Ciberataque en Francia: subieron a 50 °C los frigoríficos de más de 150 supermercados y obligaron a tirar toneladas de comida
La madrugada del 11 al 12 de octubre de 2026, varios supermercados franceses sufrieron un sabotaje que convirtió sus instalaciones frigoríficas en fuentes de calor. Según las informaciones publicadas, los atacantes manipularon los sistemas de control, prolongaron los ciclos de deshielo y modificaron las consignas de temperatura hasta alcanzar los 50 °C.
El resultado fue la pérdida de toneladas de alimentos que debían mantenerse refrigerados o congelados. Carne, pescado, lácteos y platos preparados tuvieron que retirarse al romperse la cadena de frío. Intermarché figuró entre las cadenas más afectadas, con alrededor de 150 establecimientos señalados en las primeras informaciones. También se notificaron incidencias en Coopérative U, E.Leclerc y otros operadores.
La conexión técnica más interesante no es una atribución definitiva del incidente, sino una investigación publicada por Claroty Team82 el 9 de agosto de 2026: Freeze the Controller, Defrost the Food. En ella, el investigador Amir Zaltzman documentó cómo varias vulnerabilidades de los controladores Danfoss AK-SM 800A podían encadenarse para saltarse la autenticación, alcanzar ejecución remota de comandos y manipular la configuración del servidor web integrado. Es una hipótesis técnica plausible para investigar lo ocurrido en Francia, pero no existe confirmación pública de que los atacantes utilizaran exactamente esta cadena.
De una interfaz expuesta al control del sistema
El Danfoss AK-SM 800A no es simplemente un termostato conectado a la red. Es un gestor centralizado que supervisa y coordina equipos de refrigeración comerciales. Desde su interfaz web se pueden consultar circuitos, configurar umbrales de temperatura, gestionar alarmas, ajustar horarios y modificar servicios de notificación. Comprometer ese punto de administración puede dar al atacante acceso a funciones con consecuencias físicas y operativas.
Team82 comenzó investigando la exposición de estos controladores en Internet mediante plataformas como Shodan y Censys. Los investigadores identificaron miles de interfaces accesibles públicamente; su publicación muestra una medición de 2.765 dispositivos expuestos en Censys. Esto no significa que todos fueran vulnerables o estuvieran comprometidos, pero sí que existía una superficie de ataque alcanzable sin necesidad de entrar previamente en la red corporativa de un supermercado.
Una vez identificado el equipo, la siguiente fase consistió en analizar el firmware para reconstruir cómo procesaba las peticiones HTTP. El resultado fue una arquitectura más compleja de lo que aparentaba la interfaz: un Nginx externo recibía las peticiones, determinadas rutas .cgi se enviaban a sm_fcgi_app y este componente las reenviaba a un Nginx interno. Finalmente, otra capa del sistema, asociada a sm_app y su tarea Task_Web, procesaba la lógica de la aplicación.
Esta separación importa desde el punto de vista de la seguridad. La validación de una petición, la autenticación y la operación ejecutada pueden residir en componentes distintos. Para encontrar una vulnerabilidad no basta con observar lo que muestra el navegador: hay que seguir la petición desde el punto de entrada hasta la función que realiza realmente la operación.
Primera fase: CVE-2025-41450 y el mecanismo oculto de autenticación
El primer eslabón es CVE-2025-41450, una vulnerabilidad de autenticación impropia que afecta a versiones del AK-SM 8xxA anteriores a la 4.2. Danfoss publicó el aviso correspondiente en marzo de 2025 y recomendó actualizar el firmware.
Team82 centró su análisis en las peticiones dirigidas al endpoint xml.cgi, en particular las relacionadas con la acción getauth. Siguiendo el flujo de ejecución hasta el código que despacha las acciones XML, los investigadores localizaron una ruta alternativa de autenticación que desviaba el proceso normal de comprobación de credenciales.
El hallazgo más relevante fue una función denominada check_code_of_day. Según la investigación, determinados atributos de la petición activaban esta ruta alternativa, que aceptaba un código calculado internamente a partir de la fecha del dispositivo en lugar de comprobar exclusivamente la contraseña administrativa configurada.
