Ciberataque a las neveras de supermercados en Europa: qué se sabe
Por Jorge Graells · 2 de noviembre de 2026 a las 15:49 UTC · 8 min de lectura
Actualizado:
Desde el 2 de noviembre, atacantes han cambiado a distancia la temperatura de neveras y congeladores en más de 100 tiendas de al menos nueve países europeos, Portugal incluido. Qué se sabe, qué equipos se han atacado y qué hacer si tu negocio tiene refrigeración conectada.
Ciberataque a las neveras de supermercados en Europa: qué se sabe
- Tipo
- News
- Autor
- Jorge Graells
- Fecha
- Actualizado
- Lectura
- 8 min de lectura
- Materias
Resumen
Desde el 2 de noviembre, atacantes han cambiado a distancia la temperatura de neveras y congeladores en más de 100 tiendas de al menos nueve países europeos, Portugal incluido. Qué se sabe, qué equipos se han atacado y qué hacer si tu negocio tiene refrigeración conectada.
En la madrugada del lunes 2 de noviembre, alguien cambió a distancia la temperatura de neveras y congeladores de supermercados en Bélgica, Países Bajos, Suecia, Luxemburgo, Irlanda y Estonia. Entre las cadenas afectadas están Delhaize, Carrefour, Intermarché, Spar, ICA, Coop y SuperValu, según BleepingComputer1. Solo en Bélgica hay más de 50 tiendas identificadas, según The Record2. Es la segunda oleada en pocas semanas: a mediados de octubre pasó lo mismo en cientos de supermercados de Francia.
Actualizado el 6 de noviembre. Estados Unidos ya avisa de lo mismo. CISA, el FBI y los departamentos de Sanidad, Agricultura y Transporte publicaron el 5 de noviembre una nota conjunta3 para proteger los sistemas de refrigeración y de control de la cadena de frío. No nombra fabricantes ni da indicadores técnicos. Dice que los atacantes aprovechan saltos de autenticación, inyección de código o configuraciones débiles en controladores sin actualizar o accesibles desde internet, y que los fuerzan a ciclos continuos de calor y descongelación. También pueden dejarte sin ver la temperatura real. La nota cita sanidad, química, alimentación y transporte, y BleepingComputer4 la relaciona con las oleadas europeas. En Francia, el servicio público de sangre (EFS5) ha confirmado que el 2 de noviembre un incidente en un proveedor alteró los parámetros de cámaras frías en tres de sus centros. Sus alarmas lo detectaron a tiempo y dice que no se ha perdido ningún producto sanguíneo. El EFS no lo vincula a esta campaña.
Actualizado el 4 de noviembre. La Comisión Europea está en contacto directo con las autoridades nacionales y convocó el martes a su grupo de trabajo interinstitucional. En Reino Unido, el centro nacional de ciberseguridad (NCSC) dice que un pequeño número de organizaciones pueden estar afectadas. Las cadenas ya dan cifras: ICA habla de 23 tiendas en Suecia, ocho de las cuales han tenido que tirar producto, y SuperValu de 13 en Irlanda, según TechCentral6, que recoge información de Cybersecurity Dive.
Actualizado el 3 de noviembre. Ya son más de 100 tiendas y el ataque ha llegado a la península: el grupo Mosqueteiros ha confirmado incidentes en siete supermercados Intermarché de Portugal. También hay casos en Italia (un operador de supermercados Coop en Sicilia avisó a la agencia nacional de ciberseguridad) y en Finlandia, y la fiscalía federal belga ha abierto una investigación, según SecurityWeek7. En España no hay ningún caso confirmado. Lo detallo abajo, en "Lo que no se sabe".
Es una noticia en desarrollo. La iré actualizando cuando las autoridades o los fabricantes den más detalles.
