Controladores de refrigeración Danfoss secuestrados en cientos de supermercados franceses, forzando un desescarche continuo y pérdidas masivas de alimentos

Durante la noche del 11 al 12 de octubre de 2026, los atacantes tomaron el control remoto de controladores de supervisión de refrigeración Danfoss en varios cientos de supermercados franceses y forzaron vitrinas, congeladores y cámaras frigoríficas a un ciclo de desescarche continuo, con las consignas elevadas a unos 50 °C. Las primeras manipulaciones quedaron registradas poco después de la medianoche; el Intermarché de Grand-Couronne (Seine-Maritime) fechó el cambio en su propio sistema a las 4:44 de la madrugada. El personal que llegó el lunes por la mañana encontró congeladores que normalmente se mantienen a -18 °C marcando temperaturas positivas, una pantalla Danfoss que todavía mostraba 26 °C y, en el Intermarché de La Haye (Manche), muebles frigoríficos deformados por un calor que, según los informes, alcanzó los 80 °C. La Fiscalía de París declaró que el ataque causó pérdidas de alimentos e incendios; en una tienda de Gironda, una cámara frigorífica que alcanzó los 50 °C activó el sistema de rociadores. Le Monde informó de que los atacantes también alargaron la duración del desescarche de una a ocho horas, lo que retrasó las alarmas de temperatura, y varios empleados de tienda contaron al sitio especializado Je Bosse en Grande Distribution que la función de alertas había sido desactivada, por lo que los técnicos frigoristas de guardia nunca recibieron aviso. El equipo comprometido consistía en gestores de sistema Danfoss ADAP-KOOL: el AK-SM 800 (declarado en fin de vida útil en mayo de 2021), el AK-SC 355 (retirado en 2016) y unidades AK-SM 800A de generación actual con firmware desactualizado. Danfoss dijo a AFP que la mayoría de las unidades afectadas eran productos heredados que ya no reciben actualizaciones de software ni de seguridad. El AK-SM 800A había sido objeto del aviso ICSA-25-140-03 de CISA, que cubre la CVE-2025-41450, una omisión de autenticación mediante un inicio de sesión de soporte oculto con un "código del día" derivado de la fecha (CVSS v3.1 8.2, corregida en la versión R4.2 en marzo de 2025), junto con la CVE-2025-41451, una inyección de comandos posterior a la autenticación en los ajustes de alarma por correo, y la CVE-2025-41452, una inyección de configuración de nginx, ambas corregidas en la R4.3.1 en agosto de 2025. Claroty Team82 publicó la investigación subyacente como "Freeze the Controller, Defrost the Food" (congela el controlador, descongela los alimentos) el 9 de agosto de 2026 y contabilizó 2.765 interfaces web de AK-SM 800A accesibles desde Internet. El 12 de octubre, Predicta Lab contabilizó 2.752 sistemas Danfoss expuestos, 1.590 de ellos en Francia, y LeMagIT encontró cerca de 3.000 direcciones IP francesas que servían la consola Danfoss StoreView. Una nota técnica de Danfoss de octubre de 2025 ya había descrito ataques en 2022 contra 16 supermercados en Rusia y 40 tiendas en Israel que operaban unidades AK-SM 800 sin protección de cortafuegos ni VPN. Ni Danfoss, ni ANSSI ni la Fiscalía han confirmado qué vulnerabilidad o vía de acceso se utilizó, y nada público indica que la propia infraestructura alojada de Danfoss haya sido vulnerada. Los investigadores no han descartado controladores heredados expuestos, la explotación de las CVE publicadas, credenciales de mantenimiento robadas ni una sesión de acceso remoto secuestrada en una empresa instaladora de refrigeración. Les Mousquetaires (Intermarché y Netto) informó de al menos 300 tiendas afectadas, de las cuales aproximadamente 100 desecharon todo su stock refrigerado. Coopérative U informó de algo menos de 100 tiendas, Carrefour confirmó 80 de sus aproximadamente 6.000 tiendas, Monoprix unas 30, y E.Leclerc dijo que "varias tiendas" fueron alcanzadas a través de uno de sus proveedores de equipos de refrigeración. Los empleados también informaron de problemas en Carrefour Market, Carrefour City, Metro, Picard y carnicerías independientes, ninguno de los cuales fue confirmado oficialmente. Una nota interna de Intermarché fechada el 12 de octubre "confirma la existencia de un ciberataque ocurrido durante la noche en Danfoss", y a las 11 de la mañana se celebró una reunión de crisis con Danfoss y la empresa instaladora de refrigeración Axima. La sección de ciberdelincuencia de la Fiscalía de París abrió una investigación ese mismo día y la asignó a la Office anti-cybercriminalité (OFAC). El primer ministro Sébastien Lecornu encargó el caso a ANSSI, que dijo haber identificado una vulnerabilidad en el software del fabricante danés, haber contactado con Danfoss, haber comenzado a buscar otros operadores franceses expuestos y haber iniciado la coordinación con sus homólogos europeos. CERT-FR emitió un aviso en el que indicaba que tenía conocimiento de numerosos compromisos de dispositivos Danfoss de las series AK-SM y AK-SC y que exponer una interfaz de gestión a Internet es contrario a las buenas prácticas. El comisario europeo de Agricultura, Christophe Hansen, dijo que "la utilización de los alimentos como arma se ha convertido en una realidad". Ningún grupo ha reivindicado el ataque y no se ha realizado ninguna atribución. Durante el mismo fin de semana, Ahold Delhaize reveló un "incidente de ciberseguridad" independiente que comenzó la tarde del domingo 11 de octubre. Dejó fuera de servicio los sitios web, las aplicaciones, el servicio de atención al cliente y los sistemas logísticos de Albert Heijn, Etos y Gall & Gall en los Países Bajos, bloqueó los pedidos en línea en Delhaize en Bélgica, detuvo el trabajo en varios centros de distribución de Albert Heijn, dejó las etiquetas electrónicas de estantería mostrando los precios promocionales de la semana anterior y tumbó los sitios web de Food Lion, Hannaford, Stop & Shop y Giant en Estados Unidos. Ninguna evidencia vincula los dos eventos.

Stock fresco y congelado destruido en varios cientos de tiendas en toda Francia: al menos 300 establecimientos Intermarché y Netto, algo menos de 100 tiendas Coopérative U, 80 tiendas Carrefour, unas 30 tiendas Monoprix y varias tiendas E.Leclerc. Las pérdidas por tienda reportadas oscilaron entre unos 50.000 euros (Intermarché Haguenau, Intermarché Guerlédan), de 150.000 a 200.000 euros (60 metros cúbicos de alimentos en una tienda de Gironda) y 220.000 euros (Super U Wasselonne). Les Mousquetaires estimó las pérdidas nacionales en varios millones de euros, e Intermarché advirtió de que las pólizas de seguro de las tiendas podrían no cubrir este tipo de evento. Se reportaron incendios y activaciones de rociadores, y los muebles frigoríficos sufrieron daños físicos en La Haye. Los pasillos de productos frescos y congelados permanecieron cerrados durante días, los proveedores vieron cancelados sus pedidos y algunas tiendas no esperaban reabrir las secciones de congelados hasta finales de semana. No se reportaron heridos, robo de datos ni interrupción de los sistemas de caja en Francia. El incidente simultáneo de Ahold Delhaize suspendió la entrega de compras en línea en los Países Bajos y Bélgica, canceló todos los pedidos ya realizados, detuvo varios centros de distribución y dejó las etiquetas electrónicas de estantería mostrando precios desactualizados.