En la noche del domingo 11 al lunes 12 de octubre, cientos de supermercados en Francia se encontraron sus neveras y congeladores a hasta 50 °C. No fue una avería. Alguien entró a distancia en los sistemas que controlan la temperatura, activó ciclos de descongelación y dejó a las tiendas sin cadena de frío durante horas. Ese mismo fin de semana, el grupo Ahold Delhaize (Albert Heijn en Países Bajos y Delhaize en Bélgica) sufrió un incidente de ciberseguridad que le obligó a apagar webs, apps, logística y centros de distribución.
Las autoridades dicen que, por ahora, no hay ninguna conexión demostrada entre los dos incidentes. Pero los dos dejan la misma lección: hoy la infraestructura IT ya no es solo «los ordenadores de la oficina».
Según el ministro de Economía francés, Roland Lescure, unos 700 de los cerca de 10.000 supermercados del país se vieron afectados. Entre las cadenas confirmadas hay Intermarché y Netto (unas 300 tiendas, según el Groupement Mousquetaires), Carrefour, Monoprix, Coopérative U y E.Leclerc. Hubo pérdidas de producto fresco y congelado valoradas en varios millones de euros, y en algunos casos salió humo o hubo conatos de incendio en los equipos.
¿Cómo lo hicieron? La agencia francesa de ciberseguridad (ANSSI, a través del CERT-FR) confirmó «numerosas compromisiones» en los controladores remotos de refrigeración Danfoss AK-SM y AK-SC, y después añadió los Copeland XWEB y Dixell XWEB. Son equipos que permiten a las empresas de mantenimiento ajustar temperaturas a distancia… y que estaban expuestos directamente a internet.
El propio fabricante, Danfoss, reconoció que muchas de las unidades afectadas «habían llegado al final de su vida útil y ya no reciben actualizaciones de seguridad» o tenían el firmware desactualizado. Lo más llamativo: las vulnerabilidades que lo hacían posible se publicaron en agosto (la empresa Claroty las comunicó y existían parches). Aun así, Reuters contó más de 4.500 interfaces Danfoss visibles en internet después del ataque.
Nadie ha reivindicado el ataque y no ha habido petición de rescate. La Fiscalía de París ha abierto una investigación y el CERT-FR avisa de que «probablemente sigue habiendo campañas de ataque en curso». La firma Sekoia apunta a que también hubo tiendas afectadas en España, Portugal, Polonia, Alemania y Bélgica, aunque no ha dado más detalles.
En paralelo, Albert Heijn (la mayor cadena de supermercados de Países Bajos), junto con Etos y Gall & Gall, detectó un incidente de ciberseguridad el domingo 11 por la tarde. Como medida preventiva apagó webs, apps, atención al cliente y sistemas logísticos: no hubo pedidos online, hubo estanterías vacías por los centros de distribución parados y las etiquetas electrónicas mostraban precios que no coincidían con los de caja. En Bélgica, Delhaize también desconectó sistemas internos, y en EE. UU. se cayeron webs como la de Stop & Shop.
Los expertos citados por la prensa neerlandesa calculan las pérdidas en al menos 10 millones de euros. La empresa dice que no hay indicios de robo de datos personales y no ha explicado la causa. Algunos investigadores apuntan a ransomware, pero la compañía no lo ha confirmado. El NCSC neerlandés no ve vínculo con el ataque francés.
Estos incidentes no son «problemas de supermercados». Son el retrato de tres riesgos que vemos cada día en empresas de todos los sectores:
- Equipos conectados que nadie vigila. Climatización, refrigeración, cámaras, control de accesos, domótica de edificios: si tiene una interfaz web y está expuesto a internet, es una puerta de entrada.
- Equipos que ya no reciben soporte. Un equipo sin parches y expuesto a internet está, en palabras del CERT-FR, ante una «probabilidad muy alta de compromiso». Resetearlo de fábrica no sirve: volverán a entrar.
- Proveedores con acceso remoto. En Francia, los sistemas los gestionaba un tercero. La pregunta incómoda es: ¿quién tiene acceso remoto a tus sistemas y cómo se conecta?
Recomendaciones (basadas en el CERT-FR)
- No expongas interfaces de gestión directamente a internet. El mantenimiento remoto solo debe hacerse a través de una VPN segura o una red protegida.
- Haz inventario de todos los equipos conectados, también los de operaciones (OT), y comprueba si siguen teniendo soporte del fabricante.
- Actualiza el firmware, cambia las contraseñas por defecto y activa los modos de seguridad más estrictos que ofrezca el fabricante.
- Separa la red de los sistemas operativos de la red corporativa para limitar hasta dónde puede llegar un atacante.
- Ten un plan de continuidad: el caso Albert Heijn demuestra que apagar sistemas a tiempo protege, pero cuesta millones si no está preparado.
Cómo te ayuda Hinforcom
En Hinforcom diseñamos infraestructura pensada para que estos escenarios no ocurran: VPN/MPLS privada para conectar sedes y dar acceso remoto seguro a proveedores, Cloud Firewall Fortinet con IDS/IPS y filtrado, EDR en los equipos, auditorías de seguridad para encontrar lo que está expuesto antes que los atacantes, y acompañamiento en cumplimiento NIS2, una normativa que incluye expresamente la producción y distribución de alimentos entre los sectores regulados.
¿Sabes qué equipos de tu empresa son visibles desde internet ahora mismo? Si no lo tienes claro, hablemos. 👉 Contacta con nuestro equipo
Fuentes: CERT-FR (alerta CERTFR-2026-ALE-012), Reuters, AP, BBC, El País, Euronews, BleepingComputer, Cybersecurity Dive, NOS, NU.nl, comunicado oficial de Albert Heijn.