Según los primeros análisis, el ciberataque que alteró la refrigeración de supermercados franceses, con equipos que llegaron a 50 °C, no necesitó técnicas sofisticadas: le bastó un acceso no verificado. El caso confirma que cualquier sistema conectado, también una cámara frigorífica, es hoy objetivo de ciberataques, y que controlar quién accede a él es la primera línea de defensa.
En la madrugada del lunes 12 de octubre, unos atacantes tomaron el control remoto de los sistemas de refrigeración de cientos de supermercados en Francia: Intermarché, Netto, Coopérative U, E.Leclerc y Carrefour, entre otros. Activaron una función legítima, el ciclo de descongelación, hasta que algunos equipos alcanzaron 50 °C. La Fiscalía de París investiga un ciberataque que ya se cuenta por millones en producto desechado.
Los equipos atacados, controladores Danfoss de las series AK-SM y AK-SC, son dispositivos del internet de las cosas industrial: pequeños servidores con interfaz web que permiten vigilar y gestionar el frío a distancia. El lunes había 2.752 sistemas Danfoss accesibles desde internet, 1.590 de ellos en Francia, según Baptiste Robert, CEO de Predicta Lab, citado por Infordisa.
Según los primeros análisis, no hizo falta un ataque sofisticado. Bastó con que alguien se presentara como administrador y que el sistema no verificara quién era.
Por eso el hackeo de los frigoríficos de supermercados en Francia sigue la misma lógica que el credential stuffing y el fraude que no se ve: accesos que parecen legítimos, a escala, en sistemas donde nadie comprueba de forma continua quién está al otro lado.
Qué ha pasado en el ciberataque a los supermercados de Francia
Los atacantes accedieron en remoto a los controladores de refrigeración de las tiendas, los equipos que vigilan la temperatura y programan los ciclos de descongelación. Según la cadena de televisión francesa BFMTV, citada por la agencia de noticias AFP activaron a distancia esa descongelación para que el interior de las cámaras se calentara. Les Mousquetaires, propietario de Intermarché, contó a la agencia Reuters que algunos equipos llegaron a 50 °C durante seis horas.
El resultado: producto desechado por seguridad sanitaria, investigación abierta en la Fiscalía de París, también por los incendios notificados esa noche, y el primer ministro, Sébastien Lecornu, pidiendo a la ANSSI (la agencia francesa de ciberseguridad) que tome el caso. El director ejecutivo de Coopérative U lo calificó ante la BBC de «extremadamente grave y sin precedentes».
Cuántas tiendas exactamente depende de a quién se pregunte, y las cifras han crecido con cada actualización:
| Qué cuenta |
|---|
| Unas 150 tiendas Intermarché en el primer recuento |
| Más de 100 tiendas de Coopérative U y unas 180 de Intermarché y Netto |
| Al menos 300 Intermarché y Netto, más de 100 Coopérative U y varios E.Leclerc |
| Cerca de 80 supermercados |
El denominador común es el fabricante: Danfoss, la empresa danesa que produce esos controladores. Confirmó a AFP que entre los equipos afectados están los modelos AK-SM800 y AK-SC355, que ya no reciben actualizaciones de seguridad. El director general de la ANSSI, Vincent Strubel, pidió desconectarlos de internet con urgencia.
Un apunte para no mezclar titulares: el grupo Ahold Delhaize sufrió ese mismo día otro incidente en Países Bajos y Bélgica, pero, como subraya Xataka, no hay pruebas que lo conecten con Francia.
Usuario «admin» y la fecha de hoy: así entraron en los sistemas
Según los primeros análisis, el acceso no se forzó: «se adivinó». El usuario era «admin» y la contraseña, la fecha del día. Ningún exploit de película, ningún grupo de élite rompiendo cifrados. Una credencial predecible, en equipos en producción, conectados a internet.
Su diagnóstico enumera cuatro fallos básicos que coincidieron a la vez. Los traducimos a lo que significan en clave de identidad:
| El fallo | Lo que significa en clave de identidad |
|---|---|
| Credenciales por defecto o predecibles en producción | La contraseña no identifica a nadie: la conoce o la deduce cualquiera |
| Sistemas OT expuestos directamente a internet (Claroty cuenta 2.765) | Cualquiera, desde cualquier lugar, puede presentarse como administrador |
| Software sin parchear durante años | El sistema sigue confiando en mecanismos de acceso que ya se sabe que fallan |
| Ninguna segmentación de red | Una vez dentro, nadie vuelve a preguntar quién eres |
El tercer punto lo acompaña de una frase que merece enmarcarse en cualquier comité de riesgos: «es una nevera, ¿quién la va a atacar?».