Los investigadores reconstruyeron el algoritmo utilizado para generar ese código diario. Por tanto, un atacante que conociera el funcionamiento de la rutina podía reproducir el mecanismo y obtener una sesión administrativa sin conocer la contraseña habitual del equipo.
No se trata simplemente de una contraseña débil ni de un ataque de fuerza bruta. El problema está en la existencia de un mecanismo alternativo que permite evitar el control de acceso previsto. Una función posiblemente concebida para tareas de soporte o mantenimiento se convierte así en una vía de entrada cuando su diseño y sus condiciones de activación no están suficientemente protegidos.
El impacto práctico es considerable: una interfaz que aparentemente exige credenciales puede ofrecer una segunda ruta de autenticación. Si el controlador está expuesto y ejecuta una versión vulnerable, el atacante podría pasar de una petición remota a una sesión con privilegios de administración.
Conviene precisar el alcance: el aviso original de Danfoss destaca que esta vulnerabilidad permite generar informes web con información sensible, como direcciones IP internas, nombres de usuario y nombres de tiendas. Es la investigación de Team82 la que describe el mecanismo oculto y su potencial para obtener una sesión administrativa, que es lo que hace posible enlazarlo con la siguiente vulnerabilidad.
Segunda fase: CVE-2025-41451, de la administración web a la ejecución de comandos
Con la autenticación superada, el atacante ya no estaría limitado a los endpoints accesibles sin iniciar sesión. Tendría a su alcance las funciones administrativas de la aplicación, incluidas las relacionadas con configuración de red, usuarios, mantenimiento y notificaciones por correo.
Team82 examinó precisamente esta última funcionalidad. La página de configuración SMTP fue el punto de partida para seguir una petición que actualizaba los parámetros de correo. Al rastrear el flujo hasta la implementación, los investigadores identificaron un campo correspondiente a la contraseña de autenticación del correo que terminaba incorporado a una orden ejecutada por el sistema operativo.
El problema, documentado como CVE-2025-41451, es que el valor controlado por el usuario se incorporaba al comando sin una neutralización adecuada de los caracteres especiales del intérprete de comandos. En lugar de tratarse siempre como un dato, el contenido podía interpretarse como parte de la propia orden.
Esta es la diferencia esencial entre una configuración vulnerable y una ejecución remota de comandos: si la aplicación construye una orden del sistema mediante concatenación o interpolación de valores externos, y no separa correctamente los datos de las instrucciones, el campo de configuración puede convertirse en un punto de inyección.
En el caso analizado por Team82, la cadena era:
- El atacante alcanzaba la interfaz de administración.
- Utilizaba la ruta de autenticación alternativa para obtener una sesión administrativa.
- Accedía a la configuración de correo y enviaba un valor manipulado en el campo vulnerable.
- La aplicación incorporaba ese valor a una orden del sistema operativo.
- El sistema interpretaba el contenido inyectado como instrucciones adicionales, haciendo posible la ejecución remota de comandos.
No hace falta que el atacante encuentre una vulnerabilidad independiente en SSH ni que instale primero un implante en el sistema operativo. La propia aplicación web constituye el puente entre una sesión administrativa y la ejecución de comandos.
Danfoss describe CVE-2025-41451 como una inyección de comandos en campos de configuración de alarmas por correo que puede conducir a ejecución remota de código después de autenticarse. La vulnerabilidad afecta a versiones anteriores a la 4.3.1 y fue corregida en esa versión. Aunque la investigación de Team82 muestra cómo puede encadenarse con el bypass de autenticación, la ejecución de comandos y el acceso posterior dependen de las condiciones concretas del dispositivo y de su versión de firmware.
Tercera fase: qué permitiría hacer el acceso al controlador
Llegados a este punto, la hipótesis deja de depender de un fallo aislado de autenticación. La combinación de acceso administrativo y ejecución de comandos convierte al controlador en un activo comprometido desde el que un atacante podría investigar los procesos, configuraciones y servicios disponibles en el dispositivo.
