Atacantes sin identificar tomaron a distancia el control de los sistemas de refrigeración de cientos de supermercados franceses durante la noche del 11 al 12 de octubre de 2026 y forzaron ciclos de desescarche que dispararon la temperatura de vitrinas y cámaras. El ministro de Economía, Roland Lescure, cifró ante el Parlamento el alcance en unos 700 de los cerca de 10.000 supermercados del país, con establecimientos de Intermarché, Netto, Coopérative U, E.Leclerc, Carrefour y Monoprix entre los afectados.
Las claves del sabotaje a la refrigeración de los supermercados franceses en 20 segundos
- Entre el 11 y el 13 de octubre de 2026 hubo al menos dos oleadas contra controladores de frío.
- El Gobierno francés habla de unos 700 establecimientos de seis enseñas.
- La ANSSI lo atribuye a equipos expuestos en internet y contraseñas débiles.
- Nadie lo ha reivindicado ni ha pedido rescate, y la Fiscalía de París investiga.
Las informaciones publicadas no hablan de cajas, básculas ni etiquetas electrónicas caídas. Los atacantes fueron a la tecnología operacional (OT, los equipos que controlan procesos físicos) que regula el frío de cada tienda: controladores y supervisores conectados que fijan consignas de temperatura y programan los desescarches. Según BFMTV, recogido por varios medios especializados, algunas instalaciones llegaron a 50 °C. Hubo producto fresco y congelado destruido, daños en equipos y conatos de incendio que la investigación judicial intenta vincular con el ataque. Intermarché ha señalado que sus seguros no cubren este tipo de incidente en tienda.
Qué se sabe del ataque y qué sigue sin aclarar
Los equipos atacados son, sobre todo, controladores del fabricante danés Danfoss. El CERT-FR, el equipo de respuesta de la Agencia Nacional de Seguridad de los Sistemas de Información de Francia (ANSSI), publicó una alerta el 12 de octubre que amplió al día siguiente: menciona compromisos en las series Danfoss AK-SM y AK-SC y en los supervisores XWEB de Copeland y su marca Dixell, y advierte de que la campaña probablemente seguía activa. Danfoss sostiene que la mayoría de las unidades afectadas eran productos antiguos que ya no recibían actualizaciones o funcionaban con firmware obsoleto, y recuerda que lleva tiempo pidiendo a sus clientes mantenerlos al día y detrás de un cortafuegos. Copeland reconoció la vulnerabilidad y dice trabajar con los clientes afectados.
El vector es el punto que más ha cambiado con los días. Las primeras informaciones apuntaban a fallos ya publicados en el Danfoss AK-SM 800A, como CVE-2025-41450 (evasión de autenticación) y CVE-2025-41451 (inyección de comandos), que investigadores de Claroty presentaron en agosto y que el fabricante corrigió en el firmware R4.3.1. El 21 de octubre, en una comparecencia ante el Senado, el director general de la ANSSI, Vincent Strubel, descartó esa hipótesis: según su análisis, los atacantes aprovecharon «défauts de sécurisation élémentaires» (en francés, «fallos elementales de seguridad»), en concreto equipos expuestos directamente a internet, administrados sin protección particular y con contraseñas débiles. Strubel recordó que la guía de sistemas industriales que la agencia publica desde 2014 pide, como primera medida, no exponer estos equipos a la red, y admitió que esas recomendaciones no se cumplen de forma sistemática.
Las cifras tampoco cuadran entre fuentes. BleepingComputer recogía al principio entre 250 y 350 tiendas; BFMTV habló de cerca de 400; Sud Radio, de entre 500 y 700, y el ministro dio los 700. Intermarché comunicó a la AFP entre 150 y 200 tiendas propias, mientras su grupo, Les Mousquetaires, elevó después a 300 las de Intermarché y Netto. Coopérative U pasó de «menos de un centenar» a 80 de sus 2.000 tiendas, según su presidente, Dominique Schelcher. Algunos medios franceses han citado tiendas afectadas en otros países, incluida España, y congeladores programados a 150 °C en equipos Dixell, pero ni las cadenas ni los organismos públicos lo han confirmado. El incidente que Ahold Delhaize comunicó esos mismos días, con webs caídas en Europa y Estados Unidos, no tiene por ahora relación probada con esta campaña. Nadie ha reivindicado la autoría ni se ha conocido petición de rescate, y la Fiscalía de París ha encargado la investigación a la Oficina Anticibercriminalidad (OFAC).
El problema va más allá de Francia. Forescout localizó el 26 de octubre 12.976 servicios de control de refrigeración visibles en internet en 99 países, repartidos en 6.017 direcciones IP, y calculó que el 80 % de los Danfoss StoreView observados usaba firmware antiguo.
Cómo proteger el OT y el IoT que sostienen el negocio
Un controlador de frío, un PLC (controlador lógico programable) o una pasarela IoT (internet de las cosas) son ordenadores con consecuencias físicas. Los marcos de referencia coinciden en lo básico: la norma IEC 62443 organiza la red en zonas y conductos con niveles de seguridad, el modelo Purdue separa por capas lo corporativo de lo que controla el proceso, y el NIST SP 800-82 (revisión 3) adapta esos controles a sistemas SCADA (supervisión, control y adquisición de datos) y otros entornos de control. Las guías de la ANSSI y de INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad, aterrizan esas ideas. A partir de ellos y de la alerta del CERT-FR, estas son las medidas con más retorno:
- Inventario de activos. Saber qué controladores hay, qué firmware llevan, quién los mantiene y con qué se comunican. INCIBE-CERT dedica una guía específica a este paso, porque sin él no se puede segmentar ni parchear.
