Un ciberataque permitió manipular a distancia sistemas de refrigeración en supermercados de Francia, elevó temperaturas al activar ciclos de desescarche y obligó a retirar producto. El caso vuelve a señalar un punto débil conocido: interfaces web de gestión OT expuestas a Internet, en este caso asociadas a controladores Danfoss con software desactualizado.
El apagado y la descongelación remota de vitrinas frigoríficas ha golpeado a supermercados en Francia tras una manipulación a distancia de controladores de refrigeración Danfoss, con un efecto inmediato en la operación diaria. El incidente afectó a varias cadenas, entre ellas Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc y Super U, y se movió en un rango estimado de entre 250 y 350 tiendas.
El patrón de ataque no fue sutil: los intrusos alteraron parámetros operativos para elevar temperaturas, en particular al activar el ciclo automático de desescarche en equipos de frío. En un entorno de retail alimentario, ese tipo de cambio puede estropear mercancía en horas. La fiscalía de París abrió una investigación por un ciberataque a gran escala y busca cuantificar daños, tanto por pérdida de alimentos como por incidentes asociados que se han llegado a mencionar, incluidos posibles incendios.
Las primeras pistas apuntan a un problema recurrente en OT: los atacantes tomaron el control de controladores que ejecutaban versiones antiguas del software de gestión. No se ha confirmado el vector de intrusión ni la técnica exacta usada para acceder a esos sistemas en este caso concreto, pero el contexto técnico resulta especialmente incómodo para el sector.
Investigaciones recientes en controladores Danfoss AK-SM 8xxA Series han descrito fallos que rebajan drásticamente la barrera de entrada cuando la consola web queda expuesta a Internet. CVE-2025-41450 permite un bypass de autenticación antes de la versión 4.2 y puede acabar filtrando información sensible en informes web, como IPs internas, nombres de tienda o usuarios. CVE-2025-41451 abre la puerta a command injection con potencial de ejecución remota de código tras autenticación antes de la versión 4.3.1. CVE-2025-41452 permite inyectar directivas de configuración de Nginx tras autenticación y puede desencadenar una denegación de servicio en versiones previas a 4.3.1.
La dimensión del riesgo no se limita a un puñado de tiendas. Se han observado miles de interfaces de gestión Danfoss accesibles desde Internet, con recuentos que sitúan 2.752 sistemas expuestos, 1.590 de ellos en Francia, y más de 4.500 dispositivos localizables mediante motores de búsqueda de activos conectados. Cuando la administración queda abierta, el atacante no necesita entrar por la puerta grande: le basta con encontrar un panel y probar.
Para las cadenas con equipos de este tipo, las prioridades son claras y urgentes. Conviene inventariar controladores y gestores Danfoss, identificar cuáles exponen la consola web y cerrarla a Internet de forma inmediata. El acceso remoto debería pasar por VPN y redes de administración de confianza, con listas de control que limiten orígenes autorizados. En paralelo, toca actualizar AK-SM 8xxA a 4.2 o superior para mitigar CVE-2025-41450, y a 4.3.1 o superior para corregir CVE-2025-41451 y CVE-2025-41452.
La higiene básica también cambia de escala en OT: segmentación de red entre TI y OT, endurecimiento de credenciales, auditoría de accesos administrativos y trazabilidad de cambios. Y, en un negocio donde el termómetro manda, la monitorización debe alertar de forma específica ante cambios anómalos de temperatura, ciclos de desescarche fuera de patrón y modificaciones de configuración. Si falla todo lo demás, los procedimientos de contingencia para preservar la cadena de frío deciden cuánto producto acaba en la basura.
Más información
- BleepingComputer – Cyberattack shuts down refrigerators at French supermarkets : https://www.bleepingcomputer.com/news/security/cyberattack-shuts-down-refrigerators-at-french-supermarkets/
- Claroty Team82 – Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers : https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
- Danfoss – DSA-2025-03-01 (CVE-2025-41450) : https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-03-01/
- Danfoss – DSA-2025-08-01 (CVE-2025-41451, CVE-2025-41452) : https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-08-01/
Deja una respuesta