Tres años de advertencias antes del ciberataque a supermercados franceses: las lecciones para la seguridad industrial

Imagina tu ronda de noche en un supermercado. Todo en orden: puertas cerradas, alarmas armadas, cámaras grabando. Y mientras tanto, a cientos de kilómetros, alguien entra en el ordenador que controla el frío y pone los congeladores a calentar. Sin romper un cristal. Sin dejar huella física. Eso es, en resumen, lo que pasó en Francia.

La noticia del ataque ya la conoces: neveras y arcones subiendo de temperatura, toneladas de producto a la basura y pérdidas millonarias. Lo que te traemos ahora es lo que había detrás: los avisos técnicos publicados desde 2023, las alertas del CERT-FR, lo que han dicho los fabricantes y las cadenas, qué pasó con la comida y qué significa todo esto para España. La conclusión incomoda: el riesgo se conocía desde hace al menos tres años.

Te lo contamos sin tecnicismos, con los documentos originales enlazados y con una pregunta de fondo que nos toca muy de cerca: ¿quién vigila las máquinas que nadie ve?

Qué pasó la noche del ciberataque a supermercados franceses

No hubo rescate, no hubo robo de datos y no hubo virus sofisticado. Hubo una orden de mantenimiento enviada por quien no debía, repetida en cientos de tiendas a la vez.

Entre el domingo 11 y el lunes 12 de octubre, los atacantes entraron en los equipos que regulan el frío de los supermercados. Son los llamados gestores o supervisores de refrigeración: un pequeño ordenador que coordina todos los murales, arcones y cámaras de una tienda. Desde ahí activaron el desescarche y lo dejaron funcionando con una temperatura objetivo de 50 °C. En algunos equipos el calor duró unas seis horas antes de que el personal se diera cuenta.

El resultado fue inmediato y sin vuelta atrás: carne, pescado, lácteos y congelados que hubo que retirar. Y lo más inquietante es lo poco que hizo falta: los atacantes no necesitaron un virus sofisticado, sino activar una función que el propio equipo trae de serie, el desescarche automático, y dejarla funcionando sin parar.

El 12 de octubre el CERT-FR publicó su alerta CERTFR-2026-ALE-012. Al día siguiente la amplió: además de los equipos Danfoss, también había compromisos en consolas xweb de Copeland y de Dixell, y avisó de que las campañas probablemente seguían en marcha. La Fiscalía de París abrió una investigación penal.

Un detalle que conviene no perder de vista: el consejero delegado de Coopérative U declaró en la radio RTL que su grupo no es cliente de Danfoss. Es decir, el problema no era de una sola marca, sino de un tipo de equipo y de una forma de conectarlo.

Cómo se hace frío… y cómo se puede quitar a distancia

Para entender el ciberataque a supermercados franceses no hace falta ser informático. Basta con saber cómo se mantiene una cámara de congelados.

Los equipos de frío acumulan hielo. Para quitarlo, hacen pequeños desescarches programados, normalmente de noche, en los que la temperatura sube un poco durante unos minutos. Todo eso lo coordina el gestor central de la tienda, que además envía alarmas, guarda registros y permite al frigorista ajustar parámetros sin desplazarse.

Esa comodidad tiene un precio. Si la pantalla de administración del gestor se puede abrir desde Internet, quien consiga entrar puede hacer exactamente lo mismo que el técnico de mantenimiento. Y si un mismo punto gobierna muchas tiendas, un solo acceso se convierte en un problema nacional.

Vídeo: las imágenes del día después

Murales vacíos y producto retirado. Así lo contó DW Español el 13 de octubre, cuando las tiendas empezaban a reponer.

Vídeo: DW Español (YouTube), 13 de octubre de 2026.

Si quieres ver más, tienes también la pieza explicativa de France 24 sobre qué pasó y cómo y el resumen en vídeo de CNN en Español.

Tres años de avisos antes del ciberataque a supermercados franceses

Esto no salió de la nada. Hubo investigadores que llamaron a la puerta de los fabricantes, fabricantes que avisaron a sus clientes y avisos oficiales publicados en abierto. Vamos por partes.

2022: el precedente que ya estaba ahí

El ciberataque a supermercados franceses tiene un antecedente casi calcado. En 2022 hubo ataques contra 16 supermercados rusos y unas 40 tiendas en Israel que usaban gestores AK-SM800. Lo contó la propia Danfoss en su boletín técnico de octubre de 2025, donde recomendó sustituir los equipos antiguos y proteger mejor los accesos de red, según recogieron varios medios tras el ataque.

