Cientos de comercios en Francia perdieron stock completo tras un ataque coordinado que forzó congeladores a descongelación continua, alcanzando 50 grados Celsius.
Una serie de ataques coordinados contra sistemas de refrigeración comercial en Europa destruyó grandes cantidades de alimentos frescos y congelados en cientos de supermercados durante octubre y principios de noviembre. Los atacantes manipularon remotamente controladores industriales que regulan la temperatura en cámaras frigoríficas, forzándolos a modo descongelación continua hasta alcanzar temperaturas de 50 grados Celsius. El 4 de noviembre, ENISA, la Comisión Europea, Europol y las redes de respuesta a incidentes de la Unión Europea emitieron una advertencia conjunta instando a organizaciones a tomar medidas inmediatas para proteger sistemas vulnerables.
Los incidentes comenzaron en octubre y se intensificaron con una nueva ola el 1 y 2 de noviembre. En Francia, aproximadamente 300 tiendas Intermarché y Netto y menos de 100 puntos de venta Coopérative U reportaron pérdida total de stock refrigerado. La Fiscalía de París confirmó que algunos ataques también provocaron incendios. El patrón se repitió en otros Estados miembros de la Unión Europea, aunque las autoridades no han publicado cifras consolidadas del impacto total.
Controladores obsoletos sin soporte de seguridad como punto de entrada
Los atacantes dirigieron equipos del fabricante danés Danfoss, específicamente controladores de refrigeración más antiguos que habían llegado al final de su vida útil de soporte y ya no recibían actualizaciones de seguridad. Otros sistemas afectados ejecutaban firmware desactualizado. Investigadores habían identificado previamente vulnerabilidades en algunos controladores Danfoss, incluyendo debilidades que podrían permitir a atacantes eludir autenticación, aunque las autoridades europeas no han confirmado si esas fallas específicas fueron explotadas en esta campaña.
La elección de objetivos revela un patrón: los atacantes buscaron deliberadamente sistemas de control industrial conectados a redes corporativas pero gestionados con criterios de seguridad menos rigurosos que la infraestructura IT tradicional. Estos controladores, diseñados para operar durante décadas, frecuentemente permanecen en producción mucho después de que el fabricante deja de proveer parches de seguridad. La accesibilidad remota, implementada para facilitar mantenimiento y monitoreo, se convirtió en el vector de ataque cuando esos sistemas quedaron expuestos sin actualizaciones.
Por qué la refrigeración comercial quedó fuera del radar de ciberseguridad
Los sistemas de gestión de refrigeración operan en la intersección entre tecnología operacional e infraestructura crítica de negocio, pero históricamente han recibido menos atención en estrategias de ciberseguridad que servidores, bases de datos o endpoints corporativos. Las cadenas de supermercados dependen de estos controladores para mantener la cadena de frío que preserva alimentos perecederos, pero la gestión de seguridad de esos dispositivos frecuentemente queda fragmentada entre equipos de facilities, proveedores externos de mantenimiento y departamentos IT que no tienen visibilidad completa sobre qué está conectado a la red.
La magnitud del daño físico en Francia — pérdida total de stock refrigerado en cientos de tiendas — ilustra cómo la manipulación de un controlador industrial puede generar consecuencias que van más allá de interrupciones temporales de servicio o robo de datos. La destrucción de alimentos frescos y congelados implica pérdidas económicas directas, interrupciones en la cadena de suministro y, en el caso de los incendios reportados por la Fiscalía de París, riesgos de seguridad física para empleados y clientes.
Exposición estructural en América Latina por dependencia de los mismos fabricantes
Aunque los ataques reportados se concentraron en Europa, la infraestructura de refrigeración comercial en América Latina presenta vulnerabilidades estructurales similares. Danfoss, el fabricante cuyos controladores fueron objetivo en Francia, tiene presencia significativa en la región: sus sistemas de gestión de refrigeración operan en cadenas de supermercados, centros de distribución y plantas de procesamiento de alimentos en México, Brasil, Argentina, Chile y Colombia. La dependencia de equipos del mismo fabricante, combinada con ciclos de actualización de hardware más largos en mercados emergentes, sugiere que controladores obsoletos sin soporte de seguridad también están en producción en la región.
