50°C en el expositor de congelados: La noche en que los sistemas de refrigeración se convirtieron en calefactores

Los ataques a sistemas de refrigeración están obligando a supermercados europeos a tirar alimentos. Los incidentes revelan una posibilidad inquietante: incluso las funciones previstas para el funcionamiento normal pueden causar daños. Por eso, la pregunta decisiva no es solo cómo consiguen entrar los atacantes, sino qué puede detenerlos una vez dentro.

La primera señal es un charco.
El lunes 2 de noviembre de 2026 por la mañana, Mats Olsson entra en su supermercado ICA de Böda, en la isla sueca de Öland, y encuentra agua en el suelo. Cuenta a la cadena sueca SVT que su instalación de congelación ha alcanzado los 55 °C y que sus existencias de productos refrigerados y congelados se han echado a perder. El supermercado sigue abierto, pero faltan precisamente los productos que sus equipos debían mantener fríos.

En Estocolmo, el incidente también empieza en plena noche. Según la responsable de ventas Engla Ingwall, el ataque a las instalaciones de congelación de su supermercado ICA comienza sobre las dos de la madrugada. Pasa inadvertido durante horas. En declaraciones a Reuters, habla de una temperatura de 50 °C y de mercancía perdida. Cuando se descubre la manipulación digital, los procesos físicos ya han causado el daño.

A lo largo del 2 de noviembre llegan noticias similares de Bélgica, Luxemburgo y Estonia. En los Países Bajos, Danfoss confirma a NOS que se han visto afectadas al menos 17 empresas, entre ellas pequeños comercios de alimentación y un almacén de productos congelados. Tres semanas antes, un ataque parecido había afectado a cientos de establecimientos en Francia. En el momento de redactar este artículo, la información pública no permitía determinar si los responsables eran los mismos.

Pero la pregunta inmediata no depende de identificar a los atacantes: ¿cómo se convierte en una fuente de calor un sistema diseñado para enfriar? La respuesta está en una función prevista para su funcionamiento normal.

La máquina hace lo que le ordenan. Solo que para la persona equivocada.

En el evaporador de una instalación frigorífica puede acumularse hielo. Hay que retirarlo periódicamente para mantener un intercambio de calor eficaz. Según el diseño, el desescarche consiste en interrumpir la refrigeración o en aportar calor de forma activa mediante resistencias eléctricas o fluido refrigerante caliente. Por tanto, una instalación frigorífica puede generar calor o introducirlo deliberadamente. Durante un ciclo normal de desescarche, eso no es una avería.

Los factores decisivos son la duración, la secuencia y los límites. En los incidentes de Bélgica, la empresa de servicios frigoríficos Sabcobel informó de que los evaporadores habían sido puestos en modo de desescarche a distancia. Los atacantes no tuvieron que inventar una función nueva. Utilizaron una ya existente en contra de la finalidad del sistema.

Detrás de un expositor refrigerado suele haber toda una jerarquía de control. Los controladores locales funcionan junto con sensores y válvulas; un gestor del sistema de nivel superior recopila información y permite la administración remota. El Danfoss AK-SM 800A analizado por Claroty dispone de una interfaz web integrada para gestionar, entre otras cosas, límites de temperatura, programaciones horarias, alarmas y cuentas de usuario. Eso ahorra al técnico un desplazamiento y otorga un poder considerable a cualquiera que disponga del acceso necesario.

Estos sistemas forman parte de la tecnología operacional, u OT: tecnología que supervisa o influye en procesos físicos. Aquí, una orden hace algo más que modificar un registro de datos. Puede determinar qué hará a continuación una válvula, un motor o un elemento calefactor.

Para modificar un proceso de forma maliciosa no siempre es necesario tomar el control del sistema operativo. Puede bastar un acceso de operador con privilegios suficientes. En su marco ATT&CK para sistemas de control industrial, MITRE describe este patrón de ataque como «Modify Parameter» (T0836): unos parámetros de funcionamiento alterados hacen que un controlador que por lo demás funciona correctamente ejecute una secuencia de operaciones no deseada. Eso, por sí solo, no permite establecer si también se utilizó malware en estos incidentes.

La distinción es importante. Quien busca únicamente archivos maliciosos puede pasar por alto una acción de control maliciosa. La orden puede ser formalmente válida, el software puede procesarla correctamente y el equipo puede, aun así, hacer lo que no debe. Un indicador de estado en verde solo informa sobre lo que realmente supervisa. «El sistema está funcionando» no equivale a «el proceso está bajo control».

Las llamativas cifras de temperatura exigen la misma precisión. No deben confundirse los valores de consigna con las temperaturas del evaporador, del aire o de los productos. Cambiar un ajuste de temperatura a 50 °C no demuestra que los alimentos hayan alcanzado esa temperatura. Un establecimiento afectado en Estonia lo ilustra: pese al ajuste de 50 °C, el aumento comunicado de la temperatura real fue pequeño. Lo decisivo fue la rapidez de la respuesta.

