En la madrugada del domingo 11 al lunes 12 de octubre, cientos de supermercados franceses cerraron con sus cámaras a temperatura de conservación y abrieron con ellas a 50 °C. No hubo misiles ni sabotaje físico. Alguien, desde un teclado, activó una función de desescarche y no la soltó.
Mientras todos miramos a la IA, a la geopolítica y al petróleo, un frigorífico nos ha recordado algo mucho más básico: lo que hemos conectado a internet sin pensar.
Una noche, cientos de tiendas, 50 grados
- Quién: Intermarché y Netto (grupo Les Mousquetaires), Coopérative U, Carrefour, Monoprix y E.Leclerc, entre otras (France 24, Time).
- Cuántas: depende de la fuente y del día. Los primeros recuentos hablaban de 250-350 tiendas. El martes 13, el ministro de Economía y Finanzas, Roland Lescure, elevó la cifra ante el Parlamento a unas 700 de los ~10.000 supermercados del país (AP). Por cadenas: más de 300 tiendas de Intermarché y Netto, unas 100 de Coopérative U, 80 de Carrefour y unas 30 de Monoprix.
- Qué pasó: los atacantes dejaron la función de desescarche bloqueada en “encendido” y las cámaras llegaron a 50 °C (122 °F) durante unas seis horas (ABC). Toneladas de fresco y congelado a la basura y, en algunas tiendas, equipos que llegaron a arder. Solo dos supermercados de Alsacia declararon 270.000 € en producto perdido, y el CEO de Intermarché, Thierry Cotillard, habló de pérdidas de decenas de millones de euros en un solo día a escala nacional.
- Más allá de Francia: Reuters, citando un análisis de Sekoia, sitúa unidades afectadas también en 🇪🇸 España, 🇵🇹 Portugal, 🇵🇱 Polonia, 🇩🇪 Alemania y 🇧🇪 Bélgica.
- Investigación: la fiscalía de París ha abierto diligencias a través de su unidad de cibercrimen, el primer ministro Sébastien Lecornu ha encargado a la ANSSI (la agencia nacional de ciberseguridad) que investigue, y el CERT-FR publicó una alerta el mismo lunes. Por ahora, nadie lo ha reivindicado.
Lescure lo resumió como “una llamada de atención para todos” y admitió que el ataque “toca el corazón de nuestra seguridad alimentaria”. Dominique Schelcher, CEO de Coopérative U, fue más directo: atacar los equipos que conservan los productos frescos es “sin precedentes, extremadamente grave e inaceptable”.
Qué sabemos del hackeo, técnicamente
No hackearon neveras. Hackearon el cerebro que las gobierna.
- El objetivo: controladores de refrigeración de Danfoss, en concreto los modelos AK-SM 800 y AK-SC 355, además de algunos AK-SM 800A con firmware desactualizado (SOCRadar). Son “system managers”: equipos industriales, primos de los PLC, que coordinan temperatura, compresores y desescarches de toda la tienda, y que hablan con los controladores de cada mueble frigorífico mediante buses de campo industriales pensados para cables dentro de un edificio, no para internet. Es decir, un dispositivo que las empresas de mantenimiento pueden gestionar en remoto.
- Equipos viejos: Danfoss admite que la mayoría eran productos legacy que “ya no reciben actualizaciones de software ni de seguridad”. El AK-SM 800 está en fin de vida desde mayo de 2021 y el AK-SC 355 se retiró en 2016. Danfoss llevaba años recomendando sustituirlos.
- Expuestos a internet: el 13 de octubre, SOCRadar contaba 2.898 resultados en Shodan de interfaces de gestión de Danfoss (StoreView) en Francia, alrededor del 65% de los 4.481 de todo el mundo. Censys devolvía 881 hosts únicos en Francia con la misma huella. Según varios reportes, algunos estaban conectados mediante tarjetas 3G para monitorización remota.
- Fallos ya públicos: en mayo de 2025, CISA publicó el aviso ICSA-25-140-03 sobre la familia AK-SM 8xxA, con CVE-2025-41450: una contraseña generada a partir de la fecha que permite saltarse la autenticación. El investigador Kevin Beaumont señaló que estos sistemas usaban “admin” como usuario por defecto con una contraseña derivada de la fecha del día (Wikipedia). Ojo: es una serie parecida pero no idéntica a los modelos que cita Danfoss, y nada prueba que se usara este fallo. A 13 de octubre, ni Danfoss ni el CERT-FR habían señalado la vía de entrada.
