Qué ha pasado esta vez
El patrón es idéntico al de Francia (lo contamos aquí): madrugada de domingo a lunes, sin personal en tienda, desescarche forzado en remoto y producto perdido por la mañana. En Estocolmo, un franquiciado de ICA sitúa el inicio hacia las 2:00. En Bélgica, la empresa frigorista Sabcobel tenía técnicos movilizados desde la 1:00.
| País | Afectados conocidos |
|---|---|
| Bélgica | Delhaize, unas 40 tiendas (sobre todo Proxy y Shop&Go); Carrefour, 15 de más de 700; Intermarché, unas 15 franquicias; Spar, unas 5; IKEA Mons; carnicerías en Amberes y Hove. Un solo Proxy Delhaize calcula al menos 60.000 € de daños. La fiscalía federal ha abierto una investigación. |
| Suecia | ICA, «un número limitado» de tiendas (la de Sjöbo, a 50 °C); Coop, 6 de unas 800; un centro de preparación de pedidos online de Axfood. |
| Irlanda | 13 de 223 SuperValu (Musgrave). |
| Países Bajos | Al menos 17 empresas, sobre todo carnicerías y tiendas de barrio. |
| Finlandia | Algunas tiendas pequeñas del grupo K (Kesko). |
| Estonia | Una tienda Selver, a 50 °C; el instalador la recuperó en minutos. |
| Luxemburgo | Varias tiendas Delhaize. |
Las temperaturas publicadas van de 15 °C en algunos congeladores belgas a 50-55 °C en muebles suecos y estonios; algún medio belga habla de 70 °C. Los centros de distribución no se vieron afectados y el abastecimiento general no se ha resentido. El comisario europeo de Agricultura, Christophe Hansen, lo ha calificado de «intento deliberado» de alterar la cadena alimentaria europea, y la Comisión coordina la respuesta con los Estados a través de la red CyCLONe.
Mientras tanto, Francia ha subido su balance del 12 de octubre: el ministro de Economía habló en el Parlamento de unos 700 supermercados afectados, frente a las 250-500 de las primeras estimaciones.
No es la segunda vez. Es la tercera (como mínimo)
| Fecha | Dónde | Qué |
|---|---|---|
| Agosto 2026 | EE. UU., bases militares | Economatos de al menos siete bases en siete estados con congeladores en desescarche de madrugada. El Pentágono lo investiga como posible ciberataque con el Cyber Command; Francia colabora con esa investigación. |
| 9 ago 2026 | — | Claroty publica vulnerabilidades del gestor Danfoss AK-SM 800A (corregidas en 2025). |
| 12 oct 2026 | Francia | Unas 700 tiendas. Gestores Danfoss AK-SM/AK-SC y, según el CERT-FR, también supervisores XWEB de Copeland-Dixell. |
| 13-16 oct | Europa | Alertas del CERT-FR y de Danfoss: desconectar los gestores de internet. |
| 2 nov 2026 | 7 países | Segunda ola en Europa, misma técnica y misma franja horaria. |
Se ha publicado además un caso en mayo en una planta alimentaria de un país no identificado (posiblemente Israel), que la empresa de seguridad israelí Profero atribuye a la Guardia Revolucionaria iraní. No está confirmado que tenga relación con los europeos.
Cómo entran: no hace falta un genio, hace falta una puerta abierta
Es la pregunta que más se hace en el sector, y la respuesta es menos de película de lo que parece. Por lo publicado hasta ahora, la cadena es esta:
- Encontrar el equipo. El gestor de sistema (el «cerebro» de la tienda: AK-SM, AK-SC, XWEB y similares) tiene una interfaz web. Para la telegestión, muchas instalaciones la publicaron en internet redirigiendo un puerto del router de la tienda, tal como describen algunas guías de instalación. Los buscadores de dispositivos conectados las listan. Forescout contó en octubre casi 13.000 servicios de gestión frigorífica expuestos en 99 países: unos 7.000 XWEB de Copeland-Dixell y unos 4.700 Danfoss, el 80 % de estos con firmware anterior a las correcciones de seguridad.
- Pasar la pantalla de acceso. Danfoss ha reconocido que los equipos atacados estaban expuestos a internet y conservaban la contraseña por defecto. En los modelos sin soporte (AK-SM 800, fuera de vida desde 2021, y AK-SC 355, desde 2016) además hay fallos conocidos que nunca se corregirán. Ni el CERT-FR ni Danfoss han publicado una vulnerabilidad concreta como causa.
- Usar el equipo como lo usaría un técnico. Una vez dentro no hace falta ningún virus. Forzar el desescarche, cambiar consignas, alargar tiempos o desactivar alarmas son funciones normales del gestor. En algunas tiendas francesas se cambiaron decenas de parámetros. Por eso un cambio así puede pasar por actividad rutinaria.
En Suecia, Coop ha señalado que sus tiendas afectadas iban por una conexión 4G antigua, «más expuesta». En Bélgica, Sabcobel había asegurado sus instalaciones tras Francia, pero en torno al 10 % aún no estaban hechas, porque algunas requerían cambios físicos; su consejero delegado cree que, sin ese trabajo, el impacto habría sido mucho mayor. El catedrático de ciberseguridad Andrei Sabelfeld (Chalmers) lo resumió en la televisión sueca: el ataque «no requiere gran competencia».
friobase describe el mecanismo a nivel general, como lo han hecho las autoridades y los fabricantes, para que el sector sepa qué cerrar. No damos detalles operativos.
