Ciberataques afectan a frigoríficos de supermercados en toda Europa pese a las advertencias

En un supermercado ICA de Estocolmo, el personal llegó el lunes por la mañana y descubrió que los congeladores habían alcanzado los 50 °C. Engla Ingwall, directora de ventas de la tienda, declaró a Reuters que el ataque comenzó alrededor de las 2 de la madrugada del 2 de noviembre.

Cuando los empleados lo descubrieron, los productos congelados tuvieron que ser desechados.

Se reportaron casos de interferencia en Bélgica, Luxemburgo, Irlanda, Estonia y los Países Bajos. Los minoristas describieron cambios de temperatura, descongelaciones prolongadas e interrupciones en los sistemas que gestionan los frigoríficos y congeladores comerciales.

Los investigadores no han identificado a los responsables de los incidentes de noviembre. Tampoco han determinado si los ataques estaban relacionados con la operación de octubre en Francia.

Cómo se propagaron los ataques por Europa

En Bélgica, alrededor de 40 tiendas Delhaize sufrieron problemas de refrigeración, principalmente establecimientos más pequeños de las enseñas Proxy Delhaize y Shop & Go. Carrefour informó de incidentes en 15 de sus aproximadamente 700 tiendas belgas, mientras que cinco tiendas Spar asociadas al grupo Colruyt se vieron afectadas. Una tienda IKEA belga también reportó interrupciones.

La sueca Coop dijo que siete de sus cerca de 800 tiendas habían sufrido interferencias no autorizadas. ICA confirmó problemas en un número limitado de ubicaciones. En su supermercado de Sjöbo, en el sur de Suecia, los empleados vaciaron los congeladores después de que los ajustes de temperatura se elevaran a 50 °C.

En Irlanda, Musgrave Group informó de un incidente relacionado con equipos de refrigeración en 13 supermercados SuperValu. Sus sistemas de monitorización detectaron irregularidades y el personal retiró de la venta productos refrigerados y congelados como medida de precaución. La empresa afirmó que el problema se había resuelto el lunes por la tarde y que había comenzado el reabastecimiento.

En un supermercado Selver de Estonia, los atacantes accedieron a un ordenador que controlaba equipos de refrigeración y cambiaron el ajuste de temperatura a 50 °C. Jann Mutso, consejero delegado del proveedor Kitman Coldtech, declaró a la emisora pública ERR que los técnicos detuvieron la interferencia en cuestión de minutos. No se reportaron daños significativos.

Danfoss, un fabricante danés de tecnología de refrigeración, afirmó que al menos 17 empresas de los Países Bajos se vieron afectadas. Se trataba principalmente de carnicerías y pequeños minoristas de alimentación, más que de grandes cadenas de supermercados.

El coste total de las interrupciones de noviembre no se había establecido al cierre del 2 de noviembre. Delhaize afirmó que sus centros de distribución seguían operando y que las entregas a las tiendas no se habían interrumpido. Su portavoz dijo que los clientes podrían encontrar una gama temporalmente reducida de productos frescos y congelados en las sucursales afectadas. La empresa no informó de una interrupción más amplia del suministro.

El ataque de octubre en Francia: cientos de tiendas afectadas

La oleada anterior comenzó durante la noche del 11 al 12 de octubre.

Los sistemas de refrigeración fueron manipulados en tiendas pertenecientes a Intermarché, Carrefour, Coopérative U, E.Leclerc, Monoprix y otros minoristas.

Le Monde identificó inicialmente alrededor de 300 tiendas Intermarché y Netto, cerca de 100 establecimientos de Coopérative U, 80 supermercados Carrefour y 30 ubicaciones de Monoprix. La Fiscalía de París informó posteriormente de alrededor de 700 víctimas del ataque.

En un Intermarché de Gradignan, cerca de Burdeos, el propietario Charles Dezon dijo que un repartidor descubrió agua en el almacén alrededor de las 4 de la madrugada. El ataque aparentemente había comenzado hacia las 23:00. La temperatura en una cámara frigorífica había subido a 50 °C, activando un sistema de rociadores.

Dezon declaró a Le Monde que la tienda perdió mercancía por valor de 21.000 euros, valorada a precio de compra. En otro Intermarché, en La Haye, en Normandía, se informó de que el equipo se derritió después de que las temperaturas alcanzaran aproximadamente 80 °C.

