Un congelador lleva calefactor, y los hackers no paran de encenderlo

En la noche del 2 de noviembre de 2026, los congeladores de un supermercado ICA Kvantum de Sjöbo, una pequeña localidad sueca, empezaron a calentarse. Por la mañana, la tienda explicaba a sus clientes en Facebook que alguien había hackeado sus neveras y congeladores y los había puesto a 50 °C (122 °F), y que el personal estaba tirando los productos afectados. Esa misma noche, averías parecidas golpearon a decenas de tiendas en otros cuatro países, informó Associated Press.

Es la tercera oleada. En agosto, las neveras fallaron de la misma manera en tiendas de bases militares estadounidenses, y el Pentágono ya lo trata como un posible ciberataque. En octubre le tocó a unos 700 supermercados de Francia. Lo más curioso: nadie estropeó la refrigeración. Los atacantes encendieron algo que ya trae de serie cualquier congelador de exposición: un calefactor incorporado. Y en la mayoría de los paneles de control del frío que un mes antes estaban accesibles desde internet en Francia, cualquiera con un calendario podía calcular la contraseña de administrador.

Por qué un congelador lleva calefactor

El aire de una tienda es húmedo. Cuando toca los serpentines fríos de una vitrina, la humedad se deposita en ellos en forma de escarcha, y la escarcha funciona como un abrigo de invierno: cuanto más gruesa, peor transmiten el frío los serpentines. Por eso un congelador comercial se descongela solo, según un horario. Se enciende un calefactor, la escarcha se derrite, el agua se escurre y la vitrina vuelve a congelar. Normalmente eso lleva unas dos horas al día, según el medio económico sueco Dagens PS.

Los atacantes ordenaron a los controladores descongelar sin parar y fijaron el calefactor en 50 °C. En algunas tiendas francesas, según Le Monde, además alargaron cada ciclo de desescarche de una hora a ocho. Así retrasaron las alarmas y dieron tiempo a que el daño se extendiera.

Donde había alguien vigilando, el ataque se detectó enseguida. En Estonia, según AP, la empresa de mantenimiento Kitman Coldtech descubrió intrusos en un ordenador que gestionaba la refrigeración de un cliente. Ya habían llevado la temperatura a esos mismos 50 °C. Su consejero delegado, Jann Mutso, contó que todo se resolvió en minutos y sin daños significativos.

La cifra de 50 °C acaparó todos los titulares, pero es el ajuste del calefactor, no la temperatura de los estantes. La pantalla de un congelador de helados en Francia marcaba 26 °C (79 °F), informó Dagens PS. Para el helado, la diferencia daba casi igual. Los congelados deben mantenerse a −18 °C (0 °F) o menos; se toleran subidas breves hasta −15 °C, y por encima ya no se pueden vender. Así que las tiendas lo tiraron todo. «Tuvimos que desechar todos nuestros productos frescos (carnicería incluida)», escribió una tienda Intermarché de Mûr-de-Bretagne, en Bretaña.

Tres oleadas desde agosto

Los primeros casos parecidos aparecieron fuera de Europa. A finales de agosto de 2026, la refrigeración falló en al menos seis tiendas de bases militares de Estados Unidos, constató Reuters. El 26 de agosto, Fort Huachuca, en Arizona, anunció que una nevera se había puesto sola en modo desescarche y había calentado la comida hasta echarla a perder. Reuters no logró averiguar de quién era el equipo que usaban las bases.

En la noche del 11 al 12 de octubre ocurrió lo mismo en Francia, en cientos de tiendas a la vez. El ministro de Economía, Roland Lescure, dijo ante el Parlamento que estaban afectados unos 700 de los 10 000 supermercados del país. «Es inaceptable», escribió Dominique Schelcher, consejero delegado de Coopérative U. Dos supermercados de Haguenau, en Alsacia, perdieron entre los dos 270 000 € en alimentos (unos 300 000 dólares), calculó Dagens PS. Intermarché advirtió de que el seguro no cubre incidentes así en sus tiendas. La Fiscalía de París investiga el ataque, incluidas las pérdidas y las noticias de incendios en algunas tiendas.

