Ciberataque a refrigeradores franceses: software obsoleto y vulnerabilidades sin parches

La madrugada del 12 de octubre de 2026, alguien tomó el control de los sistemas de refrigeración en cientos de supermercados franceses y los encendió. No apagó los refrigeradores. Los calentó. Durante seis horas, los equipos de las cadenas Intermarché, Carrefour, Coopérative U y Monoprix alcanzaron los 50 grados Celsius, una temperatura lo suficientemente alta para arruinar todo lo que guardaban adentro. Aproximadamente 150 tiendas Intermarché fueron afectadas, junto con 80 de Carrefour, alrededor de 25 de Monoprix y varios establecimientos de Coopérative U. La Fiscalía de París abrió una investigación. También hubo reportes de incendios.

El ataque funcionó porque los supermercados modernos no controlan sus refrigeradores de forma individual. Utilizan sistemas centralizados que permiten a un técnico, desde cualquier lugar con acceso a internet, supervisar docenas o cientos de equipos a la vez. Puede revisar temperaturas, recibir alertas si algo falla, y ejecutar operaciones de mantenimiento sin estar físicamente presente. Una de esas operaciones es el descongelamiento. Cuando el hielo se acumula en los componentes de un refrigerador, el sistema puede activar temporalmente mecanismos de calentamiento para eliminarlo, y después reanudar la refrigeración normal. Los atacantes encontraron esa función y la dejaron encendida.

Los equipos comprometidos eran controladores Danfoss, un fabricante danés. Danfoss había advertido públicamente en octubre de 2025 que varios de sus modelos habían llegado al final de su vida útil. El AK-SM 800 y el AK-SC 355 llevaban años fuera de servicio. El AK-SM 800 había sido declarado obsoleto desde mayo de 2021. Cuando Danfoss dejó de ofrecer actualizaciones de seguridad para estos dispositivos, las vulnerabilidades que se descubrieran después permanecerían sin corregirse. La empresa recomendó a sus clientes que reemplazaran los equipos antiguos, pero muchos supermercados no lo hicieron.

En septiembre de 2025, Danfoss había bloqueado los asistentes de configuración del AK-SM 800 en su plataforma de administración web porque producían resultados impredecibles. La empresa explicó que corregir esos problemas requeriría modificar un dispositivo que ya no recibía servicio técnico. Ofreció una versión más nueva, el AK-SM 800A, que sí seguía recibiendo actualizaciones. Pero los supermercados que usaban los modelos antiguos quedaron atrapados: sus equipos eran vulnerables y no había forma de repararlos.

En agosto de 2026, dos meses antes del ataque, la empresa de ciberseguridad Claroty publicó una investigación que documentaba tres vulnerabilidades críticas en el AK-SM 800A, el modelo más nuevo. La primera permitía eludir la autenticación normal. Los investigadores descubrieron una función oculta que generaba contraseñas basadas en la fecha interna del dispositivo. Si reproducías el algoritmo, obtenías acceso administrativo sin necesidad de conocer las credenciales reales. La segunda vulnerabilidad permitía ejecutar comandos en el sistema operativo a través de campos de configuración de notificaciones por correo. La tercera interrumpía la disponibilidad de la interfaz web. Danfoss había publicado correcciones para estas vulnerabilidades durante 2025, pero solo si los clientes actualizaban su software. Los equipos antiguos nunca recibirían esos parches.

Los atacantes probablemente aprovecharon que muchas interfaces de administración de Danfoss estaban expuestas directamente a internet. Claroty había utilizado buscadores como Shodan y Censys para localizar estas interfaces en diferentes países. Estaban ahí, visibles, esperando. Intermarché informó que el incidente aparentemente involucraba a un proveedor encargado de administrar los sistemas frigoríficos de sus establecimientos. Eso significaba que una sola infraestructura compartida podría haber sido el punto de entrada que permitió comprometer a cientos de tiendas simultáneamente.

Thierry Cotillard, presidente de Intermarché, estimó que las pérdidas nacionales podrían ascender a decenas de millones de euros en un solo día. Eso incluía no solo la mercancía destruida, sino también el costo de restablecer las instalaciones. La Agencia Nacional de Seguridad de los Sistemas de Información de Francia, la ANSSI, fue instruida por el primer ministro Sébastien Lecornu para investigar si otras empresas utilizaban sistemas expuestos. Al cierre del 12 de octubre, nadie había identificado públicamente a los responsables ni había quedado claro exactamente cómo habían entrado en los sistemas. Lo que sí estaba claro era que cientos de supermercados franceses habían dejado equipos obsoletos conectados a internet sin protección, y alguien había aprovechado eso.