La puerta lateral que esquiva la seguridad informática de la empresa

El camino hasta el sistema de refrigeración no tiene por qué pasar por la red corporativa central. ICA indicó que las conexiones de los establecimientos afectados operaban fuera de esa red. No se trata de un análisis forense completo. Sin embargo, explica por qué una infraestructura informática corporativa protegida por profesionales no garantiza automáticamente la seguridad de todos los accesos de mantenimiento de cada tienda.

Una instalación puede estar separada de la red de cajas y, aun así, tener una conexión desprotegida con el exterior. El NCSC británico advierte expresamente de las vías de comunicación adicionales que pueden instalar los proveedores de servicios, como sus propias conexiones móviles. Quien solo examina las conexiones conocidas de la empresa puede pasar por alto esos accesos. Lo importante es la conexión real con el controlador, no dónde termina la responsabilidad de un equipo y empieza la de otro.

Team82, de Claroty, documentó la magnitud potencial de esta superficie de ataque mediante una consulta que identificó 2.765 dispositivos de la plataforma analizada accesibles públicamente. Era una instantánea de la exposición, no una lista de supermercados hackeados. Pero refuta la tranquilizadora suposición de que estas interfaces de administración siempre están resguardadas dentro de redes corporativas cerradas.

En los Países Bajos, las informaciones disponibles apuntan más a protecciones insuficientes que a un ataque inédito y muy sofisticado. Un portavoz de Danfoss declaró a NOS que los sistemas afectados utilizaban contraseñas predeterminadas y no estaban conectados a través de una red protegida. Añadió que el fabricante ya había recomendado eliminar el acceso directo a Internet después del incidente francés. Es la versión del fabricante, no una reconstrucción independiente de cada caso.

También existen vulnerabilidades documentadas en los productos. Para la serie AK-SM-8xxA, Danfoss identifica CVE-2025-41450 como un problema de autenticación que afecta a las versiones anteriores a la 4.2. En las versiones anteriores a la 4.3.1, CVE-2025-41451 describe una posible ejecución de comandos del sistema operativo, mientras que CVE-2025-41452 se refiere a una configuración del servidor web que puede manipularse y provocar una denegación de servicio. Estas dos últimas vulnerabilidades requieren una autenticación satisfactoria.

Team82 también describió un mecanismo de acceso alternativo, el «Code of the Day», que podía eludir el procedimiento de inicio de sesión habitual. El problema de fondo: una contraseña de administrador robusta no protege frente a todos los fallos de un mecanismo de acceso adicional.

Las fuentes públicas examinadas no permiten determinar cuáles de estas vulnerabilidades, si es que se explotó alguna, fueron explotadas en los ataques actuales. Tampoco deben confundirse las familias de productos: CERT-FR menciona los sistemas Danfoss AK-SM y AK-SC, así como los sistemas XWEB de Copeland y Dixell. Por tanto, una sola CVE no explica todos los incidentes.

Hay otro problema que permanece invisible en la sala de ventas: el envejecimiento de los equipos. Según el fabricante, el antiguo Danfoss AK-SM 800 alcanzó el fin de su ciclo de vida como producto en mayo de 2021. En octubre de 2025, Danfoss reiteró que el soporte de los productos antiguos correspondientes había terminado. Este gestor del sistema no es lo mismo que la plataforma 800A, más reciente. Las actualizaciones de esta última no pueden aplicarse sin más a todos los dispositivos anteriores.

El equipo puede seguir funcionando mecánicamente aunque su controlador digital ya no tenga soporte. «Todavía enfría» describe entonces su función actual, no la seguridad de su acceso de mantenimiento.

¿Qué puede detener a un atacante que ya ha iniciado sesión?

La primera línea de defensa debe proteger el acceso a la interfaz de administración: ninguna exposición directa a Internet, acceso remoto seguro, cuentas individuales y, siempre que sea posible, autenticación multifactor resistente al phishing. CERT-FR y el NCSC recomiendan este enfoque. Dificulta el acceso inicial. Pero una arquitectura resiliente debe abordar después una segunda pregunta: ¿qué puede hacer realmente un atacante a través de un acceso comprometido?

La autenticación verifica las credenciales. La autorización determina qué acciones puede realizar una cuenta. La validación de los parámetros de funcionamiento debe garantizar que una modificación permitida no lleve el proceso fuera de sus condiciones operativas aprobadas. Estas tres funciones no son intercambiables. Por eso, MITRE propone tanto permisos de modificación basados en roles como la validación de los valores enviados directamente en la lógica de control.

