciberataque a gran escala».

De momento ningún grupo ha reivindicado el ataque.

La vulnerabilidad de fondo

Aunque no hay información disponible sobre cómo los atacantes lograron comprometer los controladores de refrigeración de Danfoss, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) advirtió en mayo de 2025 sobre una vulnerabilidad de omisión de autenticación de alta gravedad (CVE-2025-41450 en NVD) en la plataforma de hardware de la serie Danfoss AK-SM 8xxA utilizada para gestionar sistemas de refrigeración y HVAC, comunes en el sector minorista de alimentos.

En agosto de 2025, CISA avisó también de un segundo fallo en la misma plataforma, una inyección de comandos (CVE-2025-41451). El equipo Team82 de Claroty, que descubrió las dos vulnerabilidades, publicó cómo combinarlas para ejecutar código en remoto en las interfaces de gestión AK-SM 800A que estuvieran accesibles desde Internet.

Lo preocupante es cuántos equipos hay expuestos. Según Baptiste Robert, CEO de Predicta Lab, el lunes había 2.752 sistemas Danfoss accesibles desde Internet, 1.590 de ellos en Francia. Shodan, el buscador de dispositivos conectados, registra más de 4.500.

Por qué nos afecta a todos

Este caso no es solo cosa de las grandes superficies. Lo mismo puede pasar con la climatización de una oficina, las cámaras frigoríficas de un restaurante o una carnicería, los equipos de una nave industrial o la gestión energética de un edificio. Muchos de estos equipos (lo que se conoce como OT, tecnología operacional) se instalan para que el proveedor los controle en remoto y, una vez en marcha, nadie los vuelve a revisar ni a actualizar.

El ataque demuestra que un ciberataque también puede tener consecuencias físicas: mercancía perdida, riesgos sanitarios y cortes de servicio.

Recomendaciones

• No dejes las interfaces de gestión accesibles directamente desde Internet.
  El acceso remoto debe hacerse siempre por VPN o con una solución de acceso seguro con autenticación robusta.
  
  
• Haz inventario de los equipos conectados:
  climatización, refrigeración, control de accesos, cámaras, SAI… Si no sabes que algo está conectado, no lo puedes proteger.
  
  
• Actualiza el firmware y el software según lo que indique el fabricante, sobre todo cuando hay vulnerabilidades conocidas como las de Danfoss.
  
  
• Cambia las credenciales por defecto y revisa qué accesos tienen los proveedores externos.
  
  
• Separa la red OT de la red corporativa y de la de invitados, para que un equipo comprometido no dé paso al resto de sistemas.
  
  
• Pon alarmas de temperatura independientes que avisen aunque falle o se manipule el controlador principal.
  
  
• Vigila la actividad de estos equipos para detectar accesos o cambios de configuración fuera de lo normal.

En el SOC de Infordisa te ayudamos a encontrar los equipos expuestos de tu empresa, revisar su configuración y vigilarlos de forma continua. Si tienes dudas sobre tus sistemas, contacta con nosotros.

Fuentes: BleepingComputer, CISA SB25-132, NVD CVE-2025-41450.