Hackean los frigoríficos de cientos de supermercados en Francia

13 de octubre de 2026

El lunes 12 de octubre de 2026, el gerente de un Carrefour Market de Rennes abrió en el móvil la aplicación que controla el frío de su tienda y vio que los congeladores estaban programados a 95 °C. No era una avería suya. En cientos de supermercados de Francia, alguien había entrado de madrugada en los aparatos que regulan las neveras y las había puesto a calentar.

Fue un ciberataque contra controladores de refrigeración, sobre todo los de la empresa danesa Danfoss, en la noche del domingo 11 al lunes 12. Los atacantes activaron a distancia la descongelación de los equipos de Intermarché, Netto, Coopérative U, E.Leclerc, Carrefour y Monoprix, y en unas 150 tiendas de Intermarché los frigoríficos llegaron a 50 °C durante seis horas, según contó a Reuters Les Mousquetaires, el grupo dueño de la cadena. Los 95 °C de Rennes eran la consigna que el gerente vio en la aplicación, y un Intermarché de Normandía dijo en Facebook que el suyo llegó a 80 °C, según TIME. Danfoss asegura que la mayoría de los equipos atacados eran modelos viejos que ya no reciben actualizaciones de seguridad. Al día siguiente, el CERT-FR amplió su alerta a los controladores de Copeland y de Dixell. A las 15:50 del martes 13 de octubre, no se conoce ningún supermercado afectado en España.

Esos controladores eran aparatos pensados para durar años, conectados a internet para manejarlos desde fuera y olvidados mientras funcionaban. Lo mismo vale para muchos routers, cámaras y enchufes inteligentes de casa.

Cientos de tiendas y la comida, a la basura

No hay una cifra oficial de tiendas. Reuters hablaba el martes de al menos 350 supermercados, y cada cadena ha dado la suya, con números que han ido cambiando.

Cadena	Tiendas afectadas	Quién lo cuenta
Intermarché y Netto (Les Mousquetaires)	Al menos 300 según AFP y BFMTV. Les Mousquetaires habló de unas 150 a Reuters y de unas 180 a TIME	AFP, BFMTV, Reuters y TIME, 12 y 13 de octubre
Coopérative U	80 de sus unas 2.000 tiendas, según su presidente el martes	AFP, 13 de octubre
Carrefour	80 supermercados	Reuters, 12 de octubre
Monoprix	El 5 % de sus unas 490 tiendas según Reuters; una treintena según la AFP	Reuters y AFP, 12 de octubre
E.Leclerc	«Varias»	AFP, 12 de octubre

Supermercados franceses afectados por el ataque del 11 al 12 de octubre de 2026, según las propias cadenas. Fuentes: AFP, BFMTV, Reuters y TIME.

Intermarché dijo que las tiendas afectadas tenían que tirar todos los productos de los muebles tocados para no romper la cadena de frío. Coopérative U cuenta que solo una minoría de sus 80 tiendas tuvo que tirar mercancía.

Thierry Cotillard, que dirige Intermarché, dijo en BFMTV que las pérdidas serán de decenas de millones de euros a escala nacional, mientras que Les Mousquetaires habló de «varios millones» a TIME, lo mismo que recoge franceinfo de una fuente cercana al caso. Intermarché añadió que los seguros no cubren este tipo de incidentes. Dominique Schelcher, presidente de Coopérative U, dijo en RTL que las pérdidas pueden llegar a unas decenas de miles de euros en una tienda pequeña y a 180.000 o 200.000 en un hipermercado, recoge franceinfo.

La Fiscalía de París abrió el mismo lunes una investigación, en manos de la Oficina contra la Cibercriminalidad (OFAC), por la comida perdida y por varios equipos que empezaron a arder. El primer ministro, Sébastien Lecornu, encargó el caso a la ANSSI, la agencia francesa de ciberseguridad.

Por qué esos controladores eran vulnerables

Estos controladores deciden cuándo enfría cada mueble y cuándo se descongela para quitarle la escarcha, por ejemplo dos horas de cada 24, según los profesionales del sector que consultó BFMTV. Reuters explica que estos paneles suelen manejarse por internet, para que las empresas de mantenimiento los ajusten desde cualquier sitio. Intermarché y E.Leclerc hablan de un ataque a proveedores que gestionan su frío.

