Los ciberataques contra los sistemas de refrigeración han comprometido la conservación de alimentos y obligado a cerrar temporalmente varios supermercados suecos. Según Tgcom24, entre la noche del 1 de noviembre y la mañana del 2 de noviembre se vieron afectados establecimientos de Ica y Coop: los atacantes modificaron a distancia las temperaturas programadas para frigoríficos y congeladores, hasta alcanzar los 70 °C. En su interior había miles de productos.
El medio, citando diarios locales, informa de daños por cientos de miles de coronas suecas y de cierres que duraron varias horas. Algunas cajas registradoras también habrían quedado inutilizables, pero no se ha aclarado si esta avería está relacionada con el ataque.
De Suecia a otros supermercados europeos
Se han notificado episodios similares al mismo tiempo en Bélgica y Luxemburgo, mientras que otras noticias afectan a Irlanda y Estonia. En el caso estonio, Tgcom24 cita a la televisión pública ERR: los intrusos habrían accedido al sistema de control de una gran cadena y programado un congelador a 50 °C.
En Bélgica aparecen implicadas decenas de tiendas de Spar, Delhaize y Carrefour. En Francia, las investigaciones han reconstruido el compromiso de unas 700 unidades de refrigeración en Intermarché, Coopérative U, Carrefour, Leclerc y Monoprix. La cifra se refiere a equipos, no a supermercados.
El punto en común es el control remoto de la refrigeración: un acceso no autorizado a la gestión de las temperaturas puede romper la cadena de frío, con consecuencias para la mercancía y para la continuidad de las ventas. Sin embargo, las similitudes entre los episodios no bastan para atribuirlos a un único grupo.
Qué sistemas están implicados y cuánto pesa la exposición en Internet
En cuanto a los ataques franceses, Claroty informa de la declaración de Intermarché según la cual los atacantes llegaron a sistemas Danfoss y modificaron las temperaturas hasta los 50 °C. La cadena indicó que 150 tiendas estaban implicadas.
En la actualización del 13 de octubre, Claroty explica además que un aviso del CERT-FR amplió el perímetro a Copeland XWEB y Dixell XWEB, además de las series Danfoss AK-SM y AK-SC, y señala numerosos compromisos. Son plataformas utilizadas para supervisar y gestionar instalaciones de refrigeración y climatización. En cuanto a los episodios suecos, el relato de Tgcom24 no identifica modelos ni versiones.
La exposición de las consolas de administración es un riesgo real. En su investigación sobre el Danfoss AK-SM 800A, Team82 había identificado 2.765 dispositivos accesibles públicamente a través de Censys. Es una medida de la superficie alcanzable, no un recuento de las víctimas de los ataques. No se ha establecido cuántos de los sistemas censados se actualizaron o se retiraron después de la exposición directa.
Las CVE conocidas y las medidas para los operadores
La investigación de Team82 sobre los controladores Danfoss describe vulnerabilidades en la interfaz web, pero no demuestra que se hayan utilizado en los ataques a supermercados. Claroty precisa que, en el momento de su informe, aún no se conocía el método de acceso empleado en los episodios franceses.
Dos fallos documentados afectan a la serie Danfoss AK-SM8xxA en las versiones anteriores a la 4.3.1:
- CVE-2025-41451 permite, tras la autenticación, la ejecución remota de código mediante una inyección de comandos en los campos de configuración de las alertas por correo electrónico.
- CVE-2025-41452 permite a un usuario autenticado modificar la configuración de la interfaz web, con posible interrupción del servicio. La puntuación CVSS v3 es 5,4: expresa la gravedad técnica, no una prueba de explotación.
Según Team82, Danfoss corrigió ambas en la versión R4.3.1. La investigación describe también un mecanismo oculto llamado «code-of-the-day», que podría usarse para eludir la autenticación ordinaria; este hallazgo no identifica la técnica empleada en los casos informados.
Para quienes gestionan estas instalaciones, la prioridad indicada por el CERT-FR, según recoge Claroty, es eliminar la exposición directa a Internet. Claroty recomienda además inventariar los dispositivos, limitar la administración a redes de confianza o a accesos protegidos mediante VPN, y segmentar las redes operativas. En los Danfoss AK-SM8xxA afectados por las dos CVE, la actualización a R4.3.1 corrige esas vulnerabilidades concretas y debe combinarse con la protección de los accesos remotos.