Aplicado a los sistemas de refrigeración, esto significa que una cuenta de mantenimiento autorizada para solicitar un ciclo de desescarche no debería disponer automáticamente de permisos para modificar todos los límites que lo restringen. Consultar el estado de funcionamiento, realizar operaciones habituales en el sistema y cambiar los ajustes de protección requieren permisos diferentes. Una llave maestra para todo convierte el compromiso de una sola identidad en un problema mucho mayor.

Estos límites no son una idea abstracta. La documentación del controlador Danfoss AK-CC 750, por ejemplo, describe condiciones de finalización del desescarche basadas en la temperatura y en el tiempo. Eso no demuestra que este controlador se utilizara en los establecimientos afectados. Sí muestra qué preguntas debe plantear una revisión técnica: ¿qué límites existen, dónde se aplican y quién puede modificarlos?

No siempre basta con comprobar de forma aislada que cada valor esté dentro de un intervalo numérico permitido. Una estrategia de protección sólida también debería considerar cómo interactúan la duración, la repetición y el estado del sistema. Los límites de funcionamiento aplicables son los definidos por el fabricante y por el diseño técnico de la instalación. Un formulario en el navegador no constituye una frontera de seguridad suficiente: la validación debe aplicarse donde el controlador acepta y procesa realmente los cambios.

Igual de importante es determinar qué nivel de compromiso del sistema deben soportar las protecciones. El uso indebido de una cuenta de operador y la toma de control completa de un controlador son escenarios distintos. Una comprobación local de software puede limitar las acciones de una cuenta con privilegios restringidos. Sin embargo, un atacante que también controle el software o su configuración de protección podría alterar esa misma comprobación. La consecuencia para la revisión de la arquitectura es clara: las protecciones deben seguir siendo independientes ante el escenario de ataque considerado, no solo en el organigrama.

La cuestión de fondo es si las funciones de protección son realmente independientes. Si el mismo acceso administrativo puede modificar el proceso y desactivar sus límites, esas funciones no son capas de protección independientes. Si además puede alterar el comportamiento de las alarmas, ese mismo acceso comprometido puede retrasar la detección. El NIST advierte expresamente de la separación insuficiente entre las funciones de control y de protección en los sistemas OT.

Para una instalación frigorífica, esto sugiere un criterio de revisión claro: la supervisión adicional de la temperatura resulta especialmente útil cuando su configuración y la vía de transmisión de sus alarmas no dependen por completo del mismo sistema de administración. Dos sensores que comparten una interfaz de gestión susceptible de ser comprometida no proporcionan, por sí solos, dos capas de protección independientes. Una alarma tampoco sustituye a un control que imponga límites al proceso: al principio, no hace más que avisar a alguien de un problema.

Esto explica también las limitaciones de un enfoque exclusivamente de red. Un cortafuegos puede restringir las conexiones a determinados interlocutores de red y servicios. Eso no convierte en adecuada cualquier operación realizada a través de una conexión permitida. Inspeccionar las órdenes con mayor profundidad requiere conocer el protocolo y tener acceso a su contenido. El cifrado protege los datos en tránsito; no demuestra que la instrucción transmitida sea apropiada desde el punto de vista operativo.

Las informaciones públicas no documentan por completo cuáles de estas protecciones existían en los sistemas afectados ni cuáles fallaron. Aun así, la pregunta de arquitectura sigue siendo precisa: ¿qué función puede activar el acceso remoto y qué protección posterior puede impedir todavía una secuencia de operaciones peligrosa? Una mayor segmentación de la red ayuda a bloquear vías de comunicación no autorizadas. Defenderse de una operación peligrosa pero autorizada también exige permisos adecuados y límites de proceso.

Los minutos en los que todavía se pueden evitar los daños

En Estonia, la noche terminó de otra manera. Un supermercado Selver se vio afectado después de que los atacantes accedieran al ordenador de control de un sistema antiguo. El proveedor del servicio afirmó haber respondido en unos diez minutos. Según su relato, la temperatura real solo subió entre 2 y 3 °C y no se estropeó ningún alimento. Selver señaló que era el último establecimiento en el que todavía no se había instalado el sistema más reciente.

Diez minutos no son un margen de seguridad universal. El caso ilustra cuánto puede importar el tiempo que transcurre después de que un atacante obtiene acceso. La planificación debe abarcar toda la respuesta: detectar una desviación, evaluarla, tomar una decisión e intervenir de forma eficaz. Esos pasos deben completarse dentro del margen de tiempo que aún permita el proceso concreto. Una alarma inmediata sirve de poco si no hay nadie responsable de responder o capaz de actuar.