2023: Synacktiv encuentra la puerta sin cerradura

El 28 de febrero de 2023, la firma francesa de seguridad ofensiva Synacktiv comunicó a Danfoss un fallo que permitía saltarse la autenticación en los gestores SM800 y SC255/SC355. Dicho en cristiano: se podía entrar como administrador sin la contraseña. El fabricante respondió dos semanas después que solo afectaba a productos ya fuera de soporte, definió medidas de protección de red y avisó a sus clientes. El aviso técnico de Synacktiv se hizo público en mayo de 2023 con una recomendación muy simple: restringir el acceso de red a esos equipos.

Ese mismo año, Danfoss publicó además el aviso DSA-2023-08-01 con tres vulnerabilidades en el AK-SM 800A, una de ellas crítica, corregidas en la versión 3.3. Para los equipos modernos hubo parche. Para los antiguos, no.

2025: Claroty vuelve a dar la voz de alarma

A comienzos de 2025, el equipo de investigación Team82 de Claroty encontró nuevos fallos en el AK-SM 800A. Danfoss publicó un aviso en marzo y la agencia estadounidense CISA lo difundió en mayo como ICSA-25-140-03. El más llamativo (CVE-2025-41450) es casi de película: una contraseña que se generaba a partir de la fecha del propio equipo. Quien descubriera el algoritmo podía entrar sin conocer la clave real. En agosto de 2025 llegó el firmware R4.3.1 con todas las correcciones.

Agosto de 2026: la demostración en directo

El 9 de agosto de 2026, Claroty publicó su investigación completa, titulada «Freeze the Controller, Defrost the Food», y la presentó en la conferencia DEF CON de Las Vegas. Mostraron cómo un gestor comprometido podía apagar el frío y, a la vez, enseñar en pantalla una temperatura normal. También localizaron 2.765 gestores AK-SM 800A expuestos en Internet y documentaron 23 vulnerabilidades en la plataforma Copeland XWEB Pro, corregidas en la versión 1.13.

Dos meses después llegó el ciberataque a supermercados franceses. Tras el ataque, Claroty explicó que había reproducido el camino del ataque con un asistente de inteligencia artificial comercial en unos 28 minutos y por unos 6 dólares. El mensaje para cualquier responsable de seguridad es claro: lo que antes exigía semanas de trabajo especializado hoy está al alcance de mucha más gente. Si te interesa cómo se entrenan los equipos para estos escenarios, te lo explicamos en qué es un Cyber Range y en qué se diferencia de un pentest.

Lo que se sabe y lo que no

Aquí conviene ir con pies de plomo. Que hubiera avisos no significa que esos fallos concretos fueran la vía de entrada.

¿Por qué nadie cerró la puerta?

La respuesta fácil sería culpar a alguien en concreto. La real es más incómoda: el problema estaba repartido entre muchas manos.

Las causas que señalan expertos y fabricantes se repiten. La primera es el dinero y el tiempo: un sistema de frío comercial se amortiza en ciclos largos y muchos controladores siguen en servicio más de una década después de fabricarse. La segunda es la falta de inventario: si no sabes qué equipos tienes, con qué versión y cómo se comunican, no puedes parchearlos. La tercera es una idea equivocada: Amir Preminger, director técnico de Claroty, explicó a Cybersecurity Dive que se suele dar por hecho que estos controladores viven en redes protegidas, cuando su investigación encontró muchos directamente en Internet.

A eso súmale la cadena de mantenimiento. El equipo lo fabrica una empresa, lo instala un integrador, lo mantiene un frigorista contratado y lo usa la tienda. Cuando llega un aviso de seguridad, ¿quién lo recibe, quién lo lee y quién paga la actualización? Si nadie tiene asignada esa tarea, el aviso se queda en una bandeja de entrada.

Hay además un dilema de diseño. Un gestor central que gobierna muchas tiendas facilita el mantenimiento, pero convierte un único acceso en un problema a gran escala. La respuesta en la que coinciden el CERT-FR y la guía de buenas prácticas de Danfoss es la misma: acceso remoto solo por VPN o pasarela gestionada, autenticación fuerte, cuentas nominales, registro de sesiones y cada instalación aislada de las demás.

¿Cuánto costaba cerrar la puerta? La cuenta que nadie hizo

Aquí hay que separar dos situaciones muy distintas: el equipo que tenía parche y el que ya no lo iba a tener nunca.

Si el equipo tenía soporte, el parche no costaba dinero en sí: Danfoss publica el firmware del AK-SM 800A en su página de descargas. El coste real está en la mano de obra: que un técnico se desplace o se conecte, haga copia de la configuración, actualice, compruebe que todo el frío responde y lo deje documentado. Y eso, multiplicado por cientos de tiendas.