- No solo Danfoss: el martes 13, la ANSSI amplió la alerta. Los controladores comprometidos pertenecen a cuatro familias: Danfoss AK-SM, Danfoss AK-SC, Copeland XWEB y Dixell XWEB (Dixell es una marca de la estadounidense Copeland) (Reuters vía The Star). Esto cambia la lectura: ya no es “un fallo de un fabricante”, es un patrón.
- Sin sofisticación: no hizo falta inventar nada. Se usó una función legítima del propio equipo. Los atacantes no rompieron una cerradura, empujaron una puerta que estaba abierta.
Lo más inquietante: el panel que miente
En agosto de 2026, Claroty Team82 publicó tres vulnerabilidades en el Danfoss AK-SM 800A (CVE-2025-41450, CVE-2025-41451 y CVE-2025-41452, corregidas en el firmware R4.3.1) y 23 más en el Copeland XWEB Pro. En un entorno de pruebas, demostraron que podían apagar el frío mientras la temperatura mostrada al operador seguía pareciendo normal.
Es decir: el panel dice “todo OK” mientras la comida se pudre. Dos meses después, alguien hizo algo muy parecido a escala real.
Las teorías sobre la mesa
Aviso: lo que sigue son hipótesis, no hechos.
- Explotación oportunista a escala. Alguien busca interfaces expuestas en Shodan, prueba fallos y credenciales conocidas y automatiza. Es la que mejor encaja con lo que dicen los expertos y con los miles de dispositivos a tiro.
- El eslabón del mantenedor. Estos controladores los gestionan en remoto empresas de mantenimiento de frío que trabajan para varias cadenas a la vez. Si la puerta fue un mantenedor o una plataforma de gestión remota, un solo acceso explicaría que cayeran cadenas rivales la misma noche. Que el CERT-FR pida auditar las credenciales de acceso remoto de los contratistas apunta en esa dirección, aunque es una inferencia mía.
- Sabotaje geopolítico. Ningún dato lo respalda todavía, pero hay precedentes. En abril de 2025, hackers prorrusos abrieron una compuerta de la presa de Bremanger (Noruega) y soltaron 500 litros por segundo durante casi cuatro horas. La jefa del PST noruego, Beate Gangås, lo explicó así: el objetivo de este tipo de operaciones es “provocar miedo y caos en la población”. Esa misma semana, el grupo prorruso NoName057(16) estaba activo contra objetivos franceses, aunque no ha mencionado el ataque a los supermercados. Tras el ataque, el comisario europeo de Agricultura, Christophe Hansen, dijo que “la seguridad alimentaria requiere más atención a todos los niveles, porque la explotación de la comida ya es una realidad”.
- Demostración de fuerza o vandalismo. Sin reivindicación, no se puede descartar nada.
- ¿Objetivo o casualidad geográfica? Francia concentra dos de cada tres interfaces de Danfoss expuestas en el mundo. Quizá no fue el objetivo, sino el sitio donde era más fácil.
Lo que no sabemos: cómo entraron, quién fue y si todos los incendios fueron consecuencia directa del ataque. Tampoco hay vínculo establecido con el incendio que esa misma madrugada destruyó el mercado de Enfants Rouges, el mercado cubierto más antiguo de París, ni con la caída de las webs de Ahold Delhaize (Albert Heijn, Stop & Shop, Food Lion) esos mismos días por un “problema de seguridad”. Las coincidencias llaman la atención, pero por ahora son solo eso.
Seguridad IoT: la evaluación que casi nadie ha hecho
Cuando digo IoT incluyo desde un frigorífico conectado hasta una bomba, un PLC o un contador. El problema es estructural: un controlador industrial vive más de una década, y el software seguro, mucho menos. Conectarlo fue barato (una tarjeta 3G). Mantenerlo no estaba en ningún presupuesto.
Como mínimo, haceos estas preguntas:
- Inventario: ¿qué tengo conectado y qué versión de firmware corre cada cosa?
- Exposición: ¿hay alguna interfaz de administración visible desde internet? Buscad vuestras IP en Shodan o Censys antes de que lo haga otro.
