Supermercados de Francia fueron blanco de un ciberataque que permitió manipular de forma remota los sistemas de refrigeración. Los atacantes provocaron una subida de temperaturas al activar ciclos de desescarche, lo que obligó a retirar producto de las vitrinas. El caso vuelve a poner de manifiesto una debilidad conocida del sector: interfaces web de gestión de sistemas de tecnología operacional (OT) expuestas a Internet, asociadas en esta ocasión a controladores Danfoss que ejecutaban software desactualizado.
El apagado y la descongelación remota de vitrinas frigoríficas golpeó a supermercados franceses tras la manipulación a distancia de controladores de refrigeración Danfoss, con un efecto inmediato en la operación diaria. El incidente alcanzó a varias cadenas, entre ellas Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc y Super U, y se mueve en una horquilla estimada de entre 250 y 350 tiendas.
El patrón del ataque no fue sutil: los intrusos alteraron parámetros operativos para elevar las temperaturas y, en particular, activaron el ciclo automático de desescarche en los equipos de frío. En el comercio de alimentación, un cambio de este tipo puede estropear la mercancía en cuestión de horas. La fiscalía de París abrió una investigación por un ciberataque de gran escala y busca cuantificar los daños, tanto por la pérdida de alimentos como por incidentes asociados que se han llegado a mencionar, entre ellos posibles incendios.
Las primeras pistas apuntan a un problema recurrente en OT: los atacantes tomaron el control de controladores que ejecutaban versiones antiguas del software de gestión. No se ha confirmado el vector de intrusión ni la técnica exacta empleada para acceder a esos sistemas en este caso concreto, aunque el contexto técnico resulta especialmente incómodo para el sector.
Investigaciones recientes sobre los controladores Danfoss AK-SM 8xxA Series han descrito fallos que reducen de forma drástica la barrera de entrada cuando la consola web queda expuesta a Internet. La vulnerabilidad CVE-2025-41450 permite omitir la autenticación en versiones anteriores a la 4.2 y puede filtrar información sensible en los informes web, como IPs internas, nombres de tiendas o usuarios. CVE-2025-41451 abre la puerta a la inyección de comandos, con potencial de ejecución remota de código tras autenticarse, en versiones anteriores a la 4.3.1. Por su parte, CVE-2025-41452 permite inyectar directivas de configuración de Nginx una vez autenticado y puede desencadenar una denegación de servicio en versiones previas a la 4.3.1.
La dimensión del riesgo no queda limitada a un puñado de tiendas. Se han observado miles de interfaces de gestión Danfoss accesibles desde Internet, con recuentos que sitúan 2.752 sistemas expuestos, 1.590 de ellos en Francia, además de más de 4.500 dispositivos localizables mediante motores de búsqueda de activos conectados. Cuando la administración queda abierta, el atacante no necesita entrar por la puerta grande: le basta con encontrar un panel y probar.
Para las cadenas que operan equipos de este tipo, las prioridades son claras y urgentes. Conviene inventariar los controladores y gestores Danfoss, identificar cuáles exponen la consola web y cerrarla a Internet de inmediato. El acceso remoto debería canalizarse a través de VPN y redes de administración de confianza, con listas de control que restrinjan los orígenes autorizados. En paralelo, toca actualizar AK-SM 8xxA a la versión 4.2 o superior para mitigar CVE-2025-41450, y a la 4.3.1 o superior para corregir CVE-2025-41451 y CVE-2025-41452.
La higiene básica también gana escala en OT: segmentación de red entre TI y OT, endurecimiento de credenciales, auditoría de accesos administrativos y trazabilidad de los cambios. En un negocio donde manda el termómetro, la monitorización debe generar alertas específicas ante cambios anómalos de temperatura, ciclos de desescarche fuera de patrón y modificaciones de configuración. Si todo lo demás falla, los procedimientos de contingencia para preservar la cadena de frío determinan cuánto producto acaba en la basura.
Más información:
- BleepingComputer – Cyberattack shuts down refrigerators at French supermarkets: https://www.bleepingcomputer.com/news/security/cyberattack-shuts-down-refrigerators-at-french-supermarkets/
- Claroty Team82 – Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers: https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
- Danfoss – DSA-2025-03-01 (CVE-2025-41450): https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-03-01/
- Danfoss – DSA-2025-08-01 (CVE-2025-41451, CVE-2025-41452): https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-08-01/
Con Información de unaaldia.hispasec.com