Si el equipo estaba fuera de soporte, no había parche posible. Según Danfoss, el AK-SC355 se retiró en 2016 y el AK-SM800 llegó al final de su vida en 2021, y ninguno de los dos recibe ya actualizaciones de seguridad. Ojo, porque un boletín técnico de la propia marca situaba el fin de vida de la gama en 2023: hay una discrepancia de fechas que el fabricante no ha aclarado. En estos casos la única salida segura era desconectarlo de Internet o sustituirlo, con el gasto en equipo, instalación y puesta en marcha que eso implica. Copeland, por su parte, también reconoció una vulnerabilidad en una generación de controladores descatalogada y sin soporte.

¿Cuánto cuesta cambiar un gestor de frío? No hemos encontrado ninguna tarifa pública fiable, y no vamos a inventarla: depende del modelo, del número de muebles y de si hay que tocar también los controladores de cada vitrina. Lo que sí hay son estimaciones de lo que costó no hacerlo.

¿Y al fabricante? Lo que supondría corregirlo

Nadie ha publicado cuánto le costaría a un fabricante sacar parches para equipos que dejó de soportar hace años. Lo que sí sabemos es por qué casi nunca se hace: obliga a mantener equipos de desarrollo y de pruebas para un hardware que ya no se vende, y cada parche puede romper instalaciones que llevan una década funcionando. La práctica del sector es la que ha seguido Danfoss: avisar del fin de soporte, recomendar la migración y pedir que se aísle el equipo.

Eso empieza a cambiar. Con el Reglamento europeo de Ciberresiliencia, desde el 11 de septiembre de 2026 los fabricantes deben notificar a ENISA las vulnerabilidades explotadas activamente, y el periodo de soporte que declaran pasa a ser un compromiso regulado y no una simple decisión comercial. El coste para la marca, además, no es solo técnico: su nombre aparece en todas las crónicas del ataque, aunque los equipos afectados fueran viejos o estuvieran mal configurados.

¿Quién decidió que todo estaba bien?

Es la pregunta que más se repite. Y la respuesta honesta, hoy, es que no hay ningún documento público que diga quién leyó los avisos y decidió no actuar.

No sabemos si los avisos llegaron a los departamentos de ciberseguridad de las cadenas, si se quedaron en el frigorista o si nadie los recibió. Eso lo tendrán que aclarar la Fiscalía de París, la ANSSI y, llegado el caso, los tribunales. Lo que sí describen los expertos son patrones que se repiten en muchas empresas:

• La sala de máquinas no estaba en el inventario. Muchos responsables de ciberseguridad no incluyen la refrigeración ni la gestión del edificio entre los activos que vigilan, según el análisis jurídico de Gaming Tech Law.
• Se daba por hecho que estaban aislados. Claroty lo resume así: se suponía que estos controladores vivían en redes seguras, y muchos estaban directamente en Internet.
• El mantenimiento estaba subcontratado. Quien configuraba el acceso remoto era a menudo un tercero, con un contrato pensado para que el frío funcione, no para la ciberseguridad.
• El dinero. Sustituir un sistema que funciona perfectamente es difícil de justificar hasta que deja de funcionar.

Por eso hablamos de «eslabones sin dueño» y no de culpables con nombre propio. Señalar a una persona o a un departamento concreto sin pruebas sería injusto y, además, no te ayudaría a evitar que te pase lo mismo.

¿Tenían las cadenas un departamento de ciberseguridad?

Lo hemos comprobado y esto es lo que se puede afirmar con documentos públicos. Ninguna de las cadenas afectadas publica su organigrama de ciberseguridad, así que no podemos decir cuántas personas lo forman, de quién dependen ni si los avisos de Danfoss llegaron a su mesa. Lo que sí consta es que tienen capacidad de respuesta ante incidentes informáticos clásicos. Por ejemplo, Les Mousquetaires, el grupo de Intermarché, gestionó en agosto de 2026 una fuga de datos de clientes: contuvo el incidente, lo notificó a la autoridad de protección de datos y presentó denuncia.

El problema no parece ser tanto que no existiera un equipo de ciberseguridad, sino qué quedaba dentro de su perímetro. Los análisis publicados coinciden en que la refrigeración y la gestión del edificio suelen quedarse fuera del inventario que vigila ciberseguridad, y en que el acceso remoto a estos equipos lo configuraban a menudo empresas de mantenimiento externas. Además, en grupos de comerciantes asociados como Intermarché o Super U, una parte importante de la gestión recae en cada tienda. Es una hipótesis razonable, pero ninguna cadena ha explicado todavía cómo tenía organizada la seguridad de su frío.

