Danfoss AK-SM y AK-SC: compromisos con la interfaz expuesta
El CERT-FR informa de numerosos compromisos de Danfoss AK-SM y AK-SC con la interfaz de gestión expuesta en Internet. Qué dice el aviso y qué hacer ya.
El 12 de octubre de 2026 el CERT-FR, el centro de respuesta a incidentes de la agencia francesa ANSSI, publicó el boletín de alerta CERTFR-2026-ALE-012 sobre los dispositivos Danfoss de las series AK-SM y AK-SC. El CERT-FR afirma tener conocimiento de numerosos compromisos de estos dispositivos y llama la atención sobre la exposición de la interfaz de gestión en Internet.
Por ahora la única fuente es el aviso del CERT-FR: a continuación recogemos lo que dice, y señalamos lo que no dice, sin añadir hipótesis.
Qué ha pasado
Según el CERT-FR:
- se están produciendo numerosos compromisos de dispositivos Danfoss de las series AK-SM y AK-SC;
- los sistemas afectados se indican como serie AK-SC y serie AK-SM, sin distinguir modelos ni versiones de firmware;
- el nivel de riesgo es «no especificado por el fabricante»;
- exponer una interfaz de gestión en Internet es contrario a las buenas prácticas.
El aviso está en su versión inicial, del 12 de octubre de 2026, y podrá actualizarse con nuevos detalles.
De qué dispositivos se trata
AK-SM y AK-SC son unidades Danfoss de supervisión y control (system manager y system controller) para instalaciones de refrigeración y climatización, usadas sobre todo en los puntos de venta de la distribución alimentaria. Son dispositivos de tecnología operativa (OT): supervisan y regulan instalaciones físicas, y quien controla su interfaz de gestión puede actuar sobre su configuración.
Detalles técnicos: qué dice y qué no dice el aviso
- CVE: el aviso no indica ninguna.
- Versiones afectadas: no se indican; el aviso habla de las series en su conjunto.
- Vector: la interfaz de gestión accesible desde Internet. El CERT-FR no precisa cómo entraron los atacantes (una vulnerabilidad, credenciales débiles o de fábrica, otra cosa) ni qué hicieron en los dispositivos comprometidos.
- Indicadores de compromiso: no se ha publicado ninguno.
- MITRE ATT&CK for ICS: el acceso a un dispositivo industrial accesible directamente desde Internet corresponde a la técnica T0883 (Internet Accessible Device). El aviso no enumera las técnicas utilizadas.
Entre las acciones de saneamiento, el CERT-FR pide aplicar todos los parches de seguridad disponibles, rotar los secretos y revisar las cuentas existentes: consulta con Danfoss o con tu instalador cuál es la última versión disponible para tus dispositivos.
Impacto para las empresas europeas e italianas
El aviso es francés, pero se refiere a productos, no a un país: vale para cualquiera que tenga un AK-SM o un AK-SC accesible desde Internet. Las primeras organizaciones que deben revisarlo son las cadenas de distribución alimentaria, la logística del frío y las empresas que confían el mantenimiento de las instalaciones a un proveedor externo con acceso remoto: precisamente los proveedores son los únicos a los que el CERT-FR permite mantener el acceso en caso de sospecha de compromiso.
La producción, la transformación y la distribución de alimentos están entre los sectores de la directiva NIS2. Si tu empresa entra en su ámbito, el compromiso de un sistema que controla las instalaciones es un incidente que hay que valorar para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.
Qué hacer ya
Las medidas indicadas por el CERT-FR:
- Desconecta o filtra el acceso a las instancias AK-SM y AK-SC.
- Si la administración remota es imprescindible, como primera medida temporal limita el acceso a direcciones IP de confianza. El CERT-FR aconseja de todos modos seguir sus recomendaciones de bastionado, en particular el documento CERTFR-2025-DUR-003, «Recomendaciones para los actores del sector de la energía y el agua».
En caso de sospecha de compromiso, el CERT-FR indica:
- filtrar el acceso de red a las instancias AK-SM y AK-SC, permitiéndolo solo a los proveedores de servicios;
- realizar un restablecimiento de fábrica (factory reset);
- aplicar todos los parches de seguridad disponibles;
- rotar los secretos (contraseñas y otras credenciales);
- revisar las cuentas existentes;
- reconfigurar el dispositivo por completo.
El restablecimiento de fábrica borra la configuración, que luego hay que rehacer (el último paso): planifícalo con quien gestiona la instalación, para limitar la parada de la refrigeración.
Para saber si estás expuesto, empieza por el inventario: qué dispositivos AK-SM y AK-SC tienes, en qué sedes y si su interfaz de gestión es accesible desde Internet, directamente o a través de reglas abiertas para el instalador en el router o el cortafuegos de la sede.
Cómo ayuda ARXDOME
ARX Expose muestra lo que ve un atacante desde fuera: puertos abiertos y productos reconocidos en las direcciones públicas de tu empresa, útiles para descubrir si una interfaz de gestión es accesible desde Internet. ARX Watch encuentra en la red corporativa los dispositivos que no tienen nada instalado, identifica sus puertos y servicios y avisa cuando aparece uno nuevo. Con ARX Sentry los logs de los cortafuegos llegan al portal y el perímetro queda bajo control.
Última actualización:
