Las organizaciones que dependen de la refrigeración deberían cerrar el acceso a internet de sus controladores, ya que los atacantes están apuntando a sistemas de enfriamiento y monitoreo de temperatura en todo el mundo, según advirtieron CISA y el FBI el 5 de noviembre de 2026. Su alerta conjunta describe ataques que podrían echar a perder mercancía, dañar equipos y privar a los operadores de las lecturas de temperatura necesarias para detectar problemas.
La guía afecta a proveedores de atención sanitaria, instalaciones químicas, empresas de alimentación y agricultura, y operadores de transporte, incluidos los servicios de transporte refrigerado. Las agencias identifican específicamente como objetivos los controladores electrónicos de temperatura y los controladores comerciales de refrigeración de supermercados e instalaciones de almacenamiento en frío. Los dispositivos sin parches o los controladores accesibles desde internet podrían presentar debilidades que los atacantes pueden explotar.
Los departamentos estadounidenses de Salud y Servicios Humanos (HHS), de Agricultura y de Transporte se sumaron a la ficha informativa conjunta. Estos sistemas hacen mucho más que encender y apagar el equipo de enfriamiento: permiten al personal revisar las temperaturas de forma remota, conservar registros continuos de temperatura, programar el descongelamiento y gestionar el consumo de energía.
Incidentes europeos informados por separado
La ficha informativa estadounidense no nombra estos incidentes europeos. BleepingComputer informó de que los atacantes comprometieron los controladores de refrigeración de entre 250 y 350 supermercados franceses, aproximadamente, en octubre, y activaron de forma remota las funciones de descongelación, lo que elevó la temperatura dentro de neveras y congeladores.
BleepingComputer informó también de que una segunda oleada en noviembre afectó a más de 115 tiendas en seis países europeos, dejando algunos sistemas de enfriamiento completamente apagados y otros a temperaturas de hasta 50 °C (122 °F).
BleepingComputer informó, además, de que el Establecimiento Francés de la Sangre (EFS) confirmó el 3 de noviembre que un incidente relacionado con un proveedor de equipos de refrigeración había modificado los ajustes de temperatura y descongelación en tres instalaciones que almacenan hemoderivados.
En el comunicado de CISA, Chris Butera, director ejecutivo adjunto en funciones para Ciberseguridad, afirmó que la agencia sigue la amenaza junto con socios gubernamentales, industriales e internacionales. Instó a cada organización que dependa de la refrigeración y de su monitoreo a considerarse un posible objetivo. Brett Leatherman, director de Operaciones de la Rama Cibernética del FBI, dijo en la misma línea que la oficina observa ataques dirigidos contra sectores de infraestructuras críticas en todo el mundo, y pidió a los operadores que apliquen la guía y reporten cualquier actividad sospechosa.
Cómo el acceso a los controladores amenaza las existencias y los equipos
Las agencias describen tres posibles vías de entrada a los controladores: la elusión de la autenticación, que evita los controles de inicio de sesión; la inyección de código arbitrario, que introduce código elegido por el atacante; y las configuraciones inseguras.
Una vez que los atacantes puedan manipular la configuración de forma remota, podrían dejar las unidades calentando o descongelando de manera continua. Los cambios de temperatura resultantes podrían destruir inventario, acortar la vida útil de los equipos o crear un riesgo de incendio. Los consumidores también podrían sufrir daños si consumen productos que se han mantenido en condiciones inseguras.
Un ataque también podría interferir con el monitoreo, no solo con el enfriamiento. La ficha informativa describe la pérdida de las lecturas de temperatura actuales como una situación de “denegación de visibilidad”: los operadores pierden la visión de las condiciones que mantiene su equipo.
Cerrar brechas de acceso remoto y aplicar límites operativos seguros
Las agencias piden actuar de inmediato, con recomendaciones alineadas con los Objetivos de Rendimiento en Ciberseguridad Intersectoriales que han desarrollado CISA y el Instituto Nacional de Estándares y Tecnología (NIST). Esos objetivos establecen un conjunto mínimo de protecciones recomendadas.
Los propietarios y operadores deberían, en primer lugar, localizar los sistemas expuestos a internet y eliminar esa exposición, especialmente en los paneles de los controladores. Desactiva el acceso remoto que no tenga una finalidad necesaria. Para las conexiones que deban mantenerse, instala un cortafuegos o un dispositivo perimetral (el equipo que protege el límite de la red) y actualízalo a la versión más reciente.
Mantén los controles de refrigeración separados de las redes corporativas. La guía recomienda una red de área local virtual (VLAN) dedicada para separar la tecnología operativa (los sistemas que controlan equipos físicos) de los sistemas empresariales habituales. Mantén listas de dispositivos permitidos y de direcciones IP para que solo los sistemas autorizados puedan realizar cambios.
Sustituye las contraseñas predeterminadas, exige contraseñas más robustas mediante políticas obligatorias e implanta la autenticación multifactor resistente al phishing siempre que sea viable. Esto añade una autenticación más allá de la contraseña, mediante métodos diseñados para resistir sitios de inicio de sesión fraudulentos. Mantén actualizado el firmware del controlador, es decir, el software integrado en el dispositivo. Establece un proceso gestionado para identificar, retirar y reemplazar los equipos que han llegado al fin de su vida útil y ya no tienen soporte del fabricante.
Para la detección, activa los registros de actividad y revísalos con regularidad para identificar comportamientos inesperados. Si un equipo no ofrece registros, o si sus registros usan formatos no estándar, recopila el tráfico de red y las comunicaciones entre los dispositivos. Mantén copias de seguridad actualizadas, tanto fuera de línea como fuera de las instalaciones, y pruébalas.
Los operadores también deberían fijar límites razonables a las temperaturas objetivo que los dispositivos situados después de los controladores pueden aceptar, y configurar alertas cuando las condiciones salgan de los rangos seguros.
Las organizaciones estadounidenses deberían informar de la actividad sospechosa o delictiva al Centro de Operaciones de CISA, que funciona las 24 horas, en [email protected] o en el 1-844-729-2472, o al FBI a través de su Centro de Denuncias de Delitos en Internet (IC3) o de una oficina local. Incluyan, si está disponible, la fecha, la hora y el lugar del incidente; la actividad y los equipos implicados; el número de personas afectadas; y el nombre de la organización que informa y de su contacto designado.
Las organizaciones sanitarias que necesiten ayuda por posibles interrupciones de la atención causadas por impactos en la cadena de suministro sanitario y médico pueden contactar con el HHS en [email protected] o con su Centro de Operaciones de 24 horas en el 202-619-7800.
