Esta semana, cientos de supermercados en Francia han enfrentado pérdidas que ascienden a varias decenas, e incluso cientos de millones de euros, debido a una serie de ciberataques que han afectado gravemente sus sistemas de refrigeración. En la noche del lunes, un grupo de hackers logró infiltrarse en los controladores de los sistemas de refrigeración de importantes cadenas de supermercados franceses. Como resultado, transformaron los frigoríficos, congeladores y cámaras de frío en auténticos calefactores, elevando la temperatura de estos aparatos hasta 50 grados Celsius (más de 120 grados Fahrenheit). Esta manipulación provocó la destrucción total de los alimentos almacenados y, según algunos informes, incluso se produjeron pequeños incendios. Hasta el momento, se desconoce la identidad y las motivaciones de los perpetradores de este ataque.

Los controladores de refrigeración son dispositivos que permiten a los comerciantes regular y supervisar de forma remota la temperatura de sus equipos de refrigeración las 24 horas del día, los 7 días de la semana. Por lo tanto, se podría suponer que los responsables de los supermercados habrían podido ser alertados o percibir manualmente que algo no funcionaba correctamente. Sin embargo, fuentes francesas han indicado que los atacantes alargaron los ciclos de descongelación de los sistemas comprometidos, un proceso durante el cual los congeladores derriten intencionadamente el hielo y la escarcha acumulados. Esta táctica hizo que el aumento de temperatura se presentara como parte del mantenimiento rutinario de los equipos.

De acuerdo con los informes de las propias empresas afectadas, los ataques impactaron a más de 700 establecimientos de alimentación y comercios minoristas en una sola noche. Un analista de Sekoia, una firma de ciberseguridad de origen francés, ha comunicado a Reuters que también se vieron involucrados otros países europeos, como España, Portugal, Polonia, Alemania y Bélgica. De hecho, una gran cadena de supermercados en los Países Bajos decidió desactivar sus sistemas como medida preventiva, según la Associated Press. Una de las cadenas francesas, Intermarché, ha reportado ya pérdidas que se elevan a varias decenas de millones de euros.

Lo más alarmante es que los especialistas en ciberseguridad coinciden en que estas intrusiones podrían haberse evitado mediante la implementación de medidas básicas de seguridad digital. Los primeros informes sugirieron que los ataques del lunes estaban relacionados con los controladores de refrigeración producidos por el fabricante danés Danfoss, que juega un papel crucial en el sector de soluciones de control para supermercados y la distribución alimentaria, con más de 50,000 instalaciones de su tecnología en todo el mundo, según su sitio web.

El 9 de agosto, investigadores de ciberseguridad del equipo Team82 de Claroty revelaron tres vulnerabilidades en la plataforma AK-SM 800A de Danfoss. Estas fallas, identificadas como CVE-2025-41450, CVE-2025-41451 y CVE-2025-41452, permitían a los atacantes ejecutar código de manera remota (RCE) o provocar un ataque de denegación de servicio (DoS) contra las instalaciones de refrigeración de las empresas. Aunque Danfoss corrigió estas vulnerabilidades, dependía de sus clientes para que actualizaran sus sistemas.

En una declaración a Reuters, Danfoss negó cualquier responsabilidad, señalando que había aconsejado a sus clientes durante mucho tiempo que mantuvieran sus sistemas actualizados con el último firmware y que migraran los sistemas heredados hacia soluciones de última generación. El fabricante de equipos originales (OEM) proporcionó más detalles a la publicación especializada Cooling Post, indicando que la "mayoría" de las unidades afectadas operaban con el AK-SM 800 o su predecesor, el AK-SC355, ambos sistemas que han alcanzado su fin de vida útil, el primero en 2021 y el segundo en 2016.

El martes, el CERT nacional de Francia (CERT-FR) identificó que otra plataforma de controladores de refrigeración, conocida como "XWEB", de los proveedores Dixell y su empresa matriz Copeland, también había estado implicada en los ataques. No se especificaron las vulnerabilidades o versiones de firmware que podrían estar involucradas, aunque las evidencias circunstanciales apuntan a que los autores de estas amenazas se basaron en las investigaciones de Team82. El mismo día en que se hicieron públicas las vulnerabilidades de Danfoss, los investigadores también publicaron información sobre 23 fallos adicionales en el XWEB Pro, de los cuales 21 eran de alta gravedad.

El 26 de agosto, comenzaron a filtrarse una serie de informes inusuales desde instalaciones militares estadounidenses, donde los grupos frigoríficos estaban fallando. En cada base que experimentó este problema, los testigos probablemente asumieron que se trataba de un fallo eléctrico. Sin embargo, a medida que más instalaciones comenzaron a reportar el mismo fenómeno, surgieron dudas sobre la naturaleza de estas interrupciones.