En una alerta de emergencia, la agencia de ciberseguridad francesa señaló a la empresa danesa Danfoss como fabricante del equipo. Un día después añadió a otros dos fabricantes y advirtió de que los ataques probablemente seguían en curso. Tres semanas después, los hechos le dieron la razón: el 2 de noviembre cayeron varias decenas de tiendas Delhaize, Carrefour y SuperValu en Bélgica, Luxemburgo e Irlanda. Por la tarde, las tiendas irlandesas ya volvían a llenar sus neveras.

Una contraseña sacada del calendario

El Danfoss AK-SM 800A es, en la práctica, el panel maestro de la refrigeración de una tienda. Desde una página web, el personal vigila cada circuito, fija los límites de temperatura, cambia los horarios de desescarche y corrige ajustes a distancia. Antes los equipos de refrigeración estaban aislados de internet; ahora se conectan para los sensores y la supervisión remota, explicó a AFP el consultor de ciberseguridad Antoine Hautin. Una empresa de mantenimiento puede vigilar las vitrinas de todos sus clientes desde su propia oficina.

Los investigadores de Claroty, una firma de ciberseguridad industrial, encontraron en este panel un «código del día» oculto: una contraseña de servicio que el aparato calcula cada día a partir únicamente de la fecha del día. Quien reproduzca ese cálculo puede entrar como administrador sin conocer la contraseña real. Los investigadores avisaron del agujero, y en marzo de 2025 Danfoss lo cerró con el firmware 4.2. Amir Zaltzman, de Claroty, publicó un análisis detallado el 9 de agosto de 2026.

Los propietarios tuvieron año y medio para actualizar. Pocos lo hicieron. El 11 de octubre, la víspera del ataque, el buscador de dispositivos Censys contó en Francia 1825 de estos paneles accesibles directamente desde internet. De ellos, 1158 tenían un firmware anterior al 4.2, es decir, en ellos la contraseña del calendario seguía funcionando. No se sabe si los atacantes usaron precisamente ese agujero: ni Danfoss ni las autoridades francesas han revelado el punto de entrada.

Los modelos antiguos lo tienen peor. La mayoría de los equipos afectados, según Danfoss, eran sistemas AK-SM 800 y AK-SC 355. La empresa dejó de dar soporte al primero en mayo de 2021 y descatalogó el segundo en 2016. Ninguno recibe ya actualizaciones, y las tiendas tardan en sustituirlos: estos sistemas duran años y cuestan mucho.

Nadie pidió rescate

Lo normal es que un hackeo dé dinero: el atacante roba datos o los cifra y pide un pago. Aquí no se robó nada, no se exigió rescate y nadie reivindicó la autoría. En un ataque de esta envergadura, eso es inusual, señaló Christopher Whyte, de la Virginia Commonwealth University. Llevarlo a cabo, dijo, «no es demasiado difícil». Para qué lo hace, todavía no se sabe.

El truco no es del todo nuevo. Danfoss contó a Reuters que ya en 2022 unos atacantes usaron sus controladores obsoletos contra supermercados de Rusia e Israel. Lo nuevo es la escala: cientos de tiendas en una noche, y ya en varios países. John Hultquist, analista jefe de Google Threat Intelligence Group, lo resumió así: «El complejo sistema que nos trae la comida es frágil, pero a menudo no recibe la atención que merece».

Desenchufados, no parcheados

Tras el ataque de octubre, los propietarios se apresuraron a actuar. En tres días, el número de controladores franceses visibles desde internet cayó de 1825 a 537, un 71 % menos. Pero los equipos actualizados y los que seguían sin parche bajaron en la misma proporción. Es decir, la mayoría de los paneles simplemente se desconectaron, con el firmware intacto. Censys cree que probablemente fue la mejor opción: no hay motivo para que estos aparatos den directamente a internet. La agencia francesa está de acuerdo y recomienda restablecer el acceso remoto solo a través de una VPN segura.

Una cifra muestra lo poco que se actualizan estos paneles. El 11 de octubre, Censys encontró el firmware más reciente de Danfoss, la versión 5.3.2, en 27 de los casi 3000 paneles visibles desde internet en todo el mundo: menos del uno por ciento. Nadie ha revelado el punto de entrada, nadie conoce el motivo, y noviembre demostró que los ataques no han terminado. Lo grande que sea la próxima oleada dependerá de cuántos de estos paneles sigan expuestos a internet.