Ciberseguridad · Aviso

Danfoss AK-SM / AK-SC (y Copeland/Dixell XWEB) · Toma remota de controladores de frío expuestos

Unos atacantes aún sin identificar tomaron de madrugada el control de los controladores de frío de cientos de supermercados franceses y forzaron ciclos de desescarche que llevaron las vitrinas a unos 50 °C. Según la ANSSI, la vía de entrada no fue una vulnerabilidad sofisticada, sino paneles expuestos a Internet y contraseñas débiles.

Publicado 28 octubre 2026 Lectura 9 min Ref. Sin CVE CVSS — Estado Explotación activa

Resumen

En la noche del 11 al 12 de octubre de 2026, alguien manipuló a distancia los controladores de refrigeración Danfoss de entre 250 y 700 supermercados franceses, según la fuente. Entre ellos había tiendas de Intermarché/Netto, Coopérative U, Carrefour, Monoprix y E.Leclerc. Activaron el desescarche y las vitrinas llegaron a unos 50 °C durante horas, lo que obligó a tirar el género.

El CERT-FR ha publicado la alerta CERTFR-2026-ALE-012 sobre equipos Danfoss AK-SM y AK-SC y sobre supervisores Copeland y Dixell XWEB. Danfoss atribuye el problema sobre todo a equipos en fin de vida o sin actualizar. El director de la ANSSI descarta que se explotaran las vulnerabilidades ya documentadas y señala la exposición a Internet y las contraseñas débiles. No hay ningún CVE asignado al incidente, nadie lo ha reivindicado y la Fiscalía de París investiga.

Materias: Ciberseguridad industrial (OT), Infraestructuras y cadena alimentaria, Incidentes de seguridad, Gestión de credenciales, Responsabilidad y seguros, NIS2

Durante años hemos hablado de los riesgos de conectar a Internet «cosas» que nunca se pensaron para estar ahí. La madrugada del 12 de octubre de 2026, esa advertencia se tradujo en vitrinas frigoríficas a 50 °C y toneladas de comida a la basura en cientos de supermercados franceses. Lo llamativo es la sencillez del ataque, más que su sofisticación. Según la agencia francesa de ciberseguridad (ANSSI), bastó con encontrar paneles de control abiertos en Internet y protegidos con contraseñas débiles.

Descripción

Qué ha pasado

Durante la noche del domingo 11 al lunes 12 de octubre de 2026, unos atacantes aún no identificados accedieron a distancia a los controladores de refrigeración de numerosos supermercados en Francia. Un controlador de refrigeración es el pequeño ordenador que gobierna los muebles frigoríficos y congeladores de la tienda: temperaturas, alarmas y ciclos de desescarche. Los atacantes cambiaron sus parámetros para forzar el desescarche y subir la consigna de temperatura, que según franceinfo se fijó en 50 °C. El desescarche es la fase en la que el equipo se calienta a propósito para fundir el hielo acumulado. Al tratarse de una función normal del aparato, en muchos casos no saltaron las alarmas, y de madrugada no había personal en las tiendas.

A quién ha afectado

Cadenas citadas: Intermarché y Netto (grupo Les Mousquetaires), que son las más afectadas, además de Coopérative U (Système U/Super U), Carrefour (Carrefour Market), Monoprix y E.Leclerc.
Número de tiendas: las cifras varían según la fuente y no hay un recuento oficial. BFM TV, citado por BleepingComputer, habla de 250 a 350. France Inter atribuye 200 a 300 solo a Intermarché. The Guardian, recogido por Wikipedia, llega a hablar de hasta 700. Intermarché ha dicho que no dispone de una lista concreta de tiendas afectadas.
Pérdidas: sin cifra oficial. Las estimaciones de prensa van de «varios millones» a «decenas de millones» de euros.

Qué equipos están implicados

Danfoss AK-SM 800, gestor de sistema, en fin de vida desde mayo de 2021, y Danfoss AK-SC 355, retirado en 2016. Según Danfoss, la mayoría de los equipos afectados son de estos modelos y ya no reciben actualizaciones de software ni de seguridad.
Danfoss AK-SM 800A, la gama vigente, en algunos casos. Según Danfoss, eran equipos con firmware (el software interno del aparato) desactualizado.
El 13 de octubre el CERT-FR amplió su alerta a los supervisores Copeland XWEB y Dixell XWEB, de otro fabricante. No está oficialmente detallado qué parte de las compromisiones corresponde a cada marca.