La conectividad remota de estos sistemas — implementada para reducir costos de mantenimiento mediante monitoreo centralizado — replica en América Latina el mismo vector de ataque explotado en Europa. Cadenas regionales que operan cientos de puntos de venta con gestión de refrigeración centralizada enfrentan el mismo riesgo de manipulación remota a escala. La diferencia crítica es que la región no cuenta con el marco regulatorio de reporte obligatorio de incidentes que entró en vigor en la Unión Europea el 11 de septiembre de 2026 bajo la Cyber Resilience Act, lo que dificulta visibilidad temprana sobre ataques similares si ocurrieran en territorio latinoamericano.
Qué cambia con las nuevas obligaciones de reporte en Europa
Desde el 11 de septiembre de 2026, los fabricantes de productos de hardware y software en la Unión Europea están obligados a reportar incidentes graves y vulnerabilidades activamente explotadas a través de la Plataforma de Reporte Único de la Cyber Resilience Act. Los requisitos principales de ciberseguridad de esa normativa entrarán en vigor el 11 de diciembre de 2027, obligando a fabricantes a adoptar principios de seguridad por diseño y proveer soporte de seguridad durante todo el ciclo de vida del producto, incluyendo remediación de vulnerabilidades sin demora.
La Directiva NIS2 también requiere que organizaciones dentro de su alcance gestionen riesgos de ciberseguridad que afecten sus operaciones y reporten incidentes significativos a su CSIRT nacional o autoridad competente. En el contexto de los ataques a refrigeración, esto significa que tanto fabricantes de controladores como operadores de cadenas de supermercados tendrán obligaciones formales de reporte y gestión de riesgo. ENISA ha publicado una colección de recomendaciones técnicas de CSIRTs nacionales para ayudar a organizaciones a identificar riesgos y aplicar medidas de protección apropiadas, particularmente relevantes para empresas que operan equipos de refrigeración, redes de distribución de alimentos y otras instalaciones que dependen de sistemas de control industrial.
Nuestro análisis
Los ataques a sistemas de refrigeración en Europa exponen un patrón que ya se había documentado en otros sectores de infraestructura crítica: la convergencia entre redes IT y tecnología operacional crea superficies de ataque que las organizaciones no están gestionando con el mismo rigor que aplican a sus sistemas corporativos tradicionales. La elección deliberada de controladores obsoletos sin soporte de seguridad sugiere que los atacantes realizaron reconocimiento previo para identificar objetivos con menor probabilidad de detección y respuesta rápida. La destrucción física de alimentos y los incendios reportados en Francia demuestran que la manipulación de sistemas de control industrial puede generar daño tangible inmediato, no solo interrupciones de servicio reversibles.
Lo que distingue esta campaña de ataques previos a infraestructura crítica es la escala coordinada y la sincronización temporal: la nueva ola del 1 y 2 de noviembre indica capacidad de los atacantes para mantener acceso persistente y ejecutar acciones simultáneas en múltiples objetivos. Las autoridades europeas no han atribuido los ataques a ningún actor específico ni han confirmado si las vulnerabilidades previamente identificadas en controladores Danfoss fueron el vector de entrada, lo que deja sin respuesta dos preguntas críticas: si los atacantes explotaron fallas conocidas que los operadores no parchearon por falta de actualizaciones disponibles, o si descubrieron nuevas vulnerabilidades en sistemas legacy. La respuesta a esa pregunta determina si organizaciones en América Latina y otras regiones que operan los mismos controladores enfrentan exposición inmediata o tienen margen para implementar mitigaciones antes de que el patrón se replique fuera de Europa.
¿Cuántos sistemas de control industrial críticos para operaciones de negocio están conectados a redes corporativas sin visibilidad de seguridad, ejecutando firmware sin soporte, esperando que alguien decida si vale la pena atacarlos?