Atacantes tomaron el control a distancia de controladores de refrigeración del fabricante danés Danfoss en supermercados franceses y puso en marcha su ciclo de descongelamiento. Ocurrió el domingo 11 de octubre, ya de noche. BleepingComputer contabiliza entre 250 y 350 sucursales afectadas de Intermarché, Coopérative U, Super U, Carrefour Market, Monoprix y Leclerc. Cita además a medios franceses que reportan una temperatura de hasta 50 grados.
El software de control que corría en esos equipos era de versiones viejas. En mayo y agosto de 2025, la CISA, agencia de ciberseguridad de Estados Unidos, ya había emitido alertas por fallas en él.
The Record estima en unas 300 las tiendas afectadas de Intermarché y Netto, que pertenecen al Groupement Mousquetaires, y en menos de 100 las de Coopérative U. La fiscalía de París inició una investigación por un ciberataque de gran escala, informó BleepingComputer. Las fuentes consultadas no mencionan quién lo perpetró.
Pérdidas por decenas de millones de euros
El director general de Intermarché, Thierry Cotillard, calculó que el costo podría ser de decenas de millones de euros, según Xataka México. Ese medio indica que la cifra incluye mercancía destruida, ventas perdidas, arreglo de los equipos de frío y los siniestros por fuego ocurridos en varias tiendas. La fiscalía informó a BleepingComputer que intenta identificar a las víctimas y vincular los daños que declararon, por alimentos perdidos y por incendios, con el ataque.
Un vocero de Intermarché responsabilizó del fallo a un ciberataque dirigido a un proveedor de servicios, encargado de administrar la refrigeración de las tiendas. El Groupement Mousquetaires precisó que Danfoss gestionaba los sistemas afectados, según Bloomberg y The Record, y que a ese proveedor le toca interponer la denuncia penal. Danfoss no ha confirmado en público que sus sistemas fueran el objetivo, y tampoco contestó la solicitud de comentarios de The Record.
Desde la noche del domingo, un ciberataque dañaba la refrigeración de varios establecimientos de la red, confirmó Dominique Schelcher, director general de Coopérative U. The Record recogió que lo describió como un hecho sin precedentes y de extrema gravedad, porque se golpea a equipos indispensables para mantener frescos los productos y para el abasto de alimentos de la población francesa. Christophe Hansen, comisario europeo, condenó el ataque y mencionó a Leclerc entre los afectados.
Ante The Record, la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI) dijo que se ocupa del incidente en el ámbito nacional y en coordinación con Europa.
Una vulnerabilidad documentada desde 2025
Los equipos atacados pertenecen a la familia AK-SM 800A, que controla toda la refrigeración de una tienda desde un panel web. El 8 de mayo de 2025 se registró la vulnerabilidad CVE-2025-41450, que consiste en una omisión de autenticación y afecta a la serie AK-SM 8xxA previa a la versión 4.2. La CISA la publicó con una calificación de severidad de 8.2 sobre 10 en su boletín semanal del 12 de mayo. Otra falla, CVE-2025-41451, se registró en agosto. Es una inyección de comandos en los campos de configuración de alarmas por correo y permite, después de autenticarse, ejecutar código a distancia en versiones previas a la 4.3.1.
Amir Zaltzman y el equipo Team82, de la firma Claroty, descubrieron las dos. El informe técnico de los investigadores detalla un mecanismo oculto de «código del día» con el que se omite el inicio de sesión y se logra acceso de administrador a la interfaz web. Añade una tercera falla, CVE-2025-41452, ubicada en la configuración del servidor nginx. Según el documento, la versión corregida es el firmware R4.3.1, y el buscador Censys permitió identificar 2,765 equipos accesibles desde internet.
El lunes, Baptiste Robert, director de Predicta Lab, encontró 2,752 sistemas Danfoss visibles desde internet, de los cuales 1,590 estaban en Francia, según BleepingComputer. Según ese medio, Shodan registra más de 4,500 dispositivos de la marca. Para Xataka, también figuran los modelos AK-SM800 y AK-SC355, y miles de estos controladores, con firmware obsoleto, permanecían expuestos en internet sin que los supermercados lo supieran. Xataka señala incidentes en Bélgica, Alemania, Polonia, Portugal, España y Países Bajos, dato que las demás fuentes consultadas no confirman.
Ahold Delhaize, el mismo lunes
El 12 de octubre, según BleepingComputer, el grupo neerlandés-belga Ahold Delhaize puso fuera de línea varios de sus sistemas por un problema de seguridad en su red. Es dueño de Food Lion, Stop & Shop, Albert Heijn y Delhaize. La empresa, que opera más de 9,400 tiendas en Europa, Estados Unidos e Indonesia, dijo que su personal analiza y contiene el incidente, y que los locales siguen abiertos. Se interrumpieron los sitios web, las aplicaciones, la atención al cliente y los pedidos en línea, además de la consulta de horarios y recibos de pago por parte de los empleados.
BleepingComputer no relaciona este caso con el francés. Xataka lista a Ahold Delhaize entre los incidentes fuera de Francia, sin pruebas de un vínculo. En noviembre de 2024, el grupo de ransomware INC Ransom robó a la compañía información personal, financiera y de salud de 2.2 millones de personas.
El vacío en México
En su sitio para México, Danfoss indica que cumplió 25 años en el país en 2020, que mantiene líneas de servicio al cliente y que atiende, entre otras, a la industria de alimentos y bebidas. Ni Predicta Lab ni Claroty precisan cuántos de los controladores expuestos están en territorio mexicano. Las fuentes revisadas tampoco consignan ninguna postura de las autoridades mexicanas o de las cadenas de autoservicio del país frente al incidente.
Desde hace más de un año están a disposición las alertas de la CISA y el firmware corregido. No hay respuesta pública sobre tres puntos: cuántos controladores de esta familia operan en supermercados y cámaras frías de México, cuántos siguen en versiones previas a la R4.3.1 y a qué autoridad corresponde la atribución de verificarlo.
En Francia siguen abiertos la investigación de la fiscalía de París y el trabajo de la ANSSI. Danfoss tampoco ha dicho cómo se entró a los equipos de sus clientes.