- Nada de OT expuesto a internet. Es la primera recomendación de la ANSSI y la que falló aquí. Conviene buscar de forma periódica las IP públicas propias con los mismos buscadores que usan los atacantes.
- Segmentación IT/OT. Separar la red corporativa de la de control con cortafuegos y una zona intermedia, siguiendo las zonas y conductos de IEC 62443, para que un equipo comprometido no dé paso al resto.
- Acceso remoto de proveedores bajo control. Solo por VPN (red privada virtual) o pasarela con autenticación multifactor, cuentas nominales, sesiones registradas y acceso que se abre cuando hace falta. El CERT-FR admite filtrar por IP del proveedor solo como medida de urgencia.
- Credenciales por defecto fuera. Cambiar contraseñas de fábrica, eliminar cuentas genéricas y activar los modos de seguridad estrictos que ofrezca el fabricante, como pide el CERT-FR para Danfoss.
- Parches, firmware y fin de vida. Planificar las actualizaciones con el mantenedor y presupuestar la sustitución de lo que ya no recibe soporte: según el CERT-FR, restaurar de fábrica un equipo sin parches no lo protege de volver a caer.
- Monitorización pasiva. Sondas que escuchan el tráfico sin interferir y alertan de cambios de consigna, nuevos accesos o comandos a horas raras, una línea que la ANSSI desarrolla en su doctrina de detección para sistemas industriales.
- Copias offline de la configuración. Guardar fuera de línea los parámetros de cada controlador (consignas, horarios de desescarche, alarmas) para restaurarlos rápido y comprobar si alguien los ha tocado.
En este sitio ya se ha tratado cómo proteger los sistemas OT antiguos que no se pueden sustituir de un día para otro, un escenario que encaja con el parque de controladores afectado en Francia.
Seguir vendiendo cuando el sistema cae y lo que exige NIS2
La prevención no basta si el plan de continuidad da por hecho que todo funciona. En distribución alimentaria eso significa saber operar en modo degradado: termómetros independientes con alarma propia que no dependan del controlador atacado, mandos locales para fijar temperatura a mano, frigoristas localizables de guardia y criterios claros para decidir qué producto se retira. Lo mismo vale para las cajas, que deberían poder cobrar sin conexión durante un tiempo razonable, y para la logística de la cadena de frío. El CERT-FR añade un detalle práctico: antes de cortar la telemetría hacia el proveedor de mantenimiento, conviene revisar las condiciones del seguro.
En el plano regulatorio, la Directiva NIS2 (la segunda directiva europea sobre seguridad de redes y sistemas de información, 2022/2555) incluye la producción y distribución de alimentos entre los sectores obligados a gestionar riesgos y notificar incidentes. España aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, pero el texto no consta publicado en el BOE y la Comisión Europea llevó al país ante el Tribunal de Justicia de la UE el 8 de julio de 2026, con petición de multas diarias, por no notificar la transposición completa. Francia figura en la misma lista. Mientras tanto sigue vigente el Real Decreto-ley 12/2018, y las empresas que quieran adelantarse tienen en este artículo sobre lo que NIS2 exige para recuperarse de un ciberataque una referencia útil.
Preguntas frecuentes
¿Qué supermercados se vieron afectados por el ciberataque en Francia?
Tiendas de Intermarché y Netto, Coopérative U, E.Leclerc, Carrefour y Monoprix. El Gobierno francés calcula unos 700 establecimientos, aunque las cifras varían según la fuente y la fecha.
¿Cómo entraron los atacantes en los sistemas de refrigeración?
Según la ANSSI, por equipos expuestos directamente a internet, administrados sin protección y con contraseñas débiles. La agencia descartó que se explotaran las vulnerabilidades publicadas en los dos años anteriores.
¿Quién está detrás del ataque?
No se sabe. Nadie lo ha reivindicado, no ha trascendido ninguna petición de rescate y la Fiscalía de París investiga a través de la OFAC.
¿Está en vigor NIS2 en España?
No. La ley de transposición sigue en tramitación y la Comisión Europea llevó a España al Tribunal de Justicia de la UE en julio de 2026. Mientras, se aplica el Real Decreto-ley 12/2018.
Fuentes:
- BleepingComputer: Cyberattack shuts down refrigerators at French supermarkets
- Le Monde Informatique: Une cyberattaque perturbe les installations frigorifiques de centaines de supermarchés
- IT-Connect: cyberattaque contre les supermarchés et les systèmes Danfoss
- Associated Press: Cyberattack targeting refrigeration systems hits 700 supermarkets
- Public Sénat: comparecencia de Vincent Strubel (ANSSI)
- Techniques de l’Ingénieur (AFP): defectos elementales de seguridad, según la ANSSI
- Refindustry: resumen de la alerta del CERT-FR sobre controladores de refrigeración
- Euronews: inquietud por la serie de ciberataques contra supermercados
- Sud Radio: la oleada continúa en Francia
- Hackread: 12.976 controles de refrigeración expuestos en 99 países (Forescout)
- ANSSI: La cybersécurité des systèmes industriels, mesures détaillées
- ANSSI: Doctrine de détection pour les systèmes industriels
- INCIBE-CERT: Guía de inventario de activos en sistemas de control industrial
- INCIBE-CERT: Guía de acceso seguro a dispositivos de campo
- NIST SP 800-82 Rev. 3: Guide to Operational Technology Security
- ISA: serie de normas ISA/IEC 62443
- Comisión Europea: remisión de España, Francia, Irlanda y Países Bajos al TJUE por NIS2
- nisd2.eu: estado de la transposición de NIS2 en España