Qué no está confirmado

La técnica exacta de acceso no se ha publicado oficialmente.
Nadie ha reivindicado el ataque y no consta petición de rescate. No hay atribución oficial, y este aviso no especula sobre ella.
La Fiscalía de París menciona posibles incendios asociados. No constan detalles verificados.
Ahold Delhaize (Albert Heijn) sufrió un incidente esos mismos días, pero no hay pruebas que lo relacionen con este.

Mecánica

El vector: paneles OT abiertos a Internet

Los controladores afectados tienen una interfaz web de gestión: una página a la que se entra con usuario y contraseña desde un navegador para configurar el equipo. Es habitual que las empresas de mantenimiento de frío las dejen accesibles desde Internet para trabajar a distancia. Esto es OT (tecnología operacional), es decir, sistemas que actúan sobre el mundo físico, y no TI de oficina. Exponer esa interfaz a Internet va contra las buenas prácticas, como recuerda el propio CERT-FR.

Encontrar estos paneles es trivial con buscadores de dispositivos conectados como Shodan o Censys. Las cifras publicadas son estas:

Predicta Lab contó 2.752 sistemas Danfoss expuestos, 1.590 de ellos en Francia.
Shodan muestra más de 4.500 dispositivos Danfoss accesibles.
Claroty contó 2.765 interfaces AK-SM 800A en un barrido con Censys.

Lo que dice la ANSSI: credenciales débiles, no una vulnerabilidad nueva

El director general de la ANSSI, Vincent Strubel, compareció ante la Comisión de Asuntos Exteriores y Defensa del Senado francés. Allí descartó que se hubieran usado las vulnerabilidades ya documentadas por investigadores en los equipos Danfoss: «Ce ne sont pas ces vulnérabilités là qui ont été exploitées» («No son esas las vulnerabilidades que se explotaron»). Describió fallos básicos: equipos expuestos directamente a Internet, administración sin protección específica y contraseñas débiles. En las primeras horas, franceinfo había publicado que la ANSSI «identificó una vulnerabilidad» en un software de Danfoss y avisó al fabricante. La declaración posterior ante el Senado es más precisa y es la que debe prevalecer.

Varios medios, entre ellos The Guardian, afirman que muchos equipos aceptaban el usuario admin con la fecha del día como contraseña. Reuters, por su parte, indica que el mecanismo exacto no se ha hecho público. Por eso conviene tratar ese detalle como información de prensa no confirmada oficialmente.

Contexto: las vulnerabilidades de Claroty (no vinculadas al incidente)

Algunas noticias, incluida la de partida, relacionan el ataque con tres fallos que el equipo Team82 de Claroty descubrió en la serie Danfoss AK-SM 8xxA. Los publicó en su blog el 9 de agosto de 2026, y Danfoss ya los había comunicado en 2025. Se resumen aquí para informar, sin que conste su uso en este incidente:

CVE-2025-41450 (CWE-287, autenticación indebida; CVSS v3 8,2 según Claroty). Es un «código del día», un acceso oculto que acepta una contraseña derivada de la fecha del equipo. Permite generar informes web con IP internas, nombres de tienda y usuarios. Corregido a partir de la versión 4.2.
CVE-2025-41451 (CWE-77, inyección de comandos; 7,6). Requiere autenticación. Un campo de la configuración del correo de alarmas se pasa sin filtrar al sistema operativo y permite ejecutar código. Corregido en R4.3.1.
CVE-2025-41452 (CWE-15, control externo de la configuración; 5,4). Requiere autenticación. Permite subir directivas de configuración del servidor web Nginx y provocar una denegación de servicio. Corregido en R4.3.1.

Estos CVE no afectan a los AK-SM 800 ni AK-SC 355 antiguos, que son la mayoría de los equipos atacados. Esos modelos, simplemente, ya no reciben parches.

Respuesta del creador

Danfoss

Danfoss reconoce incidentes en Francia que afectan a «un número limitado de sistemas de gestión de refrigeración» y dice tomarlos «muy en serio». Según la empresa, la mayoría de los equipos afectados son productos obsoletos (AK-SM 800 y AK-SC 355) sin actualizaciones de software ni de seguridad. Los AK-SM 800A afectados tenían firmware desactualizado. Danfoss afirma que lleva tiempo recomendando mantener los sistemas actualizados, migrar los antiguos, reforzar la protección de red y eliminar la exposición directa a Internet.