La firma francesa de ciberseguridad ofensiva Synacktiv apunta en la misma dirección. Su hipótesis principal, según La Revue du Digital, es un ataque oportunista: localizar equipos de refrigeración expuestos con buscadores especializados como Shodan y entrar con vulnerabilidades conocidas o credenciales débiles. En una auditoría anterior a otras cadenas, sus investigadores ya habían encontrado sistemas de frío accesibles desde internet sin contraseña alguna.
Hay un detalle más que ilustra el problema. Los investigadores de Claroty documentaron este año, en un modelo posterior de Danfoss, un mecanismo oculto que generaba un «código del día» a partir de la fecha del controlador y daba acceso de administrador sin conocer la contraseña. Danfoss ya lo ha corregido en sus versiones recientes y no está demostrado que ese fallo se usara en Francia. Pero el patrón es el mismo: el sistema decide quién eres con una prueba que alguien puede calcular.
Y un último eslabón: estos equipos los suelen administrar en remoto los técnicos frigoristas que los mantienen. El proveedor atacado daba servicio a varias cadenas a la vez. Un mismo acceso de tercero, muchas víctimas.
Internet de las cosas: la nevera también es un ordenador
Los frigoríficos de un supermercado ya no son solo frigoríficos. Sus controladores son dispositivos del internet de las cosas (IoT) en su versión industrial: equipos conectados que miden temperaturas, lanzan alarmas y aceptan órdenes en remoto para que el proveedor de mantenimiento los gestione sin desplazarse. Esa comodidad tiene un coste: cada dispositivo conectado es un punto de acceso, y cada punto de acceso necesita una identidad verificable.
El problema es de escala. Buscadores especializados como Shodan o Censys indexan estos dispositivos igual que Google indexa páginas web, y Claroty los usó en su investigación para localizar interfaces de administración de Danfoss expuestas. Según Infordisa, Shodan registra más de 4.500 de estos sistemas.
En clave de identidad, el IoT multiplica algo que el sector financiero conoce bien: las identidades no humanas. Cada controlador, cada cámara IP y cada termostato acepta que alguien se autentique ante él. Si esa identidad es «admin» con una contraseña predecible, repetida en miles de dispositivos, ya no hablamos de un fallo aislado, sino de una superficie de ataque a escala industrial.
Y no es un problema exclusivo del retail ya se han detectado fallos de este tipo en coches eléctricos, routers, cámaras IP, cerraduras electrónicas de hotel e incluso en dispositivos médicos como marcapasos o bombas de insulina.
Europa ha empezado a legislar. Desde agosto de 2025, la normativa de equipos radioeléctricos exige requisitos básicos de ciberseguridad a los dispositivos inalámbricos conectados que se venden en la UE. El Reglamento de Ciberresiliencia (CRA) obliga a los fabricantes a notificar vulnerabilidades explotadas desde septiembre de 2026 y a garantizar la seguridad por diseño desde diciembre de 2027. Pero ninguna de las dos normas es retroactiva: no protegen los miles de controladores instalados hace años que siguen conectados hoy.
El primo hermano del credential stuffing
Seamos precisos, que para eso estamos: técnicamente, lo de Francia no es credential stuffing. Pero comparte su ADN, y por eso debería preocupar mucho más allá del sector de la alimentación.
El credential stuffing consiste en tomar combinaciones de usuario y contraseña filtradas en brechas anteriores y probarlas de forma automática en miles de servicios. Funciona por una razón muy humana: reutilizamos contraseñas. El ataque a los frigoríficos sigue la misma lógica industrial, solo que con credenciales que ni siquiera hacía falta robar.
Y quizá ni siquiera hiciera falta un atacante externo. Que detrás haya un antiguo empleado o técnico con accesos que nadie revocó es, por ahora, una hipótesis sin confirmar. Pero tiene precedente en Francia: en 2019, una empresa de Montauban vio cómo alguien modificaba en remoto la temperatura de sus cámaras frigoríficas, y la Gendarmería identificó al autor, un antiguo empleado, según recoge Solutions Numériques. Un acceso que sobrevive a la persona que lo usaba es una identidad huérfana: válida para el sistema, pero sin nadie legítimo detrás.
| Credential stuffing | Hackeo de frigoríficos en Francia | |
|---|---|---|
| Punto de partida | Credenciales filtradas en brechas anteriores | Credenciales por defecto o predecibles |
| Cómo escala | Pruebas automáticas en miles de servicios | Búsqueda automática de equipos expuestos (hipótesis de Synacktiv) |
| Por qué funciona | Reutilizamos contraseñas | Nadie cambió la contraseña de fábrica |
| Qué falla de fondo | La contraseña es la única prueba de identidad | La contraseña es la única prueba de identidad |
En ambos casos, el sistema confunde saber un dato con ser alguien. Una credencial demuestra que quien está al otro lado conoce una combinación de caracteres. No demuestra quién es, ni si debería estar ahí, ni si está haciendo algo que tenga sentido.