¿Por qué a la vez? Simultáneo no significa muchos atacantes
Que cientos de tiendas de siete países caigan la misma noche impresiona, pero técnicamente es lo esperable si el trabajo se hizo antes. Con una lista de direcciones de gestores expuestos, preparada con días o semanas de antelación, un único programa puede recorrerla y lanzar la misma orden a todos en pocas horas. No hace falta un equipo grande ni estar en siete países. La simultaneidad indica preparación y automatización, no necesariamente una gran organización.
Lo que sí revela es intención sobre el momento: noche de domingo a lunes, las dos veces. Es la ventana con más horas sin personal y menos vigilancia, y la que garantiza que el producto se pierde antes de que nadie lo vea. El que lo eligió sabe cómo funciona una tienda.
¿Campaña coordinada o un exploit que usa cualquiera?
Las dos cosas no son excluyentes, pero los datos apuntan a lo primero:
- Misma técnica, misma franja y mismo objetivo en Francia y en la segunda ola. El instalador estonio lo dijo con una frase de oficio: «la letra es la misma».
- No va contra una marca de equipo. En Francia cayeron también XWEB de Copeland-Dixell. El objetivo es la categoría (gestores frigoríficos expuestos), no Danfoss.
- La segunda ola esquiva Francia. Tras tres semanas de alertas, los equipos franceses estaban desconectados. Los golpeados ahora son los que seguían abiertos en otros países. Eso sugiere que alguien volvió a escanear y fue a por lo que quedaba.
- Si fuera un fallo que circula libremente, lo normal sería ver ataques sueltos, a cualquier hora y con firmas distintas. Lo que se ve son dos noches concretas y una ejecución limpia.
Conclusión prudente: todo encaja con un mismo actor, o con varios que comparten herramienta y lista, que aprovecha una debilidad conocida y masiva. Pero ninguna autoridad lo ha confirmado.
¿Qué buscan? Descartando hipótesis
| Hipótesis | Encaja | Por qué |
|---|---|---|
| Dinero (rescate, extorsión) | No, por ahora | No hay petición de rescate, no se han robado datos y nadie ha contactado con las cadenas, según lo publicado. |
| Ataque a una cadena o a una marca | No | Han caído Delhaize, Carrefour, Intermarché, Spar, ICA, Coop, SuperValu, IKEA y carnicerías de barrio. La selección es por exposición, no por logotipo. Ahold Delhaize sufrió en octubre otro ciberataque, en sus sistemas informáticos, pero no consta relación. |
| Gamberrada o prueba de capacidades | Posible | Ken Munro (Pen Test Partners) y el hacker ético belga Keanu Nys no lo descartan: el fallo es fácil de explotar. Pero cuesta encajar la elección de la hora, la repetición planificada y las bases militares de EE. UU. con un simple juego. |
| Sabotaje para crear alarma (guerra híbrida) | Es lo que mejor encaja | Daño a la cadena alimentaria sin muertos, coste económico alto, mucha repercusión mediática, negable y sin reivindicar. Varios expertos ven «huellas rusas», aunque no hay atribución oficial. El comisario europeo habla de intento deliberado de alterar el suministro. |
| Simbólico o político declarado | No, por ahora | Los grupos hacktivistas que atacan sistemas industriales suelen reivindicarlo con vídeos y mensajes. Aquí, silencio total. Y en estos casos, el silencio suele ser parte del mensaje. |
¿Y en España?
No consta ningún supermercado español afectado en ninguna de las dos olas. En octubre, un analista de Sekoia citado por Reuters incluyó a España entre los países que podrían haberse visto tocados, pero no se ha confirmado. Lo que sí está claro es que los mismos gestores funcionan en miles de tiendas españolas, muchas con años de servicio y con accesos remotos montados en su día para la telegestión. Que no nos haya tocado no es un mérito: puede ser solo que no estábamos en la lista de esta noche.
La segunda ola enseña algo incómodo: tres semanas de alertas oficiales no bastaron. En Bélgica, el 10 % que quedaba pendiente fue suficiente para dejar sin frío a decenas de tiendas. El problema no es técnico, es organizativo: la responsabilidad está repartida entre el instalador (el gestor), el cliente (el equipo) y su departamento de informática (el router), y nadie lo ve entero.
Lo que haríamos esta semana
- Comprobar desde fuera si los gestores que mantienes responden desde internet. Si responden, desconectar y volver a conectar solo por VPN o acceso remoto seguro, como piden el CERT-FR y Danfoss.
- Cambiar las contraseñas por defecto y las compartidas entre técnicos, y quitar usuarios antiguos.
- Inventariar modelos y firmware. Un AK-SM 800 o un AK-SC 355 no va a recibir más parches: hay que presupuestar su sustitución.
- Revisar las protecciones independientes: termostato de seguridad en las resistencias de desescarche y alarma de temperatura que no dependa del gestor (con aviso GSM propio). Si el atacante controla el gestor, controla sus alarmas.
- Tener un plan para la noche del domingo: quién recibe el aviso, cómo se pasa la tienda a modo local y quién lo decide.
La guía completa, paso a paso, está en cómo proteger tu gestor frigorífico.
¿Habéis encontrado gestores expuestos en las instalaciones que mantenéis? ¿Os ha pedido algún cliente que lo reviséis después de Francia, o seguimos esperando a que nos toque?