Un ciberataque contra sistemas de refrigeración afectó a unos 700 supermercados de Europa, provocó pérdidas millonarias y causó incendios en varios locales.
Los hackers aprovecharon una vulnerabilidad conocida en controladores antiguos conectados a internet para activar los calefactores de descongelamiento y elevar la temperatura de las heladeras hasta los 50 °C, sin necesidad de inteligencia artificial ni herramientas sofisticadas.
Cómo fue el ciberataque que afectó a 700 supermercados en Europa
El incidente afectó a establecimientos de Francia, España, Portugal, Polonia, Alemania y Bélgica, donde toneladas de alimentos quedaron inutilizables por las temperaturas extremas y, en algunos casos, se registraron incendios.
La investigación técnica, publicada el 14 de octubre por la firma de seguridad Pen Test Partners, identificó una vulnerabilidad en controladores de refrigeración fabricados por la empresa danesa Danfoss y por la estadounidense Copeland, a través de su marca Dixell.
Estos dispositivos administran el funcionamiento de heladeras, cámaras frigoríficas y freezers. Sin embargo, algunos modelos antiguos incorporaban un mecanismo de acceso remoto que no exigía un nombre de usuario ni una contraseña tradicionales.
Para ingresar, los atacantes podían enviar una solicitud especialmente diseñada al controlador y obtener el control de sus funciones. El sistema generaba automáticamente un código de acceso a partir de la fecha del día, sin utilizar un secreto único para cada dispositivo. Por eso, el mismo código podía habilitar el acceso a todos los equipos expuestos durante una misma jornada.
El problema no radicaba únicamente en la posibilidad de ingresar a los sistemas, sino en las consecuencias físicas que podía provocar la manipulación de los equipos.
Heladeras a 50 °C: el mecanismo técnico que utilizaron los hackers para forzar los equipos
Una vez que lograron acceder a los controladores, los atacantes modificaron el funcionamiento de los sistemas de refrigeración y forzaron el encendido continuo de los calefactores de descongelamiento.
Estos componentes cumplen una función habitual en heladeras y freezers: eliminar la acumulación de hielo mediante ciclos de calentamiento controlados. Sin embargo, están diseñados para funcionar durante períodos limitados, no de manera ininterrumpida.
Al mantenerlos encendidos, los ciberdelincuentes provocaron que las cámaras frigoríficas elevaran su temperatura hasta alcanzar los 50 °C, equivalentes a 122 °F, según el análisis de Pen Test Partners.
El recalentamiento arruinó productos que necesitaban mantenerse bajo refrigeración y generó condiciones peligrosas en algunos establecimientos. De acuerdo con el informe técnico, la exposición prolongada de los calefactores también estuvo vinculada con los incendios registrados en determinados locales.
El ataque demostró cómo una vulnerabilidad informática aparentemente limitada puede desencadenar consecuencias materiales: desde la pérdida de mercadería hasta daños en las instalaciones y la interrupción de las operaciones comerciales.
Además, el alcance del incidente expuso los riesgos de mantener equipos industriales conectados a internet sin medidas adecuadas de protección.
El impacto en Francia: las cifras reportadas por Intermarché, Carrefour y Monoprix
Francia concentró parte de las consecuencias económicas más importantes del ciberataque. Las principales cadenas afectadas tuvieron que afrontar pérdidas por alimentos descartados y complicaciones en el funcionamiento de sus establecimientos.
El director ejecutivo de Intermarché, Thierry Cotillard, declaró a la cadena BFM TV que el incidente podría ocasionar pérdidas de decenas de millones de euros en Francia en un solo día, según informó Reuters.
Por su parte, Carrefour comunicó que el problema afectó a 80 de sus aproximadamente 6.000 locales en el país. Monoprix, en tanto, reportó que el incidente comprometió a un 5% de sus más de 400 establecimientos, de acuerdo con información recogida por la BBC.
Las consecuencias no se limitaron a las pérdidas económicas de las empresas. La destrucción de productos refrigerados también planteó dificultades logísticas, debido a la necesidad de retirar alimentos que ya no podían garantizar las condiciones de conservación requeridas.