Pero hay una distinción fundamental: obtener ejecución de comandos no demuestra, por sí solo, que se pueda fijar una temperatura concreta ni que todos los circuitos de refrigeración estén directamente controlados desde el mismo proceso. Para pasar de la ejecución en el sistema operativo a la manipulación efectiva del frío habría que conocer la arquitectura de control de cada instalación, los permisos del proceso comprometido y la comunicación entre el AK-SM y los equipos de campo.
La investigación de Team82 demuestra las vulnerabilidades de la interfaz web y la posibilidad de ejecutar comandos; no documenta que un atacante haya utilizado esta cadena para programar consignas de 50 °C en los supermercados franceses. Esa parte debe mantenerse como hipótesis.
Si el acceso comprometido permite modificar parámetros operativos, horarios o la configuración que gobierna los equipos de frío, las consecuencias podrían ser graves. Una alteración de las consignas, la activación de ciclos de deshielo fuera de su programación o la modificación de los mecanismos de supervisión podría provocar que las cámaras y vitrinas dejaran de mantener las condiciones adecuadas para conservar los alimentos. El efecto final dependería de la configuración real, de las protecciones independientes y de la intervención del personal.
El impacto tampoco tiene por qué limitarse a la temperatura. Un atacante podría intentar interferir con la visibilidad que tiene el operador sobre el sistema, dificultar la gestión remota o alterar la configuración de los servicios que notifican incidencias. Para demostrar que eso sucedió durante el incidente francés habría que examinar registros del controlador, cambios de configuración, telemetría de temperatura, alarmas y evidencias recogidas en los sistemas de supervisión.
CVE-2025-41452: manipular Nginx y provocar una caída de la interfaz
Team82 descubrió una tercera vulnerabilidad, CVE-2025-41452, que afecta a la configuración del servidor web integrado. La aplicación permitía reemplazar el archivo headers.conf y recargar la instancia externa de Nginx sin reiniciar el dispositivo. La función estaba expuesta mediante la acción load_nginx_headers, que aceptaba una carga de archivo autenticada.
Según los investigadores, un usuario autenticado podía introducir directivas arbitrarias de enrutamiento en esa configuración. Durante las pruebas, determinadas rutas manipuladas provocaban una excepción no gestionada en el proceso sm_app, haciendo caer el servicio web y permitiendo generar una condición de denegación de servicio.
Esta vulnerabilidad no es el mismo fallo que permite ejecutar comandos mediante la configuración SMTP. Tampoco constituye, por sí sola, una prueba de que un atacante pueda alterar la temperatura. Su importancia reside en que amplía las posibilidades de interferir con la interfaz de administración y con el acceso de los operadores al sistema.
En una instalación de refrigeración, perder la interfaz web puede complicar la supervisión y la respuesta ante una incidencia, aunque no implica necesariamente que los circuitos de frío dejen de funcionar: el comportamiento dependerá de cómo estén diseñados los controles locales y de qué funciones sigan operativas sin la aplicación de gestión.
La cadena de ataque, reconstruida como hipótesis
A partir de los hallazgos de Team82, el escenario técnico que conviene investigar en el incidente francés puede resumirse así:
Exposición a Internet → identificación de un AK-SM vulnerable → bypass de autenticación mediante code-of-the-day (CVE-2025-41450) → acceso administrativo → inyección de comandos en la configuración SMTP (CVE-2025-41451) → ejecución remota de comandos → posible manipulación de la operación de refrigeración.
La secuencia es técnicamente coherente con las vulnerabilidades documentadas. Sin embargo, el último tramo requiere pruebas específicas: habría que demostrar qué proceso o interfaz controla las consignas, qué cambios se aplicaron y si estos coinciden temporalmente con las alteraciones de temperatura notificadas.
La CVE-2025-41452 añade una posible vía para alterar o interrumpir la interfaz web, pero no es necesario incluirla en la cadena principal para explicar el paso de autenticación a ejecución de comandos. El encadenamiento de las dos primeras vulnerabilidades es el elemento central de la investigación de Claroty.