- Fin de vida: ¿qué equipos ya no reciben parches? O se sustituyen o se aíslan, pero no se ignoran.
- Credenciales: nada por defecto, cuentas nominales y MFA donde se pueda.
- Terceros: ¿quién entra por mantenimiento, desde dónde y con qué credenciales? Es el eslabón que casi nadie audita.
- Segmentación: la red industrial separada de la corporativa, con listas de IP permitidas o VPN. Si nunca habéis montado un acceso remoto sin abrir puertos, empezad por algo como Tailscale.
- Defensa independiente: alarmas y sensores fuera del controlador. El CERT-FR recomienda alarmas de temperatura independientes, porque si el atacante controla el sistema, también puede controlar lo que muestra.
- El plan de las 4 de la mañana: ¿qué hacéis si el sistema miente o se cae? Procedimiento manual y simulacro incluidos. Lo aprendimos en España con el apagón del 28 de abril de 2025: lo que no se ha ensayado, no funciona cuando hace falta.
El marco regulatorio llega justo a tiempo (o justo tarde)
Desde el 11 de septiembre de 2026, el Cyber Resilience Act obliga a los fabricantes a notificar a ENISA y al CSIRT nacional las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en 24 horas, notificación en 72 horas e informe final en 14 días desde que haya una corrección (un mes, en el caso de incidentes graves). Y aplica también a productos que ya estaban en el mercado. El grueso de las obligaciones llega el 11 de diciembre de 2027.
Este es, probablemente, uno de los primeros grandes casos bajo esas reglas. Veremos cómo se aplican a equipos que el propio fabricante ya había dejado de soportar. Igual que con el GDPR, la norma no protege nada por sí sola: lo hace quien la cumple.
Conclusión
- La realidad es cruda: el problema no es que existan fallos, sino que nadie los mantiene. Un controlador sin soporte conectado a internet no es un dispositivo, es una invitación.
- El dilema de “conectar y olvidar”: la conectividad se compra una vez, pero la seguridad se paga cada año. Quien no presupuesta lo segundo está endeudándose sin saberlo.
- El mismo patrón en el agua: en noviembre de 2023, atacantes vinculados a la Guardia Revolucionaria iraní entraron en la autoridad de aguas de Aliquippa (EE. UU.) a través de un PLC de Unitronics expuesto a internet con la contraseña por defecto, según el aviso AA23-335A de CISA. Y Bremanger demostró que abrir una compuerta no exige tocarla.
- La paradoja de la seguridad: invertimos en firewalls y en IA (y el mercado lo sabe, como contaba en invertir en ciberseguridad), mientras la puerta de atrás es una caja de hace diez años con una tarjeta 3G.
Si leísteis el artículo sobre el agua como arma estratégica en el Golfo, ya sabéis adónde apunta esto. Y si leísteis el del colapso del sistema alimentario, sabéis lo frágil que es la cadena que lleva la comida a la estantería.
Un frigorífico estropeado cuesta una noche de comida. Una estación de bombeo comprometida puede costar una ciudad sin agua. Hoy ha sido un frigorífico. La pregunta es qué estamos conectando mañana.
Fuentes
- AP: Cyberattack targeting refrigeration systems hits 700 supermarkets, French government says (13/10/2026)
- Reuters (vía Yahoo): Hack of Danfoss refrigeration controllers in Europe causes tens of millions in food losses
- Reuters (vía The Star): Copeland, Dixell refrigeration systems also hacked, French cybersecurity agency says
- ABC: Hundreds of French supermarkets’ fridges hacked in large-scale attack
- France 24: ‘Unprecedented’ cyberattack targets refrigeration units at hundreds of French supermarkets
- Time: ‘Unprecedented’ Cyberattack Targets French Supermarket Fridges
- SOCRadar: French Supermarket Cyberattack: Exposed OT Behind France’s Food Supply
- Claroty Team82: Freeze the controller, defrost the food y France supermarket hacks expose risks of internet-facing refrigeration systems
- CISA: ICSA-25-140-03 Danfoss AK-SM 8xxA Series y AA23-335A (Unitronics PLC)
- Security Affairs: Norway confirms dam intrusion by pro-Russian hackers
- ABC News: ‘Violent’ fire destroys Enfants Rouges food market in Paris
- McCann FitzGerald: Cyber Resilience Act: Reporting obligations apply from 11 September 2026