Atacantes manipularon de forma remota controladores de refrigeración comercial en más de 400 supermercados y tiendas minoristas europeos durante la noche del lunes. Según los informes, elevaron las temperaturas hasta 50 °C y destruyeron existencias refrigeradas y congeladas. También se informó de pequeños incendios.
El número de tiendas procede de los informes de las empresas afectadas citados por Dark Reading. Los minoristas franceses fueron los principales objetivos documentados, mientras que un analista de Sekoia dijo a Reuters que también se habían visto afectadas tiendas en España, Portugal, Polonia, Alemania y Bélgica.
Los autores no han sido identificados y su motivo sigue sin estar claro.
Los ajustes de refrigeración se modificaron de forma remota
Los primeros informes relacionaron los incidentes con controladores de refrigeración de Danfoss. Posteriormente, CERT-FR identificó la plataforma XWEB de Dixell y Copeland como otro sistema implicado en los ataques.
Según informes franceses citados por Dark Reading, los atacantes alargaron los ciclos de descongelación, lo que hizo que el aumento de temperatura pareciera una operación de mantenimiento. Las funciones de descongelación calientan legítimamente el equipo de refrigeración para eliminar el hielo, pero los ciclos prolongados o manipulados pueden exponer los alimentos a temperaturas inseguras y someter al equipo a un estrés térmico adicional.
Dos supermercados de la región francesa de Alsacia registraron pérdidas combinadas de 270.000 €, unos 300.000 US$, según el relato de la BBC citado en el informe. Esa cifra corresponde solo a esas dos ubicaciones, no al ataque completo.
Les Mousquetaires, empresa matriz de Intermarché y Netto, dijo a CNBC que el acceso a los sistemas de refrigeración de algunas de sus tiendas se produjo a través de un proveedor de servicios. La declaración apunta a la conectividad de terceros como una vía de intrusión, al menos en parte del incidente, pero no establece un único método de acceso para todos los minoristas afectados.
Vulnerabilidades reveladas en controladores de Danfoss
El 9 de agosto, Claroty Team82 reveló tres vulnerabilidades en la familia Danfoss AK-SM 800A. Los informes no establecen que los atacantes explotaran ningún CVE concreto durante los incidentes en supermercados.
Las descripciones de NVD identifican condiciones técnicas y versiones afectadas distintas:
- CVE-2025-41450 es un problema de autenticación inadecuada, clasificado como CWE-305, en la serie Danfoss AK-SM 8xxA anterior a la versión 4.2. Tiene una puntuación CVSS 3.1 de 8,2 y el vector
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:H. NVD lo describe como accesible desde la red, con complejidad de ataque alta, sin privilegios requeridos y con interacción del usuario necesaria. - CVE-2025-41451 es una debilidad de inyección de comandos, clasificada como CWE-77, en los campos de configuración de alarmas por correo electrónico. En versiones anteriores a la 4.3.1, un atacante autenticado podría, potencialmente, obtener ejecución remota de código.
- CVE-2025-41452 es una vulnerabilidad posterior a la autenticación que implica el control externo de un ajuste de configuración de la interfaz web. Clasificada como CWE-15, puede provocar denegación de servicio por un manejo inadecuado de condiciones excepcionales en versiones anteriores a la 4.3.1.
Según esos rangos afectados, la versión 4.3.1 es la primera identificada fuera del alcance de las tres vulnerabilidades. Danfoss ha publicado actualizaciones, pero los clientes son responsables de desplegarlas.
Danfoss indicó que la mayoría de las unidades afectadas en los incidentes eran controladores AK-SM 800 o el más antiguo AK-SC355. La empresa señaló que esos productos llegaron al fin de su vida útil en 2021 y 2016, respectivamente. Atribuyó el problema a firmware desactualizado y reiteró su recomendación de actualizar los equipos compatibles y migrar los sistemas heredados a productos actuales.
Esa distinción importa: las vulnerabilidades documentadas recientemente afectan a la serie AK-SM 8xxA, mientras que el ataque informado también involucró equipos instalados más antiguos. Los informes disponibles no ofrecen una explicación vulnerabilidad por vulnerabilidad de los compromisos.
XWEB también estuvo implicado
El 9 de agosto, Claroty Team82 reveló 23 vulnerabilidades en Copeland XWEB Pro, 21 de las cuales tenían una gravedad alta. Más tarde, CERT-FR identificó la plataforma XWEB en su conjunto como implicada en los ataques.
La cronología ha llevado a sugerir que los atacantes usaron investigaciones publicadas recientemente, pero esto sigue siendo una inferencia. Los informes no relacionan una vulnerabilidad concreta de XWEB con una tienda comprometida en particular.
Qué deben hacer los operadores de refrigeración
Los operadores que usan controladores Danfoss AK-SM 8xxA deben verificar el firmware instalado. Los sistemas anteriores a la 4.2 siguen dentro del rango afectado por CVE-2025-41450, mientras que CVE-2025-41451 y CVE-2025-41452 afectan a versiones anteriores a la 4.3.1. Las instalaciones heredadas de AK-SM 800 y AK-SC355 deben evaluarse según la guía de migración de Danfoss.
Andrew Ginter, de Waterfall Security Solutions, recomendó retirar los dispositivos de control industrial de la exposición directa a Internet como medida de emergencia. Cuando no sea posible un aislamiento inmediato, sus recomendaciones incluyen colocar un cortafuegos de grado comercial o industrial delante de los controladores, aplicar una política de denegación por defecto, limitar las conexiones a direcciones IP aprobadas, exigir contraseñas y autenticación de dos factores, y mantener el cortafuegos actualizado automáticamente.
La vía del proveedor de servicios descrita por Les Mousquetaires también convierte el acceso de terceros en una prioridad. Los minoristas deben identificar qué contratistas pueden acceder de forma remota a los sistemas de refrigeración, restringir esas conexiones a los sistemas y periodos necesarios, y revisar los controles de autenticación y cortafuegos que las rodean.
Para las empresas afectadas, las consecuencias van más allá de la falta de refrigeración: los controladores manipulados pueden destruir inventario, interrumpir las operaciones de la tienda y crear riesgos físicos. Las actualizaciones de firmware, la eliminación de la exposición directa y un control más estricto del acceso de contratistas atienden las debilidades concretas que señala este incidente.