Al descubrir estos extraños informes en las redes sociales, una periodista independiente planteó una hipótesis arriesgada. "Soy lo suficientemente sensata como para saber que esto suena absurdo, pero les pido que me sigan", escribió Elizabeth en Substack. "Creo que hay una probabilidad no nula de que alguien haya hackeado los congeladores de las comisarías".

Hasta la fecha, el ejército estadounidense no ha confirmado la causa de las interrupciones que se han registrado en las cocinas de al menos 14 bases de la Fuerza Aérea, instalaciones navales y distintos puestos del ejército de tierra. Podría ser mera coincidencia que estos ataques se hayan producido apenas dos semanas después de que Danfoss hiciera públicas las vulnerabilidades en sus sistemas.

Resulta notable que la Defense Commissary Agency (DeCA), la entidad principal del Departamento de Defensa (DoD) de Estados Unidos encargada de supervisar las tiendas militares, haya reconocido haber utilizado tecnologías de Danfoss en el pasado. En un documento técnico, específicamente un modelo de pliego de condiciones dirigido a proveedores de estas tiendas, fechado en junio de 2022, la DeCA mencionaba el Danfoss AK-SM 800A como “base de diseño” para diversas unidades de control. Este hecho subraya la importancia de la tecnología de Danfoss en las operaciones de las instalaciones militares, resaltando la necesidad crítica de asegurar estos sistemas.

Bill Moore, CEO de Xona Systems, comparte su experiencia al señalar que en muchos de estos establecimientos físicos, así como en fábricas, plantas de energía y sitios de extracción de petróleo y gas, el mayor desafío radica en que las organizaciones logran segmentar adecuadamente sus redes internas. Sin embargo, en el ámbito de las tecnologías operativas (OT), existen numerosos proveedores y terceros que requieren acceso a estos sistemas. “Las empresas no han prestado suficiente atención a este aspecto”, afirma Moore, evidenciando un punto ciego en la estrategia de ciberseguridad de muchas organizaciones.

Al otorgar acceso a múltiples proveedores y fabricantes, las empresas se exponen a ataques remotos. “No hay visibilidad ni gobernanza sobre muchas de estas conexiones. Diría que esto es cierto en un alto porcentaje de los casos, tal vez la mitad o más”, lamenta. Se ha observado que muchos ciberatacantes comprometen precisamente estas conexiones de terceros, lo que pone de manifiesto la vulnerabilidad inherente de este tipo de accesos.

En un correo dirigido a CNBC, Les Mousquetaires, la empresa matriz de Intermarché y Netto, explicaba que la reciente brecha de seguridad había sido facilitada a través de un proveedor de servicios encargado de los sistemas de refrigeración en algunas de sus tiendas. Este incidente pone de relieve la interconexión entre proveedores y la infraestructura crítica, donde la falta de controles adecuados puede resultar en compromisos significativos.

Andrew Ginter, vicepresidente de seguridad industrial en Waterfall Security Solutions, enfatiza la simplicidad de una solución clave: “Desconecten sus equipos de Internet”. Las investigaciones recientes en Shodan han revelado miles de sistemas Danfoss expuestos en la red, con aproximadamente 1.500 ubicaciones solo en Francia. Este hallazgo alerta sobre la necesidad de mejorar la protección de los sistemas de control industrial.

Ginter describe un escenario ideal en el que las empresas resguardan sus sistemas de control tras un acceso a distancia gestionado mediante hardware dedicado. “Incluso un simple cortafuegos entre estos dispositivos e Internet sería un paso positivo”, añade. Para la implementación de cortafuegos básicos, sugiere que las empresas adopten una serie de medidas, como establecer una política de “denegar todo” por defecto, permitir conexiones únicamente desde direcciones IP específicas, y aplicar contraseñas robustas junto con autenticación de dos factores.

Además, recomienda que los cortafuegos sean actualizados automáticamente para evitar negligencias, y que se utilicen dispositivos de calidad comercial o industrial en lugar de los de consumo, ya que muchos de estos últimos carecen de actualizaciones regulares y rápidas. Finalmente, Ginter aconseja reemplazar el cortafuegos cada cuatro años, argumentando que la falta de un equipo de seguridad en muchas organizaciones a menudo resulta en que los dispositivos no sean monitoreados adecuadamente, lo que puede llevar a que el soporte y las actualizaciones cesen sin que se perciba.

“Las medidas básicas no son suficientes para proteger infraestructuras críticas de gran envergadura o industrias pesadas, pero sí pueden contribuir significativamente a prevenir que los hacktivistas accedan a sus sistemas de refrigeración”, concluye Ginter. “Desconecten sus equipos de Internet. Hagan esto de forma urgente”. Esta llamada a la acción resalta la necesidad apremiante de adoptar prácticas de seguridad más robustas en un contexto donde la ciberseguridad es cada vez más crítica.