Hackers vuelven a atacar los congeladores de supermercados europeos: siete países, el mismo método y una alerta mayor

Una segunda oleada de ciberataques coordinados golpeó la infraestructura de refrigeración de comercios de alimentos en Europa, donde los hackers tomaron de forma remota el control de sistemas de enfriamiento en establecimientos de Suecia, Países Bajos, Bélgica, Irlanda, Luxemburgo, Estonia, Portugal y posiblemente Finlandia. Las ofensivas obligaron a las cadenas a retirar productos perecederos y provocaron alertas de emergencia de organismos nacionales de ciberseguridad. Los incidentes ocurrieron durante la noche del domingo al lunes, informó NBC News, y las temperaturas de congeladores y neveras subieron abruptamente en decenas de locales antes de que el personal de la mañana pudiera intervenir.

Una repetición del método usado en Francia

La técnica fue tomada directamente del ataque que las autoridades francesas habían calificado semanas antes como "sin precedentes" contra el sector minorista. Durante la noche del 11 al 12 de octubre, los hackers tomaron el control remoto de los sistemas de gestión de refrigeración de establecimientos de Intermarché, Coopérative U, Carrefour, E.Leclerc y Monoprix. Elevaron las temperaturas hasta 50 grados Celsius —122 grados Fahrenheit— en una operación que afectó a cerca de 700 locales en todo el país. Varios establecimientos sufrieron incendios, se destruyeron grandes cantidades de alimentos y las pérdidas económicas alcanzaron decenas de millones de euros en una sola noche. El primer ministro francés, Sébastien Lecornu, encargó a la agencia nacional de ciberseguridad ANSSI dirigir la investigación, que poco después se amplió para incluir a socios europeos.

El ataque de noviembre siguió la misma arquitectura. Los agresores accedieron de forma remota a los controladores de refrigeración y obligaron a los evaporadores de las unidades a entrar en un ciclo prolongado de descongelamiento, lo que permitió que las temperaturas internas subieran sin control mientras la mercancía se dañaba.

Qué cadenas fueron afectadas

En Suecia, ICA confirmó que un número limitado de sus tiendas sufrió interrupciones nocturnas en los sistemas de refrigeración y congelamiento. Al menos un establecimiento informó públicamente que sus congeladores habían sido configurados a 50 °C. La cadena rival Coop reportó que siete de sus 800 tiendas fueron afectadas por lo que describió como una manipulación no autorizada de los controles de refrigeración, y señaló que Danfoss estaba entre sus proveedores. En Bélgica, Carrefour dijo que 15 de sus más de 700 locales resultaron afectados. Un portavoz de la compañía declaró a BleepingComputer que el ataque era real, aunque su efecto fue "muy limitado". Colruyt Group, que opera tiendas Spar en Bélgica bajo un acuerdo de franquicia, informó que los sistemas de cinco comercios independientes fueron atacados.

El gigante minorista belga-neerlandés Ahold Delhaize dijo que los sistemas de refrigeración de varias decenas de sus tiendas —principalmente en Bélgica y Luxemburgo— fueron interrumpidos por lo que calificó como un incidente informático, y añadió que tomó medidas inmediatas para mantener los establecimientos en funcionamiento. En Irlanda, el operador de supermercados Musgrave, propietario de SuperValu, identificó 13 de sus 223 tiendas como afectadas por un presunto ciberataque vinculado a un único modelo de sistema de refrigeración, por lo que retiró de las estanterías productos refrigerados y congelados. La red de Intermarché en Portugal reportó que siete locales fueron comprometidos en un ataque que aparentemente apuntó contra un contratista externo encargado de gestionar los sistemas de enfriamiento. En Países Bajos, Danfoss confirmó que los sistemas de refrigeración de al menos 17 negocios fueron atacados, en su mayoría carnicerías y pequeñas tiendas de alimentos independientes. Las principales cadenas de supermercados neerlandesas no reportaron impactos.

Cómo se ejecutó el ataque

Stephan Moelans, director ejecutivo de la empresa belga de refrigeración Sabcobel, que administra la infraestructura de enfriamiento de la cadena Delhaize, confirmó a medios belgas que los atacantes cambiaron deliberadamente los evaporadores de las unidades al modo de descongelamiento forzado. Cuando esta configuración se activa con productos en el interior, las temperaturas suben rápidamente hasta niveles peligrosos. En Estonia, el proveedor de tecnología de refrigeración Kitman Coldtech dijo a la radiodifusora pública ERR que un atacante había accedido al sistema de un cliente y elevado las temperaturas a 50 °C. La empresa confirmó que se trataba de modelos antiguos de Danfoss.

Una advertencia que no fue atendida

La superficie de ataque estaba documentada desde antes de que fuera manipulado un solo congelador. El 9 de agosto de 2026, investigadores de la firma de ciberseguridad Claroty revelaron públicamente vulnerabilidades críticas en dos plataformas de control de refrigeración ampliamente utilizadas: Danfoss AK-SM 800A y Copeland XWEB Pro. Entre las fallas había un mecanismo oculto para evadir la autenticación, que permitía a atacantes no autenticados tomar el control remoto de las unidades afectadas. The Hacker News informó que ambos fabricantes publicaron parches de firmware: Danfoss, con la versión R4.3.1, y Copeland, con el firmware 1.13. Sin embargo, un gran número de operadores nunca los instaló. Más grave aún, muchas de las unidades comprometidas en los ataques eran modelos antiguos y descontinuados: el Danfoss AK-SM 800, fuera de soporte desde 2021, y el AK-SC355, retirado en 2016, que ya no pueden recibir actualizaciones de seguridad.

La función de acceso remoto incorporada en estos sistemas —diseñada para permitir que los contratistas de refrigeración hicieran mantenimiento desde fuera de las instalaciones— se convirtió en el principal punto de falla. La firma de inteligencia sobre internet Censys identificó más de 1.000 interfaces de gestión Danfoss StoreView accesibles directamente desde internet en todo el mundo. Francia, Bélgica, Países Bajos y Suecia estaban entre los países más expuestos. Expertos señalaron que el ataque requiere capacidades técnicas relativamente modestas cuando los controles quedan accesibles desde la red más amplia de una tienda, lo que lo convierte en una operación de baja dificultad y alto impacto para agresores motivados.

Investigaciones y respuesta de la industria

La Fiscalía Federal de Bélgica abrió una investigación penal formal tras los incidentes de noviembre. La ANSSI de Francia, que compartía información de inteligencia con sus homólogas europeas desde el ataque de octubre, ya había conseguido que en ese país se iniciara una investigación judicial. El Centro de Ciberseguridad de Bélgica confirmó que conocía la situación, aunque un portavoz admitió que tal vez "nunca sea posible" identificar a los responsables. Los organismos nacionales de ciberseguridad de los países afectados coordinan actualmente su respuesta.

Profesionales de seguridad instan a los minoristas a auditar de inmediato qué dispositivos de tecnología operativa están conectados a redes externas, aislar los sistemas de gestión de refrigeración del acceso público a internet y reemplazar cualquier controlador de Danfoss o Copeland fuera de servicio que no pueda recibir parches. También se examina como un vector adicional de riesgo el uso de credenciales compartidas para el acceso remoto por parte de contratistas de mantenimiento externos. Los dos ataques han llevado a los responsables de formular políticas en Europa a acelerar las conversaciones sobre normas obligatorias de ciberseguridad para la infraestructura de suministro de alimentos.