◢Qué ha pasado
Los atacantes entraron en los sistemas que permiten controlar la refrigeración a distancia y cambiaron sus ajustes: subieron temperaturas, apagaron equipos o los pusieron en modo descongelación. Stephan Moelans, director de Sabcobel, una instaladora belga de refrigeración, explicó a la agencia Belga8 que pusieron los evaporadores en modo descongelación, el mismo truco que en Francia, y que sus técnicos empezaron a desconectar de la red las unidades afectadas a la 1:00.
En una tienda ICA del sur de Suecia, el gerente contó a la televisión TV4 que la temperatura se había fijado en +50 °C y que no podían cambiarla, según recoge BleepingComputer1.
El daño es muy concreto. Un congelador que pasa horas a temperatura ambiente obliga a tirar todo lo que tiene dentro, por seguridad alimentaria. No hace falta robar datos ni pedir un rescate para hacer daño a una empresa.
◢Qué pasó en Francia en octubre
El 12 de octubre, la agencia francesa de ciberseguridad publicó una alerta9 sobre ataques contra los controladores remotos de instalaciones de refrigeración. Menciona cuatro familias de equipos: Danfoss AK-SC y AK-SM, y los XWEB de Copeland y Dixell. No habla de un fallo concreto. Señala como problema principal que la interfaz de gestión estaba expuesta a internet, algo que va contra las buenas prácticas, y avisa de que las campañas probablemente siguen activas.
La fiscalía de París cifra en unas 700 las víctimas de aquella oleada, según The Record2. Los comercios franceses describieron lo mismo que ahora: congeladores puestos a 50 °C desde fuera.
◢Qué equipos se han atacado esta vez
Todavía no hay una lista oficial. Un contratista de Estonia dijo que los atacantes accedieron a un sistema Danfoss antiguo, y la cadena neerlandesa NOS informa de que en Bélgica también se atacaron equipos de Copeland, según The Record2. Copeland ya ha confirmado que esta vez han atacado algunos de sus controladores xweb, aprovechando fallos que ya se conocían, según TechCentral6. Tras lo de Francia, los dos fabricantes dijeron que la mayoría de los equipos afectados eran productos descatalogados que ya no recibían actualizaciones de seguridad.
Danfoss ya había pedido a sus clientes el 13 de octubre que desconectaran estos sistemas de internet. Según contó a la televisión neerlandesa NOS, recogido por SecurityWeek7, la mayoría lo hizo, "pero un pequeño número no". La empresa de análisis Censys calcula que todavía quedan algo más de 1.000 paneles Danfoss StoreView accesibles desde internet en todo el mundo. En Francia han pasado de 1.825 antes de los ataques a 220, y solo el 41 % de esos 220 tiene el firmware actualizado (4.3.1 o posterior), según su análisis del 2 de noviembre10.
Moelans añade un detalle importante: en algunos equipos no basta con actualizar el software, hacen falta cambios físicos, y eso cuesta dinero. La salida más sencilla, según explicó a Belga8, es gestionar las neveras por una conexión segura, que es lo que hicieron la mayoría de sus clientes tras el ataque en Francia.
◢Lo que no se sabe
Nadie ha reivindicado los ataques, ni los de octubre ni los de ahora, y no se sabe si son los mismos autores. El Centro para la Ciberseguridad de Bélgica dice que conoce el incidente, pero que no se sabe quién está detrás y que quizá nunca se llegue a saber, según The Record2.
La fiscalía federal belga ha abierto una investigación, según SecurityWeek7.
En España no hay ningún caso confirmado. INCIBE ha explicado a Infobae11 que todavía no puede determinar "ni el vector de entrada ni el alcance del incidente en España", por lo reciente del suceso. En el mismo artículo, el analista Marcelino Madrigal dice haber localizado más de 300 equipos de refrigeración y climatización españoles accesibles desde internet, y aclara que expuesto no es lo mismo que vulnerable. Con siete tiendas atacadas en Portugal, conviene revisar los equipos ya y no esperar a un caso aquí. En octubre, otro investigador encontró 2.752 sistemas Danfoss accesibles desde internet, 1.590 de ellos en Francia, según BleepingComputer12.
◢¿Afecta solo a los supermercados?
