Ciberataque a los supermercados franceses: controladores de frío Danfoss secuestrados

En la noche del 11 al 12 de octubre de 2026, cientos de supermercados franceses sufrieron el secuestro a distancia de sus instalaciones frigoríficas. No se bloquearon cajas ni se robaron datos de clientes: los atacantes apuntaron al frío comercial. Este artículo resume lo confirmado, la brecha (aún desconocida), los remedios recomendados y lo que este incidente implica para su empresa. Se actualizará a medida que avance la investigación.

Información en evolución. Las cifras proceden de la prensa (AFP, Reuters, medios especializados) y de declaraciones de los distribuidores; son provisionales y varían según la fuente. No pudimos consultar comunicados oficiales de Danfoss ni de la ANSSI: sus posiciones son las que recoge la prensa.

Lo que está confirmado

Fecha	Noche del 11 al 12 de octubre de 2026
Objetivo	Controladores frigoríficos del fabricante danés Danfoss (series AK-SM y AK-SC) instalados en supermercados
Efecto	Descongelación remota de todos los muebles fríos, con subida de temperatura hasta 50 °C según Mousquetaires; duró unas seis horas
Consecuencia	Ruptura de la cadena de frío: productos frescos y congelados destruidos
Cadenas afectadas	Intermarché/Netto (Mousquetaires), Coopérative U, E.Leclerc (varias tiendas), Carrefour, Monoprix
Tiendas afectadas (provisional)	Más de 400 según las primeras estimaciones, unas 500 según algunos medios. AFP: al menos 300 Intermarché/Netto, menos de 100 Coopérative U, 80 Carrefour, una treintena de Monoprix. Reuters: unas 150 de Intermarché
Datos robados	Ninguno anunciado hasta ahora
Reivindicación	Ninguna conocida; los autores no están identificados
Investigación	Fiscalía de París, encomendada a la oficina anticibercriminalidad (OFAC); ANSSI movilizada; alerta CERT-FR CERTFR-2026-ALE-012 del 12 de octubre
Daños	Varios millones de euros, según la fiscalía

Cómo funcionó el ataque

Según la información disponible, los atacantes no «rompieron» los equipos: abusaron de una función legítima, el desescarche. Activado en todos los muebles a la vez, eleva la temperatura en vitrinas y cámaras.

El CERT-FR informa de «numerosas compromisiones» que afectan a dos series de controladores Danfoss, los AK-SM y AK-SC. Danfoss indica que la mayoría de las unidades afectadas son obsoletas (en particular los AK-SM 800 y AK-SC 355) y ya no reciben actualizaciones de software ni de seguridad.

La brecha: lo que se sabe y lo que se ignora

El punto de entrada no se ha identificado públicamente. Ni Danfoss ni las autoridades han precisado cómo accedieron los atacantes, y la alerta del CERT-FR no nombra ninguna vulnerabilidad, versión de firmware ni CVE. Estos son los hechos y las hipótesis de los investigadores:

Exposición en internet (establecida por escaneos, sin vínculo probado con el ataque). El investigador Baptiste Robert (Predicta Lab) contó 2.752 sistemas Danfoss expuestos en línea, 1.590 de ellos en Francia; Shodan referencia más de 4.500. Son datos de escaneo pasivo y no prueban que esos equipos fueran atacados. El CERT-FR recuerda que exponer una interfaz de administración en internet va contra las buenas prácticas.
Fallos conocidos antes del ataque (hipótesis). Los investigadores de Claroty (Team82) habían documentado en agosto fallos en los AK-SM 800A, incluida una elusión de autenticación. Danfoss corrigió en 2025 las CVE-2025-41450 (elusión de autenticación, versión 4.2), CVE-2025-41451 (inyección de comandos tras autenticarse) y CVE-2025-41452 (denegación de servicio tras autenticarse), las dos últimas en la versión 4.3.1. Ninguna fuente oficial vincula estas CVE con el ataque; el fallo explotado podría no haberse publicado.
Otros escenarios mencionados (hipótesis): credenciales débiles o por defecto en interfaces expuestas, credenciales de mantenimiento comprometidas o secuestro de un acceso remoto en un frigorista.

Remedios recomendados

Son las medidas indicadas por el CERT-FR/ANSSI y por Danfoss, según la prensa:

Desconectar de internet o filtrar estrictamente el acceso a todos los controladores AK-SM y AK-SC. Si la administración remota es imprescindible, limitarla a direcciones IP de confianza (el CERT-FR lo presenta como medida temporal).
Sustituir los modelos al final de su vida útil (AK-SM 800, AK-SC 355): ya no reciben ningún parche. Si no es posible, aislarlos en una red segmentada.
Actualizar el firmware de los AK-SM 800A, modelo aún soportado.
Equipo sospechoso de estar comprometido: la actualización por sí sola no basta. El CERT-FR prevé una recuperación más completa; consulte la alerta CERTFR-2026-ALE-012 en cert.ssi.gouv.fr.
Medidas generales: cambiar contraseñas por defecto, eliminar el mantenimiento remoto innecesario, segmentar la red OT y registrar los accesos.

Lo que no está establecido

Los autores y sus motivaciones: sin reivindicación ni atribución oficial.
El vector de acceso exacto: ningún vínculo oficial con las CVE citadas; controladores expuestos, credenciales comprometidas o acceso remoto de un proveedor siguen siendo hipótesis.
El balance definitivo: el número de tiendas varía según la fuente y la cadena.
Afectación de cajas o de datos de clientes: varias fuentes indican que no la hubo. Las informaciones sobre cajas paralizadas no están confirmadas.

Lecciones para su empresa

Los equipos conectados al final de su vida útil son una deuda de seguridad. Un equipo sin parches y accesible desde internet es un objetivo. Inventaríe lo conectado (frío, climatización, cámaras, impresoras, terminales, dispositivos industriales).
Un fallo conocido sigue siendo explotable mucho tiempo. El plazo entre la publicación de un parche y su despliegue es la verdadera ventana de ataque. Seguir las CVE de sus equipos y plugins es la medida más rentable.
Un incidente sin robo de datos puede salir muy caro. Aquí la pérdida es material: stock destruido, tiendas perturbadas. Según la prensa, los distribuidores asumen estas pérdidas sin cobertura de seguro. Compruebe qué cubre realmente su póliza cibernética.
NIS2. Si su entidad pertenece a los sectores afectados (incluida la distribución alimentaria según su tamaño), revise sus obligaciones de gestión de riesgos y notificación de incidentes.

🔍 ¿Cuál es su superficie de ataque expuesta?

Nuestra auditoría analiza lo que un atacante ve de su sitio web: versiones expuestas, cabeceras de seguridad ausentes, servicios accesibles y señales de compromiso, con un informe y un plan de acción priorizado enviado por email.

🔍 Auditar mi sitio ahora

Fuentes

Artículo publicado el 13 de octubre de 2026 a partir de información de prensa aún provisional. Última verificación: 13 de octubre de 2026.