Resumen en cinco líneas
  • El CERT-FR (la autoridad francesa de respuesta a incidentes) confirma numerosas intrusiones en gestores Danfoss de las series AK-SM y AK-SC.
  • Su instrucción principal: desconectarlos de internet o filtrar el acceso solo a direcciones de confianza.
  • Si se sospecha que un equipo ha sido atacado: seis pasos, empezando por cortar accesos y terminando por reconfigurarlo desde cero.
  • En el AK-SM 800A, actualizar al último software publicado y mantener activo el modo de sesión estricto (HTTPS obligatorio). Dónde está cada ajuste, en la guía de cómo programar el AK-SM 800A.
  • Nada de esto es exclusivo de Danfoss: cualquier gestor frigorífico accesible desde internet tiene el mismo riesgo.

Qué ha dicho la autoridad francesa

El 12 de octubre de 2026, el CERT-FR publicó la alerta CERTFR-2026-ALE-012, "Incidente de seguridad dirigido a Danfoss series AK-SM y AK-SC", en la que reconoce tener constancia de "numerosas compromisiones" de estos equipos. El texto es breve y muy claro en dos puntos:

El director de la ANSSI, la agencia nacional de ciberseguridad francesa, ha insistido públicamente en la misma idea: desconectar de internet los controladores afectados. A 13 de octubre no se ha confirmado públicamente la vía de entrada ni se han publicado indicadores técnicos del ataque. Si quieres el contexto completo, lo tienes en nuestra noticia sobre el ataque.

Paso 1. Haz inventario

Antes de proteger nada hay que saber qué hay. Para cada instalación que mantengas:

Este inventario es, además, una buena base para añadir al protocolo de puesta en marcha de las instalaciones nuevas.

Paso 2. Comprueba si el gestor está expuesto a internet

La pregunta clave es sencilla: ¿se puede abrir la pantalla de acceso del gestor escribiendo una dirección IP pública en cualquier navegador? Si la respuesta es sí, el equipo está expuesto, y es exactamente el escenario del ataque. Solo en Francia había alrededor de 1.590 sistemas Danfoss en esa situación.

Paso 3. Corta o filtra el acceso remoto

Siguiendo al CERT-FR, en orden de preferencia:

  1. Desconectar el gestor de internet si el acceso remoto no es imprescindible.
  2. Acceso solo por VPN o por una plataforma de telegestión con usuario individual y doble factor. Danfoss recomienda que el acceso remoto pase por un único punto de entrada gestionado.
  3. Como medida temporal, si hoy no puede cambiarse, limitar en el router el acceso al gestor a las IP fijas del mantenedor.

Lo que no debe quedar nunca es un gestor con un puerto abierto a cualquier dirección de internet.

Paso 4. Actualiza el AK-SM 800A y deja el modo estricto activado

Para los equipos actuales, según la información de software de Danfoss:

Para AK-SM 800 y AK-SC 355 no hay actualización posible. La única medida de fondo es la sustitución; mientras tanto, el equipo debe quedar fuera de internet.

Paso 5. Contraseñas y usuarios

Si sospechas que un equipo ha sido atacado: los seis pasos del CERT-FR

Señales de alarma: desescarches que nadie ha programado, consignas cambiadas, usuarios desconocidos, alarmas desactivadas o temperaturas que suben sin avería mecánica. En ese caso, el CERT-FR indica:

  1. Limitar los accesos de red únicamente a los mantenedores autorizados.
  2. Restablecer el equipo a valores de fábrica.
  3. Aplicar todos los parches de seguridad disponibles.
  4. Renovar todas las contraseñas y claves.
  5. Revisar las cuentas existentes.
  6. Reconfigurar el equipo por completo.

Antes del restablecimiento, documenta lo que veas: capturas de parámetros, registro de alarmas y usuarios. Y aquí es donde el protocolo de puesta en marcha demuestra su valor: si tienes la hoja de parámetros finales, reconfigurar es copiar; si no, es empezar de cero.

Lo que va más allá de Danfoss

La alerta oficial habla de Danfoss, pero el problema es general. Hay informaciones, sin confirmar, de una tienda afectada en Francia con controladores de otro fabricante. Cualquier gestor o controlador de cualquier marca accesible desde internet, con firmware antiguo o con contraseñas por defecto, está en la misma situación. Dos medidas protegen igual a todos:

Y en España, ¿qué?

A 13 de octubre no hay ningún supermercado español afectado confirmado. Alcampo ha declarado que el grupo Auchan no se ha visto afectado en España. Un analista de la empresa de ciberseguridad Sekoia citado por Reuters apunta a casos en España y otros países europeos, pero sin detalles. Precisamente por eso es el momento de revisar: hacerlo ahora cuesta horas de trabajo; hacerlo después cuesta una tienda entera de producto.

Preguntas frecuentes

¿Tengo que desconectar todos los gestores Danfoss de internet?
Es lo que recomienda el CERT-FR para las series AK-SM y AK-SC. Si el acceso remoto es imprescindible para el mantenimiento, debe hacerse por VPN o por una plataforma con usuarios individuales, y nunca con el gestor abierto directamente a internet. Como medida temporal, filtrar el acceso a las IP del mantenedor.
¿Afecta solo a Danfoss?
La alerta oficial se refiere a Danfoss AK-SM y AK-SC. Pero cualquier gestor frigorífico de cualquier marca expuesto a internet, sin actualizar o con contraseñas por defecto, tiene un riesgo equivalente. Las medidas de esta guía sirven para todos.
¿Qué hago con un AK-SM 800 o un AK-SC 355?
Son equipos sin soporte que ya no reciben actualizaciones de seguridad. Deben quedar fuera de internet de inmediato y conviene planificar su sustitución por un gestor actual.
¿Quién es responsable de esto: el mantenedor o el cliente?
Depende del contrato, y casi nunca está escrito. Lo recomendable es acordarlo por escrito: quién gestiona los accesos remotos, quién actualiza el software del gestor y quién revisa la red de la tienda. Incluirlo en el contrato de mantenimiento evita discusiones el día que pase algo.

Fuentes

Guía orientativa con información disponible a 13 de octubre de 2026. No sustituye a las instrucciones del fabricante ni al asesoramiento de un especialista en ciberseguridad. friobase no tiene relación comercial con Danfoss ni con otros fabricantes citados.