Qué evidencias confirmarían —o descartarían— esta hipótesis
Para atribuir el ataque a esta cadena no bastaría con encontrar un AK-SM comprometido. La investigación forense debería correlacionar varias fuentes:
- Firmware y exposición: modelo exacto, versión instalada durante el incidente y accesibilidad de la interfaz de administración desde Internet.
- Registros de autenticación: peticiones a
xml.cgi, accionesgetauthy evidencias de uso de la ruta de autenticación alternativa. - Cambios SMTP: modificaciones inesperadas en los campos de configuración del correo y marcas temporales asociadas.
- Ejecución en el sistema: registros de procesos, órdenes anómalas, cambios en archivos y otros indicadores de ejecución no autorizada.
- Configuración de Nginx: modificaciones de
headers.conf, recargas inesperadas y errores o caídas desm_app. - Telemetría industrial: cambios de consignas, ciclos de deshielo, evolución de temperaturas, alarmas y comunicaciones con los controladores de campo.
- Correlación entre establecimientos: patrones temporales, infraestructura de origen, cuentas utilizadas y artefactos repetidos en distintos equipos.
La correlación de esas evidencias permitiría determinar si se explotó el mismo mecanismo en varios establecimientos, si hubo una campaña coordinada o si se utilizaron otras credenciales o vulnerabilidades. Sin ellas, atribuir el incidente a CVE-2025-41450 y CVE-2025-41451 sería prematuro.
Mitigación: cerrar la puerta de entrada y recuperar el control
Danfoss publicó correcciones para estas vulnerabilidades y recomienda actualizar los controladores AK-SM 800A a la versión R4.3.1 o posterior. Además, Team82 aconseja no exponer directamente las interfaces de gestión a Internet y limitar el acceso administrativo a redes de confianza o a conexiones protegidas mediante VPN.
El CERT-FR, tras advertir de numerosos compromisos de equipos Danfoss AK-SM y AK-SC, recomienda filtrar las conexiones para permitir únicamente accesos autorizados de los proveedores, restaurar los equipos a valores de fábrica cuando se sospeche una intrusión, aplicar los parches disponibles, rotar los secretos, revisar las cuentas existentes y reconfigurar los dispositivos.
En un incidente real, actualizar no debería ser la única medida. Antes de restaurar el sistema conviene preservar los registros y evidencias disponibles; después, verificar que la configuración operativa es legítima, comprobar la integridad de los equipos y validar físicamente las temperaturas y alarmas con el personal responsable. La prioridad es recuperar un estado seguro y comprobar que el sistema vuelve a operar correctamente.
El problema no es solo una vulnerabilidad
La investigación de Team82 ilustra un riesgo característico de los entornos industriales conectados: una interfaz web concebida para facilitar el mantenimiento remoto puede convertirse en una puerta de entrada directa a un sistema que gobierna procesos físicos. Un fallo de autenticación y una inyección de comandos, dos problemas de software aparentemente convencionales, adquieren otra dimensión cuando afectan a la infraestructura de refrigeración de una cadena comercial.
Si la cadena descrita por Claroty fuera el vector empleado en Francia, no estaríamos ante un simple incidente de página web ni ante un robo de credenciales. Estaríamos ante la posible utilización de un controlador de refrigeración como punto de entrada para alterar un proceso operativo del que depende la conservación de alimentos.
Pero la conclusión forense debe seguir abierta: las vulnerabilidades de Danfoss y la cadena de explotación están documentadas; su utilización concreta en el ataque a los supermercados franceses todavía necesita confirmación técnica pública.
Fuentes técnicas
- Claroty Team82 — Freeze the Controller, Defrost the Food
- Danfoss — DSA-2025-03-01, CVE-2025-41450
- Danfoss — DSA-2025-08-01, CVE-2025-41451 y CVE-2025-41452
- CERT-FR — CERTFR-2026-ALE-012: incidentes que afectan a equipos Danfoss AK-SM y AK-SC
Powered by WPeMatico