Danfoss reconoce incidentes en Francia que afectan a «un número limitado» de sistemas de gestión del frío. La mayoría eran AK-SM800, que dejó de tener soporte en 2021, y AK-SC355, retirado en 2016. También cayeron algunos AK-SM 800A, la gama actual, que llevaban un firmware antiguo, según la nota que la empresa mandó a Cooling Post. Danfoss dice que llevaba tiempo aconsejando actualizarlos o cambiarlos.

El martes 13 por la mañana, un E.Leclerc de Lescure-d’Albigeois, en el Tarn, sufrió una ruptura de su cadena de frío, y ICI Occitanie, de France 3, contó que la tienda tiene controladores de Dixell, otro fabricante. Dixell no había respondido a France 3.

El CERT-FR, el centro de alerta del Gobierno francés, publicó el lunes un aviso que actualizó el martes 13. Dice tener constancia de numerosos equipos comprometidos de Danfoss (series AK-SM y AK-SC), de Copeland (xweb) y de Dixell (xweb). Recuerda que dejar una interfaz de gestión expuesta en internet «es contrario a las buenas prácticas» y pide quitarles la conexión directa, dejar el acceso solo a través de una VPN o una red protegida, actualizar el firmware y cambiar las contraseñas por defecto. Avisa de que restaurar de fábrica un equipo que ya no recibe parches no basta, porque casi seguro que volverán a entrar, y de que las campañas probablemente siguen en marcha.

¿Cuántos hay a la vista? Baptiste Robert, de la empresa Predicta Lab, contó el lunes 2.752 sistemas de Danfoss expuestos en internet, 1.590 de ellos en Francia, según BleepingComputer. El martes, Reuters seguía viendo al menos 4.500 paneles de Danfoss accesibles desde internet, y la empresa francesa Onyphe dice que solo una pequeña minoría lleva la última versión del software.

En agosto de 2026, la empresa de seguridad Claroty publicó varios fallos de los AK-SM 800A, que Danfoss corrigió con una actualización de su firmware, según recoge Reuters. No está demostrado que el ataque los usara. Franceinfo lo llama en su titular un pirateo «no tan sofisticado», porque los expertos que recoge, en RMC y Sud Ouest, hablan de fallos ya documentados y de una actualización pendiente. Antoine Hautin, de la consultora Almond, sí le ve a la AFP «cierta sofisticación», por haber alcanzado, probablemente, cientos de equipos a la vez. La ANSSI ha encontrado un fallo en el software de Danfoss y ya ha avisado a la empresa, según el entorno de Lecornu.

A 13 de octubre, nadie ha reivindicado el ataque, no hay detenidos y nadie ha pedido un rescate, algo que desconcierta a los investigadores, según una fuente que cita Reuters. Lo habitual es que los grupos hacktivistas se atribuyan el golpe y que las bandas de ransomware como KillSec pidan dinero enseguida.

¿Hay supermercados afectados en España?

No se ha confirmado ningún caso a las 15:50 del martes 13 de octubre de 2026. Carrefour España y Auchan, la dueña de Alcampo, dijeron a Escudo Digital que en España no se han visto afectadas. Ni otras cadenas, ni los fabricantes, ni el INCIBE (Instituto Nacional de Ciberseguridad) han informado de equipos atacados en España, y entre los avisos de seguridad del INCIBE no había ninguno sobre estos controladores.

La única voz en sentido contrario es la de Felix Aime, analista de la empresa de ciberseguridad Sekoia, que dijo a Reuters que España, Portugal, Polonia, Alemania y Bélgica también se habían visto afectados. La agencia no recoge más detalles (ni empresas, ni sector, ni cuántos equipos), y no consta confirmación oficial de ninguno de esos países. Intermarché dijo a Escudo Digital que el ataque «afecta a Europa, pero principalmente a Francia», y la ANSSI se coordina con sus homólogas europeas porque puede haber víctimas en otros países, según el entorno de Lecornu citado por la AFP.

Ahold Delhaize: otro incidente el mismo día, sin relación demostrada

El lunes 12 por la mañana, el grupo neerlandés Ahold Delhaize comunicó un problema de seguridad en su red y desconectó algunos sistemas por precaución. En los Países Bajos fallaron la web, la app y los pedidos a domicilio de Albert Heijn, y en Bélgica Delhaize apagó parte de sus sistemas internos y su atención al cliente, según Xataka. En Estados Unidos, las webs de sus cadenas, como Stop & Shop y Food Lion, mostraban un aviso de «web temporalmente caída», cuenta Reuters. El grupo dijo que no ve motivo para relacionarlo con lo de Francia, y su nota no habla de frío ni de Danfoss. El martes 13, en una segunda nota, contó que empieza a reactivar algunos sistemas, que sus tiendas siguen abiertas y que, de momento, no tiene pruebas de que se hayan llevado datos de clientes ni de empleados.