Dos supermercados de Alsacia reportaron pérdidas combinadas de 270.000 euros. Otras tiendas cerraron temporalmente para vaciar los congeladores, evaluar los equipos dañados y organizar nuevas entregas. Las pérdidas a nivel nacional se estimaron en varios millones de euros, potencialmente decenas de millones, aunque no había un total definitivo disponible.

La Fiscalía de París confirmó pérdidas de alimentos e incendios. El primer ministro francés, Sébastien Lecornu, ordenó a la agencia nacional de ciberseguridad ANSSI que investigara. Los incidentes también afectaron a empresas fuera de las cadenas de supermercados. Le Monde informó de problemas en empresas de procesamiento de carne y mayoristas, mientras que el mayorista de alimentación Metro dijo que un proveedor de servicios había sido atacado y que había verificado las condiciones de almacenamiento de sus mercancías.

Se reportaron más incidentes el 13 de octubre. En una tienda cerca de Burdeos, los técnicos descubrieron que un ajuste de control de un congelador había sido modificado de -22 °C a 150 °C. Se trataba del ajuste programado, no de una temperatura medida de los alimentos. El personal intervino antes de que se perdiera stock.

Cómo se volvieron vulnerables los sistemas de refrigeración de los supermercados

Los frigoríficos comerciales suelen estar conectados a controladores centrales. Estos dispositivos gestionan la refrigeración, programan la descongelación automática y envían alertas cuando cambian las temperaturas. Las empresas de mantenimiento a menudo pueden ajustarlos de forma remota en lugar de visitar cada tienda.

Algunas interfaces de gestión están conectadas directamente a internet público. Si un atacante obtiene acceso, puede alterar los ajustes de funcionamiento sin entrar en las instalaciones ni comprometer los sistemas de pago del minorista.

En los incidentes franceses, los atacantes supuestamente ampliaron los ciclos de descongelación de una hora a ocho horas. También se modificaron algunos ajustes de alarma, retrasando las advertencias mientras los alimentos se calentaban.

En agosto, la empresa de ciberseguridad Claroty publicó una investigación sobre el controlador Danfoss AK-SM 800A. Sus investigadores encontraron debilidades en el software de gestión web, incluida una forma de eludir las comprobaciones normales de inicio de sesión y una falla que podía permitir comandos no autorizados. Identificaron miles de interfaces de gestión expuestas.

Danfoss publicó software para abordar las vulnerabilidades. Claroty recomendó la versión de firmware R4.3.1 o posterior y restringir el acceso remoto. Los investigadores no investigaron intrusiones individuales en supermercados. Los investigadores no han establecido que estas debilidades concretas se utilizaran en ninguna de las dos oleadas de ataques.

Danfoss afirmó que algunos locales franceses utilizaban controladores más antiguos que ya no recibían actualizaciones de seguridad rutinarias. Otros tenían equipos compatibles pero no habían instalado el software más reciente. Las autoridades francesas de ciberseguridad también identificaron compromisos relacionados con equipos suministrados bajo las marcas Copeland y Dixell.

Un controlador de refrigeración puede seguir funcionando después de que finalice el soporte de software. Sustituirlo puede requerir el trabajo de contratistas especializados y cambios en la instalación existente. En las redes de franquicias, las decisiones de mantenimiento también pueden recaer en los operadores individuales de las tiendas en lugar de en un departamento tecnológico central.

Alimentos en mal estado, equipos dañados y pérdidas financieras

Los fallos de refrigeración obligan a las tiendas a determinar cuánto se calentaron los productos y cuánto tiempo estuvieron expuestos a condiciones inadecuadas.

La Agencia de Normas Alimentarias del Reino Unido recomienda mantener los alimentos refrigerados a 5 °C o menos. En Inglaterra, Gales e Irlanda del Norte, muchos alimentos refrigerados deben almacenarse legalmente por debajo de 8 °C. Los productos congelados se conservan generalmente a -18 °C.

Un controlador ajustado a 50 °C no significa que cada artículo alcance inmediatamente esa temperatura. Los minoristas deben evaluar las condiciones reales de almacenamiento antes de decidir si los alimentos son seguros para la venta. Restablecer el ajuste normal de refrigeración no resuelve las dudas sobre alimentos que ya pueden haberse calentado. Esa evaluación requiere información sobre tiempo y temperatura, no simplemente la confirmación de que un congelador vuelve a funcionar.