El comisionado europeo de Agricultura y Alimentación, Christophe Hansen, advirtió sobre la gravedad del escenario y afirmó que “la utilización de los alimentos como arma se volvió una realidad”, en declaraciones recogidas por CNBC.
Mientras las compañías evaluaban los daños, las autoridades francesas avanzaron con una investigación para determinar quiénes estuvieron detrás del ataque y establecer cómo se explotaron las vulnerabilidades de los equipos.
Una vulnerabilidad conocida: las advertencias previas de las agencias de ciberseguridad CERT-FR y CISA
Uno de los aspectos más preocupantes del episodio es que el problema técnico no era completamente desconocido para los especialistas en ciberseguridad.
Los investigadores de Synacktiv habían estudiado el mecanismo de acceso en 2023, mientras que Claroty también había analizado el funcionamiento de estos controladores. Sus trabajos permitieron identificar debilidades en el sistema de autenticación y reconstruir el algoritmo utilizado para generar los códigos de acceso.
La vulnerabilidad fue identificada bajo el registro CVE-2025-41450. Aunque los investigadores no publicaron el procedimiento completo para reproducir el acceso, el análisis de Pen Test Partners señaló que era posible reconstruir el algoritmo a partir del firmware de los dispositivos.
Las advertencias también habían llegado a los organismos de seguridad. La agencia francesa CERT-FR emitió una alerta el 12 de octubre sobre controladores de este tipo expuestos a internet. Antes, en agosto de 2025, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) había publicado un aviso sobre las vulnerabilidades relacionadas.
Copeland confirmó a Ars Technica que el problema afectaba a una generación de controladores descontinuada y al final de su vida útil. La empresa afirmó que trabajaba con sus clientes para reducir el riesgo de nuevos incidentes.
Danfoss, por su parte, había señalado previamente que los equipos comprometidos ya no recibían actualizaciones de seguridad.
La antigüedad de los dispositivos y la falta de mantenimiento de sus mecanismos de protección aparecen, así, entre los factores centrales para explicar cómo una falla conocida pudo convertirse en un incidente de semejante magnitud.
Sin herramientas complejas: por qué el ataque no requirió inteligencia artificial ni accesos
El ciberataque no necesitó inteligencia artificial, herramientas avanzadas ni la participación de un empleado con permisos especiales. Según Pen Test Partners, fue suficiente con encontrar controladores conectados directamente a internet que carecían de medidas básicas de protección.
Entre las principales deficiencias figuraban la ausencia de una red privada virtual (VPN) y la falta de listas de direcciones IP autorizadas para limitar quién podía conectarse a los equipos.
En condiciones adecuadas, esos mecanismos permiten restringir el acceso remoto y reducir la exposición de los sistemas industriales. Sin ellos, los dispositivos podían quedar al alcance de atacantes que conocieran el método para aprovechar la vulnerabilidad.
Los especialistas también señalaron un problema habitual en la administración de infraestructuras comerciales: la búsqueda de soluciones de mantenimiento remoto sencillas. En lugar de implementar conexiones seguras, documentadas y gestionadas por las propias cadenas, algunas empresas optan por instalar módems celulares directamente en los controladores.
Esa decisión facilita las tareas técnicas, pero puede dejar expuestos equipos críticos si no se acompaña de controles de acceso, actualizaciones y supervisión.
El caso también puso de relieve los riesgos de mantener en funcionamiento dispositivos que llegaron al final de su vida útil y dejaron de recibir parches de seguridad. Cuando esos equipos controlan instalaciones físicas, una falla informática puede afectar no solo a los datos, sino también a la mercadería, la infraestructura y la seguridad de las personas.
La fiscalía de París abrió una investigación específica por ciberdelito. Hasta el momento, ningún grupo se atribuyó públicamente la autoría del ataque, mientras las autoridades buscan determinar quiénes manipularon los sistemas y cómo lograron aprovechar una vulnerabilidad que ya había sido advertida por especialistas.
