Ciberataques a frigoríficos de supermercados en Europa: la segunda oleada y la lección para la OT

Según The Hacker News, una nueva oleada de ciberataques a frigoríficos de supermercados en Europa dejó, la madrugada del lunes 2 de noviembre, neveras y congeladores calientes que encargados de tienda de varios países encontraron al abrir [1]; en un establecimiento del sur de Suecia, según BleepingComputer y The Record, los equipos se habían ajustado a 50 °C [3][4]. Semanas antes, la noche del 11 al 12 de octubre, cientos de supermercados franceses habían sufrido ataques, según SecurityWeek [2]; no hay un vínculo establecido entre ambos episodios.

El daño es visible y se mide en producto tirado a la basura. Las autoridades no han explicado públicamente cómo entraron los atacantes ni han identificado a los responsables; las fuentes describen controladores de refrigeración expuestos a internet y problemas de actualización.

Una nueva oleada de incidentes, sin vínculo establecido con la de Francia

Según SecurityWeek, tiendas de Bélgica, Estonia, Irlanda, Luxemburgo, Países Bajos y Suecia vieron subir la temperatura de sus equipos entre el domingo y el lunes, y, según la prensa, también se notificaron problemas en Finlandia, Italia y Portugal [2]. BleepingComputer, que recabó confirmaciones de portavoces de varias cadenas, sitúa el recuento por encima del centenar de establecimientos [3]. El perfil de los afectados es muy variado: SecurityWeek describe un abanico que va de grandes cadenas a pequeñas carnicerías [2].

Danfoss aparece en varios de los casos, aunque en Bélgica también se notificaron ataques contra equipos de Copeland, según The Record [4]. The Hacker News recoge que Danfoss, fabricante danés de controles de refrigeración, reconoció que sus productos estaban implicados, igual que en los ataques a supermercados franceses de octubre [1]. Ese mismo medio señala que algunos establecimientos tuvieron que tirar alimentos refrigerados y congelados o retirarlos de la venta [1].

El impacto no se queda en las grandes superficies. Reuters recoge el caso de De Laet & Van Haver, una carnicería de Hove, cerca de Amberes, cuyo propietario dijo a Reuters que se destruyeron unos 15.000 euros de carne [7]. Para un negocio pequeño, un controlador manipulado durante una noche no es un incidente informático: es una pérdida de existencias que se ve y se paga.

Lo que se sabe y lo que sigue sin respuesta pública

Conviene separar los hechos confirmados de lo que todavía es especulación. Según The Record, minoristas y proveedores de equipos describen lo ocurrido como un ciberataque [4], y The Hacker News precisa que los atacantes cambiaron los ajustes de los controles de refrigeración de forma remota [1]. En Bélgica, según la empresa de refrigeración Sabcobel recogida por BleepingComputer, se activaron funciones de descongelación que, en lugar de retirar el hielo, hicieron que los equipos se calentaran [3].

A partir de ahí, las respuestas se acaban. Nadie ha reivindicado los ataques, según coinciden The Hacker News y SecurityWeek [1][2], y los investigadores no han establecido si las dos oleadas están conectadas [2]. BleepingComputer añade que no está claro si se trató de un ataque coordinado o de objetivos atacados uno a uno [3]. The Record subraya que ningún cuerpo policial ni agencia pública ha identificado a los responsables [4].

Sobre el método de acceso no hay una explicación oficial. SecurityWeek afirma que las autoridades no han explicado públicamente cómo entraron los atacantes [2]. Cualquier relato sobre el vector de entrada debe tratarse, por ahora, como hipótesis.

Un controlador de refrigeración es un ordenador industrial dentro de una tienda

Para entender por qué esto importa más allá de la noticia, hay que mirar el equipo atacado. The Hacker News lo describe sin rodeos: los controles de refrigeración son ordenadores que gobiernan neveras y congeladores, y pueden conectarse a internet para que el frigorista los vigile y repare averías a distancia [1]. Industrial Cyber enmarca los ataques como una muestra de las debilidades de los sistemas OT conectados y recuerda que, a diferencia de un ataque a sistemas de información, aquí las consecuencias son físicas e inmediatas [5].

En algunos casos documentados, estos equipos estaban fuera de las protecciones o de la red central del minorista. Las fuentes documentan casos de equipos fuera de las protecciones o de la red central del minorista, pero no describen quién los compra ni cómo se inventarían. The Hacker News recoge, sin nombrar aquí a las empresas, que en algún caso los equipos afectados estaban fuera de las protecciones centrales del minorista o conectados a una red ajena a la corporativa [1].