Quién paga la factura

La paradoja es dura: el ataque lo hizo un tercero, los fallos venían de fábrica y la factura llega, de entrada, a la tienda.

En cadenas de tiendas asociadas, como Intermarché o Super U, la pérdida la asume en primer lugar el comerciante que gestiona el local. Después entran los seguros, pero no está claro que cubran todo: según Trending Topics, Intermarché espera que el seguro no cubra este tipo de daño, y los analistas advierten de que el uso de equipos obsoletos puede dar a las aseguradoras motivos para discutir la cobertura. A eso súmale lo que no sale en la factura: clientes que encuentran los murales vacíos, que se van a la competencia y que se preguntan si la cadena de frío de lo que compran es fiable.

¿Han denunciado los supermercados a la empresa que gestionaba los frigoríficos? A 16 de octubre no hemos encontrado ninguna demanda pública de una cadena contra Danfoss, Copeland o una empresa de mantenimiento concreta. Lo que consta es esto:

• La Fiscalía de París abrió una investigación penal por el ciberataque.
• Intermarché atribuyó el incidente al ataque contra un proveedor de gestión de los sistemas frigoríficos de sus tiendas, sin nombrarlo, según su declaración recogida por BFMTV y difundida por medios del sector.
• Las autoridades francesas convocaron reuniones de crisis con el fabricante y con empresas instaladoras.
• Los abogados franceses que han analizado el caso señalan las vías posibles: denuncia penal, reclamación al seguro, acción contractual contra el mantenedor si había parches disponibles y no se aplicaron, y el recurso posterior de la aseguradora contra los responsables.

Es decir: la batalla por quién paga apenas ha empezado y se librará, sobre todo, en los contratos de mantenimiento y en las pólizas. Si gestionas una instalación, ese es el papel que deberías revisar hoy.

Trazabilidad: qué se hizo con la comida perdida

Mucha gente se ha preguntado lo mismo: ¿por qué tirar toneladas de comida en lugar de donarla? La respuesta está en la seguridad alimentaria.

Cuando se rompe la cadena de frío, nadie puede garantizar que el producto sea seguro. Las bacterias pueden haberse multiplicado y algunas toxinas resisten el cocinado. Por eso la donación no era una opción: la ley exige que lo que se dona cumpla las mismas garantías sanitarias que lo que se vende. Ni un envase intacto ni una fecha de caducidad lejana bastan, y volver a congelar no arregla nada.

El recorrido habitual en estos casos es el que muestra la infografía. Hay un matiz importante: según la patronal francesa de frigoristas SNEFCCA, la rápida intervención de los técnicos evitó muchas pérdidas, de modo que no todas las tiendas tiraron todo su género. Lo que no se ha publicado es el balance total en toneladas ni el destino final concreto de cada lote.

En España la lógica sería la misma. La Ley 1/2025 de prevención de las pérdidas y el desperdicio alimentario da prioridad a la donación, pero solo de alimentos aptos para el consumo. Un producto con la cadena de frío rota no lo es.

¿Y en España? Lo que el ciberataque a supermercados franceses nos enseña aquí

Aquí hay que distinguir dos cosas que a menudo se mezclan: no haber sido atacado no es lo mismo que no tener equipos vulnerables.

Que ningún supermercado español haya sufrido el ataque puede deberse a muchas razones: que no tenga esos modelos, que los tenga bien protegidos… o que, simplemente, los atacantes se centraran en Francia. Por eso la pregunta útil no es «¿nos han atacado?», sino «¿tenemos equipos que podrían serlo?». Y ahí la información pública es mucho más pobre.

¿Y qué centros concretos tienen estos equipos? No existe ningún registro público que lo diga. Los fabricantes difunden casos de éxito de instalaciones en España, pero no detallan qué gestor llevan, qué versión de firmware tienen ni si responden desde Internet. Por eso no vamos a señalar a ninguna empresa: tener equipos de una marca no significa tener los modelos afectados, y mucho menos tenerlos expuestos.

¿Quieres saber si tu instalación es una de ellas? La única forma fiable es preguntar a tu mantenedor qué gestor de frío tenéis (marca, modelo y versión) y pedir que compruebe si responde desde Internet. Solo el propietario puede confirmarlo.