Autoridades francesas

CERT-FR / ANSSI: publicó la alerta CERTFR-2026-ALE-012 el 12 de octubre de 2026, la amplió a Copeland y Dixell XWEB el día 13 y actualizó sus recomendaciones el 16. En ella confirma «numerosas compromisiones» y advierte de que las campañas «probablemente siguen en curso». La ANSSI también está identificando a otras empresas afectadas para avisarlas.
Gobierno: el primer ministro, Sébastien Lecornu, encargó la investigación a la ANSSI y pidió coordinarse con otros países europeos.
Justicia: la Fiscalía de París abrió una investigación por un ciberataque a gran escala y la encargó a la OFAC, la oficina policial contra el cibercrimen. Busca identificar a las víctimas y relacionar el ataque con las pérdidas de alimentos y con posibles incendios.
UE: el comisario de Agricultura y Alimentación, Christophe Hansen, condenó el ataque.

Distribución

Intermarché habla de un ataque contra «un proveedor de servicios que gestiona los sistemas de refrigeración». Coopérative U confirmó tiendas afectadas y exige una investigación. A las tiendas se les indicó que vaciaran los muebles, levantaran acta notarial (constat d'huissier) y destruyeran el producto. Este último punto es relevante para seguros y reclamaciones.

Parches y mitigaciones

¿Hay parche?

Para la causa principal señalada por la ANSSI (exposición a Internet y contraseñas débiles) no hay un parche que instalar: se resuelve con configuración y arquitectura de red. Además, los AK-SM 800 y AK-SC 355 están en fin de vida y no recibirán correcciones. Para la gama vigente AK-SM 800A, Danfoss tiene publicado firmware corregido: 4.2 o superior para CVE-2025-41450 y R4.3.1 o superior para CVE-2025-41451 y CVE-2025-41452. Lo recomendable es instalar la versión más reciente disponible; según la prensa, a 13 de octubre era el paquete 5.3.x.

Qué hacer ya (según el CERT-FR)

Inventariar todos los controladores y supervisores Danfoss AK-SM/AK-SC y Copeland/Dixell XWEB, incluidos los que gestiona la empresa de mantenimiento.
Retirar su exposición a Internet, y la de cualquier equipo con IP pública. Antes de cortar la conexión de telemetría con el instalador, conviene revisar la póliza de seguro.
Revisar toda la configuración, en especial la programación de desescarches y las consignas de temperatura.
Restablecer el acceso remoto solo por VPN (una conexión cifrada y autenticada) o por una red protegida. Filtrar por IP las conexiones del instalador en el cortafuegos sirve solo como medida de urgencia, no como solución definitiva.
Aplicar las buenas prácticas del fabricante. En Danfoss: actualizar el firmware, poner el nivel de seguridad en Strict y asegurarse de haber cambiado las contraseñas por defecto. Dixell ha publicado una guía de uso seguro de los XWEB.
Si el equipo está comprometido: aislarlo de Internet, reiniciarlo o devolverlo a valores de fábrica y reconfigurarlo antes de ponerlo en servicio. Ojo: según el CERT-FR, restaurar a fábrica elimina la persistencia del atacante, pero no evita que vuelva a entrar si el equipo sigue expuesto.
Planificar la sustitución de los equipos en fin de vida. Mantenerlos expuestos supone, en palabras del CERT-FR, un riesgo «muy elevado» de compromiso.

Medidas complementarias

Separar las redes de TI y OT (segmentación) y registrar quién cambia qué en la configuración, y cuándo.
Configurar alertas específicas para desescarches fuera de horario y subidas anómalas de temperatura, y no depender solo de las alarmas internas del equipo.
Tener procedimientos de contingencia para la cadena de frío y conservar las pruebas (registros, actas) de cara a seguros, reclamaciones al proveedor y, en su caso, a las obligaciones de notificación de incidentes. En España, la notificación es al INCIBE-CERT o al CCN-CERT, según el sujeto obligado, y en el marco de NIS2 si la entidad entra en su ámbito.