Y las credenciales, además, viajan. Los infostealers, programas maliciosos especializados en robar contraseñas guardadas en el navegador, están entre los riesgos que citan los análisis franceses del caso. Basta con que el portátil de un técnico de mantenimiento esté infectado para que su acceso remoto pase a manos ajenas, con su nombre y sus permisos.
La frase que resume esta sección cabe en una línea: un acceso legítimo no es lo mismo que el acceso de alguien legítimo.
El fraude que no se ve es el que está ganando
Seis horas. Es el tiempo que, según Les Mousquetaires, algunos equipos estuvieron a 50 °C. En ciberseguridad, seis horas es una eternidad. Y lo más revelador es que la descongelación es una función perfectamente legítima del sistema: nadie rompió nada, alguien usó el panel como si fuera suyo.
Ahí está la trampa del fraude invisible. Cada señal, por separado, parece normal:
- Un inicio de sesión de administrador. Pasa todos los días.
- Una orden de descongelación. Es para lo que existe el botón.
- Una conexión remota de madrugada. Los técnicos también hacen guardias.
Conectadas, cuentan otra historia: la misma orden, la misma noche, en cientos de tiendas de cadenas distintas, desde accesos que nadie había verificado. Ese patrón no lo detecta quien mira un evento. Lo detecta quien mira la continuidad entre eventos.
Es exactamente lo que ocurre en el fraude financiero. Una toma de control de cuenta (account takeover) casi nunca parece un robo: es un inicio de sesión correcto, una transferencia normal y un cambio de dispositivo que, uno a uno, pasan cualquier filtro. El fraude que tu sistema no ve no es el más sofisticado. Es el que se disfraza de operación rutinaria.
Y tampoco es que nadie avisara. Danfoss ya había documentado en 2022 ataques contra supermercados en Rusia e Israel con sus controladores AK-SM800, según Xataka en equipos estaban señalados como obsoletos desde 2021. Medir el riesgo no es tener el dato en un informe: es que ese dato cambie decisiones. Y que los sistemas, los equipos de seguridad, los de mantenimiento y los proveedores hablen entre ellos antes de que lo haga el termómetro.
¿Guerra híbrida? Las batallas ya se libran con un inicio de sesión
Nadie ha reivindicado el ataque y nadie ha pedido rescate. Ese detalle es el que lleva a varios expertos a hablar de guerra híbrida. Las sospechas apuntan a Rusia y, en concreto, a APT28, un grupo vinculado a los servicios de inteligencia rusos que tendría a Francia entre sus objetivos prioritarios desde 2021, nada confirmado, y la identidad de los atacantes sigue sin conocerse públicamente.
Conviene leerlo con la cabeza fría, porque la atribución en ciberseguridad es lenta y engañosa. Francia lo sabe bien: en 2015, el apagón de TV5Monde se presentó como obra de yihadistas y las investigaciones posteriores lo vincularon a ese mismo grupo ruso.
Lo que sí es indiscutible es el tipo de objetivo. Si no hay dinero de por medio, el botín es otro: la confianza. Que un ciudadano abra el congelador del súper y lo encuentre caliente, que la cadena de frío se convierta en titular y que la pregunta del día sea «¿puede pasar aquí?». Es barato de ejecutar, caro de reparar y muy rentable en percepción.
Ya lo apuntábamos en nuestro análisis sobre Jabaroot y la filtración de datos en Marruecos: hace tiempo que las grandes batallas no se ganan solo en el terreno, sino en los servidores. Lo que cambia ahora es la puerta de entrada. Las guerras del siglo XXI no siempre empiezan con un misil. A veces empiezan con un usuario y una contraseña.
Crónica de un ataque (y de cómo se comunica)
Quienes nos dedicamos a la comunicación vemos este caso con otra lente, y deja tres lecciones de manual.
