En la noche del 1 al 2 de noviembre, los freezers y las unidades de refrigeración de al menos 11 países europeos dispararon sus temperaturas — en algunos casos hasta los 50 °C. El ataque no fue aislado: tres semanas antes, cerca de 700 supermercados franceses ya habían sido alcanzados. Esta vez, el radio de explosión se extendió a Bélgica, Suecia, Finlandia, Irlanda, Italia, Luxemburgo, Países Bajos, Portugal, Alemania, Estonia e incluso el Reino Unido. En al menos un punto de la cadena de suministro británica, las temperaturas alcanzaron los 100 °C. La escala es enorme, pero la técnica es sorprendentemente simple: interfaces de administración web expuestas en internet, credenciales de fábrica y firmware desactualizado.
Lo que hizo el caso particularmente preocupante no fue la sofisticación del ataque — se puede resumir en una línea de jerga técnica como "explotación de credenciales predeterminadas en interfaces de gestión IoT/OT" —, sino la exposición masiva de equipos que nadie imagina que sean vulnerables. Los controladores de refrigeración conectados a internet no son solo "neveras inteligentes"; son dispositivos de control industrial que, cuando se comprometen, tienen impacto físico directo: comida estropeada, pérdidas que se cuentan en decenas de millones de euros y, en un caso, alarmas activadas en bancos de sangre franceses.
Dos oleadas, un patrón
La primera oleada golpeó en las primeras horas del 11 al 12 de octubre, alcanzando aproximadamente 700 supermercados en Francia. El CERT-FR emitió la alerta CERTFR-2026-ALE-012 el 12 de octubre, identificando cuatro familias de productos: Danfoss AK-SM serie, Danfoss AK-SC serie, Copeland XWEB y Dixell XWEB. Danfoss confirmó que los dispositivos más afectados eran modelos antiguos AK-SM 800 y AK-SC 355 — ambos en end of life, sin soporte de firmware desde 2016 y 2021, respectivamente.
La segunda oleada llegó el 2 de noviembre y se extendió por al menos 10 países adicionales. Esta vez, además de los supermercados, tres instalaciones del EFS (Établissement français du sang) tuvieron sus controladores de refrigeración comprometidos a través de un proveedor de equipos. Los puntos de temperatura en cámaras que operan a −30 °C se elevaron a 110 °C. Por suerte, los sistemas de alarma respondieron a tiempo: ningún producto sanguíneo ni muestra se vio comprometido. Pero el incidente ilustró cómo el mismo vector de ataque puede escalar desde supermercados hasta bancos de plasma.
Reconocimiento previo
Decir que el ataque fue "simple" sería reduccionista. La firma de seguridad Lupovis observó, a través de honeypots que replican sistemas de clientes, una ola de reconocimiento entre el 20 y 30 de octubre: más de 276 intentos de autenticación provenientes de 91 actores de amenaza distintos, probando credenciales predeterminadas en controladores Danfoss. La actividad culminó el 26 de octubre y luego se detuvo abruptamente — un patrón que especialistas en threat intelligence asocian con operaciones coordinadas, posiblemente involucrando state actors, que prueban la superficie de ataque antes del golpe principal.
George Nott, editor de tecnología de The Grocer, dijo a Euronews que muchos de los sistemas afectados eran accesibles con credenciales de fábrica como "Username: Supervisor" y "Password: 12345". Kumar Sokka, CEO de Acre Security, añadió: "El freezer no es especial. Es solo el ejemplo más visible de una categoría mucho más grande". El mismo controlador que calienta freezers también acciona puertas, cámaras de acceso, alarmas, iluminación y calefacción en cualquier establecimiento.
Lo que falta
Hasta la fecha, ningún grupo ha asumido oficialmente la responsabilidad de los ataques. Dos grupos hacktivistas prorrusos — NoName057(16) y Z-Pentest — reivindicaron la autoría en publicaciones de Telegram el 3 de noviembre, pero sus alegatos permanecen sin verificar. La CISA publicó una alerta el 5 de noviembre, describiendo los vectores como "bypass de autenticación, inyección arbitraria de código y configuraciones débiles". Ningún CVE ha sido oficialmente vinculado a los ataques de noviembre, a pesar de ya existir CVEs publicados para vulnerabilidades correlativas: CVE-2025-41450 (bypass de autenticación en el Danfoss AK-SM 8xxA, corregido en R4.2) y CVE-2025-41451 (inyección de comandos post-autenticación, corregida en R4.3.1).
La ausencia de un CVE oficial para los ataques de noviembre es un síntoma de un problema más amplio: muchos controladores afectados están en end of life y no reciben parches. Un factory reset en un dispositivo aún expuesto a internet no basta — permanecerá vulnerable. La recomendación de la CCB (Bélgica) es clara: actualizar el firmware, cambiar credenciales predeterminadas, establecer nivel de seguridad en "Strict" y, en equipos sin parche disponible, aislar la interfaz de gestión de la red.
¿Qué viene después?
El NCSC del Reino Unido ya advirtió que el país sufrirá un ataque cibernético con IA contra infraestructuras críticas nacionales en los próximos dos años. Pero no se necesita IA para calentar freezers: las credenciales predeterminadas, las interfaces expuestas y el firmware desactualizado hacen el trabajo. El problema no es falta de regulación — la directiva NIS2 de la UE exige a las organizaciones gestionar riesgos de sus sistemas de red e información, incluyendo medidas de seguridad y gestión de activos. El problema es que las organizaciones a menudo tratan el mantenimiento como mantenimiento, ignorando que los controladores de refrigeración conectados a internet son, en efecto, sistemas operativos de tecnología industrial (OT) accesibles remotamente.
Cuando llegue la próxima oleada — y la CCB recomienda mantener monitoreo activo — probablemente no será contra freezers. Será contra cualquier controlador IoT/OT que alguien, en algún momento, dejó expuesto a internet con contraseñas de fábrica. Y la pregunta es si la cadena fría europea, ya bajo presión por la inflación alimentaria y el cambio climático, tiene capacidad logística para sostener una campaña cibernética tan visible y físicamente devastadora.
Fuentes: Palo Alto Networks Unit 42, Euronews, BBC News
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