La exposición, además, era conocida. Según Censys, el 11 de octubre, antes de los ataques en Francia, había 1.825 instancias de Danfoss StoreView accesibles desde internet en ese país, y el 2 de noviembre algo más de 1.000 en todo el mundo [8]. Es un dato de una única fuente y no demuestra que ese fuera el vector de entrada, pero dibuja bien el problema: equipos de gestión alcanzables desde internet. Para abordar estos riesgos, puede servir lo aprendido sobre cómo proteger una instalación conectada frente a ciberataques.

El parche depende de una cadena de fabricante, instalador y mantenedor

Si el equipo sigue expuesto y sin parche, la pregunta útil no es solo técnica. Desde nuestro análisis, ante un controlador desactualizado conviene aclarar quién lo instaló, quién lo mantiene a distancia, quién decide actualizarlo y quién responde si falla. Las propias fuentes muestran lo enrevesada que es esa cadena. Según The Hacker News, el responsable de la frigorista belga Sabcobel explicó que una actualización de software no basta, porque las instalaciones necesitan cambios físicos que cuestan dinero [1].

Hay que ser preciso con lo que no se sabe. Las fuentes no establecen que el acceso se produjera a través de un mantenedor remoto. Las versiones publicadas sobre el punto de entrada difieren y no hay confirmación oficial.

Lo que sí se puede hacer es pedir cuentas antes del próximo incidente. En la práctica, a proveedores y mantenedores conviene exigirles un inventario de los equipos que gestionan, acceso remoto con autenticación robusta y registro de cada conexión, y responsabilidades de actualización fijadas por contrato. Es el terreno de la gestión del riesgo de proveedores y terceros.

La regulación llegará a los fabricantes, pero los equipos ya instalados seguirán ahí

El marco europeo se está moviendo, aunque despacio para este problema. Según The Record, el Reglamento de Ciberresiliencia de la UE (Cyber Resilience Act) impondrá requisitos más estrictos a estos productos a partir de diciembre de 2027, cuando los fabricantes tendrán que ofrecer un periodo de soporte acorde con la vida esperada del producto; el medio añade que, en el momento de su información, no existían obligaciones legales para que los fabricantes corrigieran los productos objeto de estos ataques [4]. The Record recoge además que Danfoss aplicaba una política de fin de servicio para productos antiguos, citando la legislación europea reciente [4].

Esa fecha deja un hueco evidente: el parque ya desplegado, con equipos que no recibirán más actualizaciones, dependerá de cómo lo gestione cada operador. Conviene confirmar con asesoría jurídica qué normativa resulta aplicable a tu organización y revisar, si procede, los requisitos de NIS2 para el sector industrial y OT.

Saber qué equipos están expuestos es el control que se puede aplicar ya

No hace falta esperar a la atribución para actuar. La alerta del CERT-FR, el equipo de respuesta de la agencia francesa ANSSI [6], sigue siendo la guía más detallada para operadores, según The Hacker News, e insiste en que los equipos sin soporte que permanecen en internet tienen muchas probabilidades de verse comprometidos [1]. A partir de esa alerta y de lo que recogen las fuentes, los pasos razonables son:

1. Inventariar los controladores de refrigeración y los sistemas de gestión de tienda, incluidos los que gestiona un tercero.
2. Comprobar cuáles son alcanzables desde internet y cortar esa exposición, consultando antes el contrato con el frigorista y el seguro.
3. Verificar con el fabricante la versión, el estado del parche y si el equipo sigue teniendo soporte; cambiar las contraseñas de fábrica.
4. Revisar y restringir los accesos remotos de terceros, limitándolos a una VPN o red protegida con registro de conexiones.
5. Preparar un procedimiento manual de contingencia para vigilar temperaturas y proteger el producto si el controlador deja de ser fiable.

La idea de fondo es sencilla: un controlador de refrigeración conectado a internet es un activo OT con impacto físico; conviene aplicar controles de inventario, actualización y acceso remoto. Hay que inventariarlo, parchearlo o sustituirlo y exigir su gobierno a quien lo mantiene, sin esperar a saber quién atacó ni cómo. Si quieres ordenar ese trabajo en tu organización, puedes ver cómo abordamos la seguridad OT industrial.