Cuando la cadena de frío es un activo OT. ¿Qué sabemos? y que medidas aplicar

Qué ha pasado

En la noche del 11 al 12 de octubre de 2026, cientos de supermercados en Francia amanecieron con sus vitrinas y congeladores a 50 °C. Los atacantes accedieron en remoto a los controladores de frío y forzaron un ciclo de desescarche que, según Groupement Mousquetaires, se mantuvo unas seis horas.

El ataque afectó a varias de las principales cadenas de distribución. Las tiendas tuvieron que retirar todo el producto fresco y congelado, y la fiscalía de París investiga también varios incendios vinculados al incidente.

Las pérdidas se estiman en millones de euros. La ANSSI, la agencia nacional de ciberseguridad francesa, coordina la respuesta con sus homólogos europeos porque otros países podrían estar expuestos.

Qué se sabe y qué no

A día de hoy, nadie ha confirmado cómo entraron los atacantes. Lo que sí está sobre la mesa es esto:

• Los sistemas afectados son controladores de refrigeración del fabricante danés Danfoss. El propio fabricante ha indicado que las unidades comprometidas tenían firmware desactualizado.
  
• Según fuentes del Gobierno francés, la ANSSI ha identificado una vulnerabilidad en el software del fabricante.
• En agosto, Claroty Team82 publicó varias vulnerabilidades en el gestor AK-SM 800A, entre ellas fallos que permitían saltarse la autenticación. Hay firmware corregido disponible, aunque no se ha confirmado que estos fallos sean los explotados.
• Investigadores independientes localizaron miles de estos sistemas accesibles desde internet, más de 1.500 de ellos en Francia.

Con esos datos, hay dos vías de entrada que encajan:

1. Explotación directa de equipos expuestos. Localizar las consolas accesibles desde internet y aprovechar una vulnerabilidad en las que no estaban actualizadas. Que cadenas distintas cayeran la misma noche apunta a algo automatizado.
2. Acceso a través del proveedor o mantenedor. Varias cadenas han señalado que estos sistemas los gestiona un tercero. Un acceso remoto de mantenimiento comprometido explicaría igual de bien el alcance.

La diferencia importa, porque cada vía pide medidas distintas. Por eso las recomendaciones de este artículo cubren ambas.

Por qué es un caso OT de manual

El controlador de frío de un supermercado no suele aparecer en ningún inventario de ciberseguridad. Funciona, nadie lo toca y lo gestiona un tercero. Ese es justo el perfil de activo que vemos una y otra vez en entornos industriales.

El ataque reúne tres patrones habituales:

• Conectividad pensada para el mantenimiento, no para la seguridad. La consola se deja accesible desde fuera para que el técnico ajuste parámetros sin desplazarse. Cómodo, pero también visible para cualquiera.
• Firmware que no se actualiza. En ciberseguridad el parcheo se aplaza porque "si funciona, no se toca". Aquí había correcciones publicadas semanas antes del ataque.
• Funciones legítimas usadas para hacer daño. No hizo falta romper nada: bastó con lanzar un desescarche, que el equipo hace a diario, con un valor que nunca debería aceptar.

El resultado es lo que diferencia un incidente OT de uno IT: el impacto es físico. Producto destruido, incendios y una parte de la cadena alimentaria interrumpida.

Recomendaciones

La mayoría de estas medidas no requieren grandes inversiones, sino saber qué hay conectado y quién accede.

1. Comprobar la exposición. Verificar que la interfaz de gestión del sistema de frío no es accesible desde internet. Es una comprobación rápida y debería ser lo primero.
2. Segmentar la red de control. Las consolas de refrigeración deben estar en una red propia, separada de la corporativa y protegida por un firewall con reglas mínimas.
3. Controlar el acceso remoto de terceros. Acceso solo a través de VPN actualizada, con MFA, cuentas nominales y, si es posible, habilitado bajo demanda en lugar de permanente. Una pregunta sencilla al mantenedor ayuda: ¿cómo te conectas? Si la respuesta es "directamente por la IP", hay trabajo pendiente.
4. Mantener el firmware al día. Planificar las actualizaciones del fabricante y migrar los equipos que ya no reciben soporte.
5. Limitar lo que el equipo acepta. Restringir en el propio controlador los rangos de consigna y los parámetros de desescarche, para que un valor como 50 °C no sea posible.
6. Vigilar con una segunda opinión. Alertas ante cambios de configuración o ciclos fuera de horario, y una alarma de temperatura independiente del controlador. Si alguien toca los valores, algo tiene que saltar.
   

Más allá de los supermercados

Los mismos controladores, o equivalentes de otros fabricantes, gestionan cámaras frigoríficas en almacenes logísticos, hospitales, laboratorios y la industria alimentaria. Cualquier organización con frío conectado debería hacerse hoy la misma pregunta: ¿sabemos qué equipos tenemos accesibles desde fuera y quién entra en ellos?

La investigación sigue abierta y actualizaremos este artículo si se confirma la vía de entrada.

Fuentes

• BleepingComputer: Cyberattack shuts down refrigerators at French supermarkets
• Reuters vía TimesLIVE: Hackers heat French supermarket fridges
• The Next Web: Hackers defrost fridges at hundreds of French supermarkets
• Infosecurity Magazine: Major French Supermarket Chains Hit by Cyber-Attack
• Cybernews: Hackers turn up supermarket fridges to 50°C