Los aparatos de tu casa que están igual

Cuando el fabricante deja de actualizar un aparato conectado, cada fallo nuevo que se descubre se queda abierto. Por eso el INCIBE aconseja reemplazar los que ya no reciben mantenimiento.

Aparato	Qué lo pone en riesgo	Qué mirar
Router	Está siempre encendido y es la puerta de toda la casa. Con el acceso remoto activado, su panel se puede alcanzar desde fuera.	Acceso remoto desactivado, firmware al día y una contraseña de administración distinta de la de la etiqueta
Cámaras IP y grabadores	Si se ven desde internet con la contraseña de fábrica, cualquiera puede mirar lo que graban. El INCIBE cuenta en un artículo de 2018 el caso de una empresa a la que robaron unos ladrones que sabían dónde estaban sus cámaras.	Usarlas desde la app oficial, sin puertos abiertos en el router; contraseña propia y actualizaciones
Enchufes, bombillas, robots y aparatos baratos de marcas poco conocidas	Dependen de la app y de los servidores del fabricante, y si la marca deja de dar soporte, se quedan sin parches. Algunos traen problemas de fábrica, como los móviles Android baratos con malware preinstalado.	Una cuenta con contraseña única y verificación en dos pasos, y conectarlos a la red de invitados

Qué aparatos de casa se parecen a los controladores de los supermercados franceses y qué revisar en cada uno. Fuente: elaboración propia a partir de materiales del INCIBE, incluida su guía «Tu router, tu castillo».

En el móvil y el ordenador pasa lo mismo. Un kit de espionaje entra en los iPhone que se quedaron en una versión vieja de iOS 18, y un PC con Windows 10 que no está inscrito en el programa de parches ampliados lleva sin actualizaciones de seguridad desde octubre de 2025.

Cómo comprobar los tuyos

Mira qué hay conectado. En el panel del router, el apartado de la red local enseña los aparatos conectados. La dirección para entrar y la contraseña de fábrica suelen venir en la etiqueta del propio router.
Cierra lo que mira hacia fuera. Comprueba que el acceso remoto al router está desactivado y repasa las reglas de puertos abiertos (en NAT, redirección de puertos o Port Forwarding, según el modelo) y la tabla de UPnP. Si una regla apunta a una cámara o a un disco que ya no usas desde fuera, bórrala.
Cambia las contraseñas de fábrica. La de entrar al router (no es la del wifi) y la de cada cámara o grabador. Nada de «1234» ni «admin», dos ejemplos que pone el INCIBE.
Actualiza. El router tiene un apartado de actualización de software, y las cámaras y los enchufes, su app. Activa las actualizaciones automáticas si existen.
Busca la fecha de caducidad. En la web de soporte del fabricante, comprueba si tu modelo sigue recibiendo actualizaciones. Si ya no las recibe, está como esos controladores, y conviene cambiarlo, sobre todo si se ve desde internet.
Separa los aparatos. La red de invitados del router sirve para enchufes, bombillas y cámaras. Cuando uno de ellos cae, la red principal, con los móviles y el ordenador, queda a salvo, como explica la guía del INCIBE.
Pide ayuda si te pierdes. El 017 del INCIBE atiende gratis dudas de ciberseguridad todos los días de 8:00 a 23:00.

Desde 2027, la fecha de caducidad tendrá que estar a la vista

El Reglamento de Ciberresiliencia de la Unión Europea obliga a que los aparatos y programas que se vendan desde el 11 de diciembre de 2027 salgan con una configuración segura por defecto y reciban parches gratis durante su periodo de soporte, que no puede bajar de cinco años salvo que el aparato vaya a usarse menos tiempo. El fabricante tendrá que decir en el momento de la compra hasta qué mes y año los dará. Vale para lo que salga a la venta desde entonces, así que el router que ya tienes en casa no gana ni un día de soporte.

El gerente de Rennes recibió varias alertas en el móvil durante la noche y pensó primero en un fallo y después en un incendio. Tu router no suele mandar avisos de ese tipo. Entrar hoy un rato en su panel es la forma más sencilla de saber si tiene alguna puerta abierta.

Comparte este artículo