Siempre que sea posible, la detección debería comenzar antes de que la pérdida de productos sea visible. Un ciclo de desescarche nocturno no es sospechoso por sí mismo. Un cambio resulta más revelador cuando procede de una fuente inesperada, queda fuera del intervalo operativo aprobado o no coincide con una orden de mantenimiento confirmada. MITRE recomienda correlacionar estas observaciones con los datos posteriores del proceso. No solo importa el nuevo valor, sino también lo que hace realmente el equipo a continuación.

En los sistemas de refrigeración, entre las señales que convendría investigar podrían figurar ciclos de desescarche de duración inusual, cambios en los umbrales de alarma o desviaciones simultáneas en varios dispositivos. Son posibles enfoques de detección, no una reconstrucción de esta oleada de ataques. El contexto operativo también ayuda a evitar falsas alarmas: una prueba aprobada debe evaluarse de forma distinta a un cambio inexplicado. Pero una ventana de mantenimiento programada no debe convertirse en una razón para ignorar sin revisión toda la actividad que se produzca durante ella.

Los registros deben permitir esa comparación. Unos registros útiles identificarían la cuenta utilizada, el dispositivo afectado, qué cambió y cuándo. Cuando estén disponibles, también deberían vincularse al cambio el valor anterior y la orden de mantenimiento correspondiente. Esto refleja un principio destacado por el NCSC: el registro de eventos debe apoyar objetivos concretos de detección, no limitarse a acumular datos. Los registros que solo se revisan después de que se produzcan los daños no permiten alertar a tiempo.

Después, alguien debe poder interrumpir la secuencia. El NCSC recomienda planes de aislamiento probados: ¿qué conexión puede bloquearse? ¿Qué funciones deben seguir operando localmente? ¿Cómo asume el control el proveedor cuando el mantenimiento remoto no está disponible? La respuesta correcta no consiste necesariamente en cortar la corriente a toda la instalación. Debe proteger a las personas y llevar el proceso a un estado predefinido y controlable.

El plan también debe establecer qué visibilidad sobre el sistema se conserva tras el aislamiento. Si al desconectar el mantenimiento remoto se corta involuntariamente el único canal de alarma, el equipo de guardia pierde precisamente la información que necesita para evaluar la situación. La prueba no consiste solo en comprobar si se puede cerrar el acceso. También debe verificar si los responsables pueden seguir sabiendo si su contramedida funciona.

Hay una distinción fácil de pasar por alto: el aislamiento de la red no revierte automáticamente los ajustes que ya se han modificado. Puede impedir nuevos accesos mientras el equipo sigue funcionando con la configuración manipulada. Por eso, los especialistas deben comprobar no solo la vía de acceso, sino también el estado operativo real y la configuración. «Ya no es accesible» no significa que el peligro haya pasado, del mismo modo que tampoco lo significa «vuelve a funcionar».

Cuando pueda hacerse sin crear riesgos adicionales, deben conservarse los registros y las configuraciones pertinentes antes de un restablecimiento. No obstante, la preservación de pruebas no debe retrasar las medidas de protección necesarias. Recuperar la refrigeración no resuelve, por sí solo, el incidente de seguridad: CERT-FR advierte expresamente contra la práctica de restablecer dispositivos antiguos vulnerables y volver a conectarlos a Internet sin protección. Eso puede dejar intacta la debilidad original.

Por tanto, la recuperación exige algo más que un reinicio satisfactorio. La configuración debe coincidir con una configuración de referencia aprobada y el proceso físico debe volver a operar dentro de los límites previstos. Instalar un firmware nuevo no demuestra, por sí solo, que el proceso haya regresado a esos límites. El cierre del incidente requiere una verificación tanto técnica como operativa.

La preparación no es, por tanto, una cuestión exclusivamente técnica. Antes de que se produzca un incidente, los operadores y los proveedores de mantenimiento deben saber quién está autorizado a bloquear un acceso por la noche, quién se hará cargo de la instalación sobre el terreno y quién es responsable de las actualizaciones o de la sustitución. Externalizar el mantenimiento no elimina esas responsabilidades. Hace aún más importante acordar con claridad quién hace qué.

La próxima vez que estés frente a un expositor refrigerado, lo primero que verás serán alimentos. Detrás hay una cadena de sensores, software, permisos y decisiones. La pregunta de seguridad no es solo qué datos almacena un dispositivo. También es qué tiene permitido modificar en su entorno y quién puede intervenir a tiempo para impedir que haga lo que no debe.

En Öland, un charco hizo visible el incidente. En Estonia, el operador afirmó que los alimentos no habían sufrido daños. Entre esos dos resultados está el verdadero reto de la seguridad: detectar un ataque antes de que el daño lo revele y conservar protecciones eficaces incluso después de que un atacante haya conseguido acceso.

Una copia de seguridad puede restaurar una configuración. No puede borrar las horas transcurridas sin una refrigeración adecuada.

Un ciberataque no necesita destruir una máquina. A veces basta con hacer que haga lo que no debe.