Lo que han dicho las empresas en España (y lo que no)

Hemos buscado notas de prensa de supermercados y empresas españolas que garanticen que sus sistemas de frío están protegidos y actualizados. Esto es todo lo que hay publicado hasta el 16 de octubre:

¿Tienen certificación NIS1 o NIS2 estas máquinas y estos supermercados?

Es una duda muy habitual, así que vamos a aclararla: NIS1 y NIS2 no son certificados. Son directivas europeas que obligan a ciertas empresas a gestionar sus riesgos y a notificar incidentes. Nadie «se certifica en NIS2»; se cumple o no se cumple, y lo supervisa la autoridad. Dicho esto, la respuesta corta es que ni los equipos ni la mayoría de supermercados estaban dentro de ese paraguas.

¿Y el frigorífico de casa? Marcas y submarcas

Tranquilidad: ni Danfoss ni Copeland fabrican frigoríficos. Fabrican los «cerebros» y los componentes que otros fabricantes de muebles frigoríficos y frigoristas montan en las tiendas. Los gestores atacados son equipos profesionales que no se venden ni se instalan en neveras domésticas. Danfoss vendió en 2010 su división de compresores domésticos, que hoy funciona como Secop.

El marco legal, sin jerga

Si trabajas en seguridad privada, hay tres piezas que te interesan:

• Infraestructuras críticas. La alimentación es uno de los sectores estratégicos de la ley de protección de infraestructuras críticas (Ley 8/2011). Los operadores críticos deben tener un Responsable de Seguridad y Enlace, que necesita la habilitación de director de seguridad, y sus planes deben cubrir tanto la seguridad física como la lógica.
• El director de seguridad. La Ley 5/2014 de Seguridad Privada le encarga identificar y evaluar los riesgos que pueden afectar a personas y patrimonio. Un congelador saboteado desde Internet es un riesgo para el patrimonio, y si hay sobrecalentamiento, también para las personas.
• NIS2 y resiliencia. La Directiva NIS2 incluye a las empresas alimentarias de distribución mayorista y producción industrial, y la Directiva de entidades críticas (CER) incluye la producción, transformación y distribución de alimentos. España aún no ha publicado su ley de transposición de NIS2: la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026 por este retraso, según el seguimiento publicado en septiembre, y a la fecha de este artículo no consta en el BOE.

Tienes todos los textos a mano en nuestra sección de legislación y normativa. Y si quieres repasar cómo encaja la figura del director de seguridad en el sector, empieza por nuestra guía de la seguridad privada en España.

¿Quién debe responder cuando un sistema vulnerable sigue años conectado?

Es la gran pregunta que deja el ciberataque a supermercados franceses. Y la respuesta honesta es que no hay un solo culpable, sino una cadena con eslabones sin dueño.

Las responsabilidades legales concretas las decidirán los tribunales y los contratos de cada caso. Lo que sí podemos hacer es ordenar quién tiene cada pieza del problema, para que en tu instalación no quede ninguna suelta.

Qué puedes revisar mañana mismo

No hace falta ser ingeniero para hacer las preguntas correctas. Estas son las que deberías llevar a tu próxima reunión con mantenimiento o con el departamento técnico.

Qué hacer si te ves afectado

Si una noche el frío se dispara sin explicación, cada minuto cuenta. Y lo que hagas en las primeras horas decidirá también si luego puedes reclamar.

El papel del vigilante: los ojos que el sistema no tiene

En el ciberataque a supermercados franceses, el calor duró horas antes de que alguien lo notara. Y Claroty ya demostró que un gestor comprometido puede mostrar una temperatura normal mientras el frío está apagado. Ahí el vigilante de servicio nocturno puede marcar la diferencia: una lectura en el termómetro de la cámara durante la ronda, un ruido de compresor que no suena, un mural que gotea.

Eso no convierte al vigilante en técnico de frío ni en informático. Pero sí lo convierte en un sensor humano valiosísimo, siempre que las consignas del servicio digan qué mirar y a quién avisar. Si eres jefe de servicio, vale la pena añadir este punto a la próxima actualización de consignas. Es la misma lógica de colaboración que hay detrás de Red Azul: compartir información a tiempo.

Pon a prueba lo que has aprendido

Cinco preguntas rápidas. Pulsa en cada una para ver la respuesta.

Preguntas frecuentes sobre el ciberataque a supermercados franceses

Información actualizada a 16 de octubre de 2026. La investigación sigue abierta y algunos datos pueden cambiar. Las atribuciones de responsabilidad que aparecen en este artículo corresponden a las fuentes citadas y no prejuzgan el resultado de la investigación judicial. Si eres parte implicada y quieres aportar información o solicitar una rectificación, escríbenos.