Supermercados en Francia: refrigeración Danfoss saboteada

En la noche del domingo 11 al lunes 12 de octubre de 2026, cientos de supermercados franceses encontraron sus vitrinas refrigeradas y congeladores apagados o, peor aún, calentando. Los atacantes tomaron el control remoto de los sistemas de regulación de la refrigeración, fabricados por la danesa Danfoss, y activaron la descongelación forzada de las instalaciones. Hubo que tirar productos frescos y congelados.

El 12 de octubre el CERT-FR publicó una alerta sobre las compromisiones de los Danfoss AK-SM y AK-SC con la interfaz de gestión expuesta en Internet, de la que ya hablamos en ARX News. Este artículo recoge lo que se ha sabido después: víctimas, mecanismo, modelos afectados y vulnerabilidades conocidas.

Qué ha pasado

El ataque lo confirmó públicamente Dominique Schelcher, consejero delegado de Coopérative U (Hyper U, Super U, U Express), que lo calificó de «extrema gravedad» e «inédito». Las cifras de tiendas afectadas varían según la fuente:

• Groupement Mousquetaires indicó a Infosecurity Magazine 150 Intermarché y 30 Netto; a la AFP, según DataBreaches.net, 150–200 Intermarché; la cadena de televisión BFMTV, citada por The Record, habla de unas 300 tiendas Intermarché y Netto;
• Coopérative U: menos de 100 tiendas según BFMTV, casi 100 según la AFP;
• Carrefour: 80 tiendas de 6.000, según un portavoz consultado por Infosecurity Magazine; Groupe Casino habla del 5% de los Monoprix;
• E.Leclerc fue mencionado por el comisario europeo de agricultura Christophe Hansen; la cadena no ha hecho comentarios.

En total, según BleepingComputer, los medios franceses estiman entre 250 y 350 tiendas afectadas. Solo dos tiendas de Haguenau, en Alsacia, habrían perdido mercancía por 270.000 euros (BFMTV). La fiscalía de París ha abierto una investigación y la ANSSI ha declarado estar movilizada a nivel nacional y europeo. Ningún grupo ha reivindicado el ataque.

Detalles técnicos

El mecanismo. Según BFMTV, recogida por varios medios, los atacantes forzaron ciclos de descongelación continuos con una temperatura de consigna de hasta 50 °C. ZATAZ precisa que 50 °C es el valor configurado, no necesariamente la temperatura alcanzada en las vitrinas. En muchas tiendas los cambios habrían empezado hacia medianoche, horas antes de la llegada del personal; según Help Net Security, algunas tiendas salvaron parte de la mercancía porque fueron atacadas más tarde o gracias a alarmas recibidas a tiempo.

Los dispositivos. Danfoss, en una declaración a ZATAZ recogida también por Infosecurity Magazine y LeMagIT, habla de un «número limitado» de sistemas e indica que la mayoría son:

• AK-SM800 y AK-SC355: productos de generación anterior, al final de su vida útil, que ya no reciben actualizaciones de software ni de seguridad;
• AK-SM800A con un firmware obsoleto.

Un portavoz de Intermarché precisó a Infosecurity Magazine que las consolas afectadas tenían funciones de control remoto sin un canal de comunicación adecuadamente protegido. ZATAZ, a partir de una sola fuente del sector, informa de que el objetivo habrían sido versiones del software anteriores a la 4.

Vulnerabilidades conocidas. Ninguna fuente ha confirmado qué vía de acceso se usó. Para los AK-SM 800A se conocen:

• CVE-2025-41450, omisión de la autenticación, que según LeMagIT afecta a las versiones anteriores a la 4.2;
• CVE-2025-41451, inyección de comandos con ejecución remota de código;
• CVE-2025-41452, inyección de configuración en el servidor web integrado.

Las fechas no coinciden: LeMagIT sitúa el primer aviso de Danfoss en marzo de 2025, mientras que BleepingComputer cita avisos de la CISA de mayo y agosto de 2025. Infosecurity Magazine menciona también la CVE-2023-25915. Las vulnerabilidades las encontró el Team82 de Claroty, que en agosto de 2026 mostró cómo un controlador comprometido puede apagar el frío y seguir mostrando temperaturas normales.

La exposición. Las estimaciones de dispositivos Danfoss accesibles desde Internet varían: más de 2.700 según Claroty, 3.726 controladores en una búsqueda de Shodan del 19 de agosto citada por Infosecurity Magazine, 2.752 sistemas, 1.590 de ellos en Francia, según Baptiste Robert (Predicta Lab), y casi 3.000 en Francia según LeMagIT.

MITRE ATT&CK for ICS. A partir de los hechos publicados, nuestra lectura es: T0883 (Internet Accessible Device), T0836 (Modify Parameter) por el cambio de descongelación y temperatura, T0879 (Damage to Property) por la mercancía destruida. Las fuentes no publican indicadores de compromiso.

También el 12 de octubre, Ahold Delhaize desconectó algunos sistemas por un incidente en los Países Bajos y Bélgica: según Help Net Security y BleepingComputer, no hay ningún indicio que relacione los dos casos.

Impacto para las empresas europeas e italianas

Los AK-SM y AK-SC están muy extendidos en Europa en la distribución alimentaria, la logística del frío y, como recuerda Claroty, también en almacenes, farmacéutica y química. El caso francés muestra que un ataque a un sistema OT mal protegido causa daños físicos inmediatos: mercancía perdida, tiendas que reabastecer, riesgos para la seguridad alimentaria. La producción, transformación y distribución de alimentos están entre los sectores de la directiva NIS2: si tu empresa entra en ellos, la compromisión de un controlador de las instalaciones es un incidente que debes valorar para la notificación a tu CSIRT nacional (en Italia, el CSIRT Italia de la ACN). Lo mismo vale para la cadena de frío de los medicamentos en el ámbito sanitario.

Qué hacer ya

1. Inventario: enumera los controladores Danfoss (y en general los sistemas de regulación del frío) de cada sede, con modelo y versión de firmware.
2. Elimina la exposición directa: la interfaz de gestión no debe ser accesible desde Internet. El acceso remoto, también el del instalador, debe pasar por una red de gestión separada o una VPN, como recomienda también Danfoss; de inmediato, limita el acceso a direcciones IP de confianza.
3. Actualiza los AK-SM800A al último firmware disponible y planifica la sustitución de los AK-SM800 y AK-SC355, que ya no recibirán correcciones.
4. Credenciales y cuentas: cambia las contraseñas, eliminando las predeterminadas, y revisa las cuentas presentes en los controladores.
5. Revisa la configuración: programas de descongelación, temperaturas de consigna y alarmas, comparándolos con la configuración esperada.
6. Alarmas independientes: como un controlador comprometido puede falsear las lecturas, añade sondas de temperatura y alarmas que no dependan del propio controlador.
7. Si sospechas una compromisión, sigue las medidas del CERT-FR: filtrado del acceso, restablecimiento de fábrica, correcciones, rotación de secretos y reconfiguración completa.

Cómo ayuda ARXDOME

ARX Expose muestra lo que ve un atacante desde fuera: puertos abiertos y productos reconocidos en las direcciones públicas de tu empresa, para descubrir si la interfaz de un controlador es accesible desde Internet. ARX Watch encuentra en la red corporativa los dispositivos en los que no hay nada instalado, como los controladores de las instalaciones, y avisa cuando aparece uno nuevo. Con ARX Sentry los registros de los firewalls llegan al portal y los accesos al perímetro quedan bajo control.

Última actualización: 12 de octubre de 2026