Atacantes calientan refrigeradores de supermercados franceses hasta 50°C

Un ciberataque contra controladores de la empresa Danfoss afectó a cientos de supermercados en Francia, elevando la temperatura de los sistemas de refrigeración y causando la pérdida de alimentos. Las autoridades francesas han emitido alertas de seguridad para desconectar los dispositivos afectados de internet.

Durante la noche del 11 de octubre, atacantes tomaron el control remoto de refrigeradores y congeladores en cientos de supermercados franceses, elevando su temperatura y obligando a los establecimientos a desechar alimentos, según informaron varias cadenas de tiendas.

Detalles del ataque y dispositivos afectados Los atacantes lograron acceder a través del controlador que gestiona todos los refrigeradores y congeladores de una tienda, un dispositivo fabricado por la empresa danesa Danfoss que las empresas de mantenimiento pueden gestionar de forma remota. Les Mousquetaires, que es propietaria de la cadena Intermarché, informó que sus refrigeradores y congeladores fueron puestos en modo de descongelación y calentados hasta alcanzar los 50°C.

CERT-FR, el equipo de respuesta a emergencias informáticas del gobierno francés, indicó en una alerta publicada en francés el 12 de octubre que está al tanto de numerosos compromisos que afectan a dos series de controladores Danfoss: el AK-SM y el AK-SC. El organismo instó a los operadores a desconectar los controladores o filtrar el acceso a ellos.

CERT-FR forma parte de la ANSSI, la agencia nacional de ciberseguridad de Francia. El jefe de la ANSSI, Vincent Strubel, calificó como urgente retirar las dos series de internet o filtrar el acceso de manera muy estricta, según informó AFP.

Hasta el momento, ni las autoridades francesas ni Danfoss han declarado quién llevó a cabo el ataque o cómo los atacantes lograron entrar en los controladores. Danfoss señaló que la mayoría de las unidades afectadas eran modelos antiguos que la empresa ya no actualiza.

Impacto en las cadenas de suministro y pérdidas económicas Las cadenas proporcionaron sus propias cifras a AFP, Reuters y la emisora RTL. Cada una contabiliza el número de tiendas alcanzadas por el ataque.

Una tienda en esa lista no siempre perdió su inventario. Schelcher informó a RTL que la cadena de frío se mantuvo en la mayoría de las 80 tiendas de Coopérative U afectadas, y que solo una minoría no pudo reaccionar con la suficiente rapidez y perdió mercancías, según informó AFP. El portavoz elogió la rápida reacción del personal de las tiendas y de los contratistas de refrigeración.

Intermarché, por el contrario, afirmó que sus tiendas afectadas tuvieron que desechar todos los productos afectados. Thierry Cotillard, quien dirige Les Mousquetaires, dijo a la emisora BFMTV que esperaba pérdidas de decenas de millones de euros en toda Francia, según informó Reuters.

En sus declaraciones del 12 de octubre, Danfoss no proporcionó ninguna cifra sobre cuántos sistemas fueron afectados. Informó a Reuters que estaba «al tanto de incidentes en Francia que afectan a un número limitado de sistemas de gestión de refrigeración».

Danfoss informó a AFP que la mayoría de las unidades afectadas eran productos antiguos que ya no reciben actualizaciones de software o de seguridad, y mencionó dos específicamente: el AK-SM 800 y el AK-SC 355. Danfoss declaró el fin de la vida útil del AK-SM 800 en mayo de 2021 y retiró el AK-SC 355 en 2016. En un boletín informativo de octubre de 2025, la empresa indicó que pondría fin a todos los servicios para dichos productos antiguos e instó a los clientes a planificar sus reemplazos.

Algunas unidades del modelo actual, el AK-SM 800A, también fueron afectadas. Estas funcionaban con firmware desactualizado, según la declaración de Danfoss a la publicación especializada Cooling Post, la cual no especificó las versiones.

Recomendaciones de seguridad y medidas técnicas Hasta el 13 de octubre, la página de avisos de seguridad de Danfoss no incluía ningún aviso sobre el ataque ni sobre ninguno de los dos modelos antiguos.\n La primera instrucción de CERT-FR cubre todos los controladores AK-SM y AK-SC: desconectarlos o filtrar el acceso a ellos. La alerta advierte que exponer una interfaz de gestión a internet va en contra de las buenas prácticas. En los casos en los que la administración remota no puede evitarse, limitar el acceso a direcciones IP de confianza es un primer paso temporal. Más allá de eso, la alerta aconseja seguir las recomendaciones de endurecimiento de CERT-FR, que fueron redactadas para el sector de la energía y el agua.

En los casos en los que un controlador puede haber sido comprometido, la alerta enumera seis pasos, en este orden: Danfoss ya no emite correcciones para el AK-SM 800 y el AK-SC 355, por lo que el tercer paso no ofrece a sus propietarios ninguna corrección nueva.\n Para el AK-SM 800A, el paquete de software más reciente que Danfoss enumeró el 13 de octubre fue el 5.3.x. Un sistema en la versión 3.x debería pasar primero a la 4.x, y un controlador no puede degradarse una vez que ejecuta la versión 5.3.x, según el archivo de lectura del paquete. A partir de la versión 4.0, se activa por defecto una configuración llamada "Strict Session Control" y hace que el uso de HTTPS sea obligatorio. Las páginas de Danfoss no indican si el paquete 5.3.x fue lanzado en respuesta al ataque.

Danfoss informó a Cooling Post que estaba trabajando con clientes en "actualizaciones de firmware donde estén disponibles, protecciones de red más fuertes y la eliminación de la exposición directa a internet cuando sea aplicable". Sus directrices generales de seguridad, publicadas en francés, también indican a los operadores que mantengan los controladores fuera del alcance de internet, cambien las contraseñas por defecto cuando se instale un sistema y requieran que los usuarios remotos inicien sesión a través de un único punto de entrada gestionado.\n CERT-FR no había publicado indicadores de compromiso hasta el 13 de octubre, por lo que los operadores no tienen señales oficiales que verificar.\n

Investigación y contexto de vulnerabilidades Las tiendas de Coopérative U no compran directamente a Danfoss. Son clientes de contratistas de refrigeración que les suministran el sistema Danfoss, señaló Schelcher. Hasta el 13 de octubre, CERT-FR no había nombrado ninguna vulnerabilidad, ninguna versión de firmware ni ninguna vía de entrada. Su alerta advierte contra la exposición de interfaces de gestión a internet sin decir que esa fue la ruta utilizada.\n Una persona cercana al primer ministro francés, Sébastien Lecornu, dijo a AFP que la ANSSI había identificado una vulnerabilidad en un software suministrado por una empresa danesa y se había puesto en contacto con el proveedor. No se mencionó ningún CVE, y la declaración no indica si la vulnerabilidad fue utilizada en el ataque.\n E.Leclerc informó a AFP que un ciberataque había afectado a uno de sus proveedores de equipos de refrigeración, con efectos en equipos de frío en varios de sus establecimientos. El proveedor no fue nombrado.

Danfoss emitió correcciones para tres fallos en el nuevo AK-SM 800A en 2025. Ni las autoridades francesas ni Danfoss los han vinculado con este ataque. El CVE-2025-41450 es un bypass de autenticación en versiones anteriores a la 4.2. El CVE-2025-41451 es un fallo de inyección de comandos que podría permitir la ejecución de código remoto, y el CVE-2025-41452 podría permitir un ataque de denegación de servicio. Ambos requieren inicio de sesión y fueron corregidos en la versión 4.3.1.

Investigadores de Claroty describieron los tres fallos en agosto, afirmando que podrían combinarse en cadenas de ataque, e informaron haber encontrado miles de interfaces de gestión de AK-SM 800A accesibles desde internet. Sus pruebas de los fallos fueron trabajos de laboratorio en el modelo más nuevo. El informe no describe ataques y no menciona los dos modelos más antiguos.

El boletín de Danfoss de octubre de 2025 registra ataques anteriores al AK-SM 800: 16 supermercados rusos que utilizaban el modelo fueron atacados en 2022, y 40 tiendas israelíes fueron hackeadas el mismo año. Las 40 carecían de una protección adecuada por firewall o VPN, y el boletín no menciona ninguna vulnerabilidad en ninguno de los casos.\n La fiscalía de París ha abierto una investigación por iniciativa propia, informó a AFP. Su sección de cibercrimen lidera la investigación, que está asignada a la oficina de lucha contra el cibercrimen conocida como OFAC. La investigación busca contabilizar a las víctimas y establecer el vínculo entre el ataque y los daños que informaron, que incluyen la pérdida de alimentos y equipos que comenzaron a incendiarse.

La ANSSI está en contacto con agencias de ciberseguridad de otros países europeos porque esos países podrían verse afectados, dijo la persona cercana al primer ministro. Félix Aimé, un analista sénior de inteligencia de amenazas en Sekoia, dijo a Reuters que España, Portugal, Polonia, Alemania y Bélgica también se habían visto afectadas. Reuters no proporcionó detalles sobre esos casos.

El panorama general muestra cómo la falta de mantenimiento en dispositivos antiguos y la exposición directa a internet pueden crear vectores de ataque críticos para infraestructuras físicas.

Fuente:
https://thehackernews.com/2026/10/attackers-heat-french-supermarket.html

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.