Ataque a Danfoss: calentaron neveras francesas hasta 50 °C

Ocurrió. Durante la noche del 11 al 12 de octubre de 2026, atacantes tomaron el control remoto de los controladores de refrigeración de cientos de supermercados franceses y forzaron ciclos de descongelación que calentaron neveras y congeladores hacia los 50 °C, echando a perder alimentos en cadenas como Intermarché, Carrefour, Monoprix, Leclerc, Coopérative U y Super U. Los dispositivos eran controladores de refrigeración de Danfoss, muchos de ellos alcanzables directamente desde internet. La cadena de frío es tecnología operativa (OT), es una superficie de ataque, y esto es lo que pasa cuando nadie la trata como tal.

Análisis defensivo para líderes de seguridad, equipos de retail e instalaciones y quienes operan los controladores. Basado en la cobertura pública; algunos detalles técnicos de abajo se marcan explícitamente como no verificados: confírmalos con fuentes primarias (CERT-FR, Danfoss) antes de actuar.

Qué pasó

La noche del 11 al 12 de octubre de 2026, varias cadenas de supermercados francesas reportaron que la refrigeración de sus tiendas había sido secuestrada. Los atacantes forzaron ciclos de descongelación y subieron las temperaturas hacia los 50 °C, arruinando el stock refrigerado y congelado y obligando a las tiendas a tirar mercancía. Las estimaciones van de unas 250 a 350 tiendas entre Intermarché, Coopérative U, Carrefour, Monoprix, Leclerc y Super U.

• Los dispositivos. CERT-FR dijo tener constancia de numerosos compromisos que afectan a dos series de controladores de Danfoss: AK-SM y AK-SC. Danfoss dijo que la mayoría de las unidades afectadas eran modelos antiguos que ya no actualiza.
• La recomendación. CERT-FR pidió a los operadores desconectar los controladores de internet o filtrar estrictamente el acceso. La fiscalía de París abrió una investigación.
• El patrón. Como explicó el Team82 de Claroty, es el resultado previsible de tener controladores de refrigeración expuestos directamente a internet.

Cómo entraron probablemente

Las autoridades y Danfoss no han confirmado oficialmente la vía de acceso exacta, así que trata el mecanismo como no establecido todavía. Lo que sí está documentado: el Team82 de Claroty encontró anteriormente una omisión de autenticación y una inyección de comandos en el AK-SM 800A (CVE-2025-41450 y CVE-2025-41451), y la cobertura señala que el ataque abusó de funciones legítimas de descongelación en controladores que nunca deberían haber sido alcanzables. Si la intrusión usó esos CVE, credenciales expuestas o débiles, o ambas cosas, sigue sin confirmarse.

Circulando, y todavía sin verificar. Investigadores de seguridad (entre ellos Kevin Beaumont, «GossiTheDog») han reportado que los controladores afectados estaban expuestos con el usuario admin y una contraseña que rota a la fecha actual, y que un paso del inicio de sesión puede omitirse con una solicitud manipulada a un endpoint /xml.cgi. Los incluimos como indicadores reportados por investigadores para que los defensores los busquen, no como hechos confirmados; CERT-FR y Danfoss no los habían corroborado al momento de escribir. Si operas estos controladores, la suposición segura es sencilla: si era alcanzable desde internet, trátalo como comprometido: desconéctalo y después investiga.

Por qué la refrigeración es OT

Un rack de refrigeración o un sistema de gestión de edificios (BMS) lo operan controladores que hablan protocolos industriales: Modbus, BACnet y buses propietarios de fabricantes como Carel, Danfoss y Copeland. Estos protocolos se diseñaron para redes aisladas y de confianza: la mayoría no tiene autenticación ni cifrado. El controlador aceptará sin rechistar un cambio de consigna de cualquiera que pueda alcanzarlo por la red. Eso está bien en una planta aislada. No lo está cuando el mismo controlador está en el Wi-Fi de la tienda junto al sistema de punto de venta, o publicado en internet para que un técnico externo lo ajuste desde casa.

Cómo se expone la cadena de frío

• Mantenimiento remoto expuesto a internet. BACnet/UDP 47808, Modbus/TCP 502 y las interfaces web de los controladores acaban con reenvío de puertos por comodidad e indexados por servicios de escaneo.
• Credenciales por defecto o vacías. Puestos en marcha deprisa, nunca endurecidos.
• Redes planas. Refrigeración, climatización, punto de venta e IT corporativa comparten una VLAN, así que un portátil víctima de phishing puede llegar al controlador de un compresor.
• Sin monitoreo. Nadie vigila el segmento OT, así que una consigna manipulada o un controlador con ransomware se nota cuando el producto ya está caliente.

Qué está realmente en juego

No es un problema de privacidad de datos, es un problema de seguridad física e ingresos. Una tienda mediana tiene decenas de miles de dólares en stock perecedero; un almacén frigorífico, muchísimo más. Un compromiso significa inventario echado a perder, incumplimientos de seguridad alimentaria y regulatorios, medicamentos sensibles a la temperatura destruidos en una farmacia y, como es un sistema de seguridad, un posible peligro físico, no solo un costo. «Restaurar desde la copia de seguridad» no salva un pasillo de congelados.

Las soluciones son poco glamurosas (y eso es bueno)

1. Desconecta o filtra ya. Según la recomendación de CERT-FR para este incidente: si un controlador de refrigeración/BMS es alcanzable desde internet, desconéctalo o ponlo detrás de un filtrado de acceso estricto hoy mismo, antes de hacer cualquier otra cosa.
2. Inventaría todos los controladores de refrigeración/BMS: no puedes proteger lo que no sabes que tienes.
3. Sácalo de la internet pública y ponlo detrás de un acceso remoto autenticado o por VPN únicamente.
4. Segmenta la refrigeración/BMS del punto de venta y de la IT corporativa (una frontera IT/OT real, no una VLAN compartida).
5. Cambia las credenciales por defecto y desactiva los servicios y protocolos que no uses.
6. Planifícalo: un modo manual de respaldo y una respuesta a incidentes ensayada para «la refrigeración está comprometida».

Revisa tu propia postura, en tu navegador

Creamos un conjunto de herramientas OT que funcionan íntegramente en tu navegador (no se sube nada y nunca tocan tus dispositivos). Son herramientas Pro:

• BMS / Refrigeration Config Auditor: pega la configuración de un controlador y obtén los hallazgos de exposición.
• OT Internet-Exposure Analyzer: pega una exportación de Shodan/Censys de tus propios hosts y mira qué es alcanzable.
• Cold-Chain & OT Downtime Loss Calculator: pon cifra a un corte de refrigeración.
• Cold-Chain Incident War Room: ensaya las decisiones antes de tener que tomarlas de verdad.
• OT Protocol Explorer: entiende por qué Modbus y BACnet confían en quien pueda alcanzarlos.

Actualizado el 13 de octubre de 2026. El incidente (controladores Danfoss AK-SM/AK-SC, cientos de tiendas francesas, aviso de CERT-FR) está confirmado por la cobertura pública; la vía de acceso exacta aún no se ha confirmado oficialmente, y los detalles concretos de la «contraseña de admin igual a la fecha del día» y la «omisión mediante /xml.cgi» son reportes de investigadores que hemos marcado como no verificados. Confírmalos con los avisos de CERT-FR y Danfoss antes de actuar, y evalúa solo sistemas que estés autorizado a gestionar.