Primera: el «fue el proveedor» no protege la reputación. E.Leclerc explicó a AFP que el ataque había afectado a uno de sus proveedores de material frigorífico. Danfoss, por su parte, recordó que la mayoría de unidades afectadas eran productos antiguos, al final de su vida útil y sin actualizaciones de seguridad, y ante la BBC insistió en que sus modelos actuales no tienen ese riesgo. Todo puede ser cierto. Pero para el cliente que ve el congelador vacío, la nevera es del súper. En una cadena de suministro, la responsabilidad técnica se reparte; la reputacional, no tanto.
Segunda: dar la cara pronto contiene el relato. El presidente de Coopérative U, Dominique Schelcher, confirmó el incidente públicamente y explicó que sus equipos trabajaban con especialistas en refrigeración, según recoge Xataka. Reconocer, explicar qué se está haciendo y no especular: la fórmula no tiene glamour, pero funciona.
Tercera: las cifras que bailan restan credibilidad. 150 tiendas, luego 180, luego más de 300, más otras 80 de Carrefour. Es normal que un recuento crezca en las primeras horas, pero cada actualización alimenta la sensación de que nadie controla el perímetro. En crisis, mejor un dato pequeño y sostenible que uno grande que hay que corregir.
Y una cuarta, para quienes leemos titulares: «hackers rusos» es una sospecha, no un hecho. La distancia entre el titular y el dato verificable vuelve a ser, como en tantos incidentes recientes, parte del propio ataque.
La ciberseguridad no es un evento: es un continuo
La seguridad que falló en Francia es la de «compruebo una vez y me olvido»: una contraseña puesta el día de la instalación, un parche que nunca llegó, un acceso remoto que nadie volvió a revisar. Frente a ese modelo, tres ideas que valen para un supermercado, un banco o un hospital:
- Identidad continua. Verificar quién eres no puede reducirse al inicio de sesión. La autenticación debe apoyarse en factores que no se adivinan ni se reutilizan y seguir comprobándose durante la sesión con señales de comportamiento y de dispositivo. Si quien opera deja de comportarse como quien dice ser, el sistema debe notarlo.
- Inteligencia conectada. Las señales sueltas engañan; conectadas, cuentan la historia completa. Correlacionar sesiones, cuentas y operaciones es lo que permite ver el patrón que ningún evento aislado muestra, como cientos de descongelaciones en una misma noche.
- De la detección a la prueba. No basta con detectar. Cada acceso sensible debe poder demostrarse: quién entró, cómo se verificó y qué hizo. Es lo que separa una investigación de semanas de una respuesta de horas, y lo que convierte el cumplimiento normativo en ventaja. No es un detalle menor: la directiva europea NIS2 ya incluye la producción y distribución de alimentos entre los sectores que deben gestionar su riesgo de ciberseguridad.
Traducido a lo práctico: la ciberseguridad continua significa actualizar de forma continua, medir el riesgo de forma continua y verificar la identidad de forma continua. Lo contrario de un equipo instalado hace años con la contraseña de fábrica.
La noche del 11 al 12 de octubre de 2026, un ciberataque permitió manipular en remoto los controladores de refrigeración de cientos de supermercados en Francia. Los atacantes activaron ciclos de descongelación que calentaron los equipos hasta 50 °C y obligaron a desechar producto.
Intermarché, Netto, Coopérative U, E.Leclerc y Carrefour, entre otros. Las cifras varían según la fuente: más de 300 tiendas de Intermarché y Netto, más de 100 de Coopérative U y cerca de 80 de Carrefour.
La vía exacta no se ha confirmado oficialmente. Los primeros análisis apuntan a controladores Danfoss antiguos, expuestos a internet, sin parchear y con credenciales predecibles, como el usuario «admin» con la fecha del día como contraseña.
No se sabe. Nadie lo ha reivindicado ni ha pedido rescate. Algunos expertos sospechan de grupos vinculados a Rusia y hablan de guerra híbrida, pero no hay atribución confirmada.
No en sentido estricto, porque no se usaron credenciales robadas en otras brechas. Pero comparte su lógica: accesos automatizados a escala en sistemas donde la contraseña es la única prueba de identidad.
Los controladores atacados son dispositivos IoT industriales: equipos conectados a internet para gestionar el frío en remoto. Miles de ellos estaban expuestos, y cada uno es un punto de acceso que debe protegerse con credenciales robustas, actualizaciones y control de quién se conecta.
Eliminando credenciales por defecto, sacando las interfaces de gestión de internet, verificando con autenticación fuerte la identidad de cada acceso, incluidos los de terceros, y monitorizando el comportamiento de forma continua, no solo los eventos aislados.