En Bélgica, Luc De Laet, propietario de la carnicería De Laet & Van Haver, declaró a Reuters que recibió una llamada alrededor de las 3:30. En su local al sur de Amberes, las temperaturas de refrigeración habían subido a 18 °C. Estimó que se habían echado a perder 15.000 euros en carne.

Las consecuencias financieras también incluyen maquinaria dañada, reparaciones de emergencia, limpieza, tiempo del personal y entregas de reemplazo. Los incidentes franceses incluyeron incendios en algunos locales, según los fiscales.

No se había reportado ninguna interrupción de la distribución de supermercados a escala europea el 2 de noviembre. Los daños documentados se concentraron en tiendas y empresas individuales. El comisario europeo de Agricultura, Christophe Hansen, describió los ataques como intentos de perturbar el suministro de alimentos y socavar la confianza de los consumidores; las consecuencias completas aún se estaban evaluando.

Por qué las advertencias anteriores no evitaron nuevos ataques

El equipo de respuesta a emergencias informáticas de Francia, CERT-FR, emitió una alerta el 12 de octubre y la actualizó el 13 y el 16 de octubre. Identificó controladores de refrigeración Danfoss, Copeland y Dixell comprometidos y dijo a los operadores que retiraran sus interfaces de gestión del acceso directo a internet.

La agencia recomendó verificar las configuraciones, en particular los programas de descongelación; instalar actualizaciones de software; reemplazar las contraseñas predeterminadas; y permitir el mantenimiento remoto solo a través de conexiones protegidas.

Una red privada virtual, o VPN, es una forma de proporcionar acceso a técnicos autorizados sin exponer públicamente el controlador.

CERT-FR también abordó los equipos comprometidos. Reiniciar un controlador o restaurar la configuración de fábrica podría eliminar cambios maliciosos, pero no repararía las vulnerabilidades de un producto sin soporte. Los equipos reconectados directamente a internet podrían seguir siendo accesibles para los atacantes.

El Centro Nacional de Ciberseguridad del Reino Unido aconseja de manera similar a las organizaciones identificar los equipos de control conectados a internet, restringir el acceso y mantener actualizado el software compatible. Una monitorización de temperatura independiente puede proporcionar una advertencia adicional si el controlador principal o sus alarmas se ven comprometidos. No sustituye la necesidad de proteger el acceso al propio controlador.

En Estonia, los técnicos detuvieron la interferencia de noviembre en cuestión de minutos. En Irlanda, Musgrave dijo que el equipo de monitorización alertó al personal, aunque algunos productos tuvieron que retirarse de la venta.

En Bélgica, el contratista de refrigeración Sabcobel comenzó a movilizar ingenieros durante la noche; su consejero delegado dijo que algunas instalaciones necesitaban modificaciones físicas.

Ningún grupo ha reivindicado la autoría de ninguna de las dos oleadas. El Centro de Ciberseguridad de Bélgica dijo que los perpetradores no habían sido identificados. Los investigadores no han establecido públicamente el método de acceso preciso utilizado en cada empresa afectada.

Las nuevas normas de la UE no protegerán los equipos antiguos

La Ley de Resiliencia Cibernética de la UE introduce obligaciones de seguridad para los fabricantes de productos que contienen componentes digitales.

Desde el 11 de septiembre de 2026, los fabricantes han tenido que notificar ciertas vulnerabilidades explotadas activamente e incidentes de seguridad graves. Los requisitos principales, que abarcan la seguridad de los productos y la gestión de vulnerabilidades, deben aplicarse a partir del 11 de diciembre de 2027.

Esas normas no actualizan automáticamente los controladores de refrigeración que ya están en funcionamiento en las tiendas. Los propietarios y proveedores de mantenimiento todavía tienen que identificar los equipos sin soporte y organizar su protección o sustitución.

Los Países Bajos ofrecen un ejemplo de las advertencias que precedieron a los incidentes de noviembre. Danfoss declaró a la emisora neerlandesa NOS que había contactado con clientes el 13 de octubre, después del ataque en Francia. Les aconsejó desconectar los controladores vulnerables de internet y reconectarlos solo a través de redes seguras.

Al 2 de noviembre, al menos 17 empresas neerlandesas habían reportado interferencias. Un portavoz de Danfoss dijo que la mayoría de los clientes habían seguido el consejo anterior, pero un número menor no lo había hecho. Según el fabricante, los sistemas afectados seguían fuera de redes seguras y continuaban usando contraseñas predeterminadas.