No. Lo que se ha atacado es un tipo de equipo, no un sector. Cualquier negocio con cámaras frigoríficas que el instalador gestiona a distancia puede tener el mismo problema: una carnicería, un restaurante, un obrador, un almacén logístico o una cooperativa agrícola.
Y lo mismo vale para otros aparatos que nadie considera "informática": la climatización, las cámaras de vigilancia, el control de accesos o los paneles de una nave. Muchas veces los instala una empresa externa, los deja conectados a internet para poder revisarlos desde su oficina y nadie de la empresa sabe que existen. ICA lo ilustra bien: todas sus tiendas afectadas tenían estos equipos conectados fuera de la red que gestiona la propia cadena, según TechCentral6.
◢Qué hacer si tienes equipos de refrigeración conectados
Lo que sigue sale de las recomendaciones de la alerta francesa9 y de la nota de CISA y el FBI3, más un par de cosas de sentido común:
- ▹Pregunta a tu instalador si el controlador de las neveras es accesible desde internet. Si lo es, que deje de serlo.
- ▹Que el acceso remoto se haga solo por una VPN segura o una red protegida, nunca con la pantalla de gestión abierta a cualquiera.
- ▹Cambia las contraseñas por defecto, actualiza el firmware y, si el fabricante lo permite, activa el nivel de seguridad más estricto.
- ▹Revisa toda la configuración, incluidos los rangos de descongelación, por si alguien la ha tocado.
- ▹Separa estos equipos del resto de la red de la empresa y deja entrar solo a las direcciones y los dispositivos autorizados.
- ▹Sustituye los equipos que el fabricante ya no actualiza.
- ▹Si un equipo ya ha sido atacado, la alerta pide reiniciarlo o restaurarlo de fábrica y volver a configurarlo antes de usarlo. En equipos sin soporte, avisa de que restaurarlo no basta, porque el fallo sigue ahí.
- ▹Pon una alarma de temperatura que no dependa del mismo sistema, por ejemplo un sensor que avise al móvil. Si alguien toca el controlador, te enterarás antes de perder el género.
En España, si tu empresa sufre un incidente así o tienes dudas, puedes llamar gratis a la línea de ayuda de INCIBE13 en el 017.
◢Lo que deja este ataque
Cuando hablo de ciberseguridad con empresas, casi todo el mundo piensa en el correo, los ordenadores y el servidor. Pocos piensan en la nevera. Pero un aparato conectado a internet, sin actualizaciones y con la contraseña de fábrica es una puerta igual de abierta, y en este caso el daño llega sin pasar por ningún ordenador.
El primer paso cuesta poco: hacer una lista de todo lo que está conectado en el negocio, quién lo instaló y quién puede entrar desde fuera. Ya conté que los ataques casi nunca entran por el servidor. Esta vez han entrado por la cámara frigorífica. Si quieres que tu plantilla sepa detectar este tipo de riesgos, es parte de lo que trabajo en mis formaciones de ciberseguridad para empresas.
Documentos relacionados
- News
Ciberataque a Crédit Mutuel Arkéa: entraron por un proveedor
El banco francés Crédit Mutuel Arkéa ha sufrido un ataque que permitió transferencias fraudulentas desde su propia cuenta. Los atacantes entraron por la plataforma de un proveedor. Qué se sabe, qué no y qué aprender.
- Artículo
Phishing con código de dispositivo: qué es y cómo evitarlo
El phishing con código de dispositivo engaña a la víctima para que escriba en la página real de Microsoft un código que ha generado el atacante. Así entra en su cuenta de Microsoft 365 sin contraseña y sin que la verificación en dos pasos lo frene. Se evita bloqueando ese inicio de sesión.
- News
Claude Code filtra claves en GitHub: qué es settings.local.json
La opción "no volver a preguntar" de Claude Code puede guardar contraseñas y claves de API en .claude/settings.local.json. Apiiro ha encontrado 1.122 copias públicas en GitHub con secretos dentro. Qué se sabe y qué hacer.