Las vulnerabilidades que permitieron dejar sin refrigeración a entre 250 y 350 supermercados franceses ya estaban documentadas. La agencia estadounidense de ciberseguridad, CISA, avisó de ellas en mayo y agosto de 2025, y existía firmware corregido. Los equipos atacados, controladores de refrigeración de la empresa danesa Danfoss, funcionaban con versiones antiguas de su software de control.
La noche del domingo 11 de octubre, los atacantes se apoderaron a distancia de esos controladores y les activaron el ciclo de descongelamiento. Entre las tiendas afectadas hay locales de Intermarché, Coopérative U, Super U, Carrefour Market, Monoprix y Leclerc, de acuerdo con BleepingComputer. Ese medio recoge reportes de la prensa francesa que hablan de temperaturas de hasta 50 grados.
Los números varían según la fuente. The Record calcula unas 300 tiendas de Intermarché y Netto, las dos del Groupement Mousquetaires, y menos de 100 de Coopérative U. BleepingComputer informó que la fiscalía de París inició una investigación por un ciberataque de gran escala. Ninguna de las fuentes revisadas señala a un responsable.
Mercancía echada a perder y pérdidas de decenas de millones
Thierry Cotillard, director general de Intermarché, calculó que las pérdidas podrían llegar a decenas de millones de euros, según Xataka México. Ese medio explica que la suma abarca productos destruidos, ventas que se dejaron de hacer, el arreglo de los equipos de frío y los daños por incendios en varios establecimientos. Ante BleepingComputer, la fiscalía dijo que intenta identificar a las víctimas y vincular lo ocurrido con los perjuicios que declararon por la pérdida de alimentos y los incendios.
Intermarché, mediante un vocero, explicó la falla como un ciberataque dirigido a un proveedor de servicios que gestiona la refrigeración de sus tiendas. El Groupement Mousquetaires fue más claro: los sistemas dañados los administraba Danfoss, según Bloomberg, recogido por The Record, y le toca al proveedor interponer la denuncia penal. Danfoss no ha confirmado en público que sus sistemas hayan sido el objetivo, y tampoco contestó la petición de comentarios de The Record.
Dominique Schelcher, director general de Coopérative U, verificó que un ciberataque estaba afectando desde la noche del domingo la refrigeración de varios comercios de su red. The Record cita sus palabras: que se ataquen equipos indispensables para mantener frescos los productos y abastecer de alimentos a la población francesa le parece un hecho sin precedentes y de extrema gravedad. Christophe Hansen, comisario europeo, reprobó el ataque y mencionó a Leclerc entre los perjudicados.
La Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI) informó a The Record que está movilizada ante el incidente, a escala nacional y en coordinación con otros países europeos.
Fallas que se conocían desde 2025
El equipo atacado forma parte de la familia AK-SM 800A. Son controladores que manejan, a través de un panel web, el frío de una tienda entera. La primera vulnerabilidad, CVE-2025-41450, es una omisión de autenticación en la serie AK-SM 8xxA previa a la versión 4.2. Fue registrada el 8 de mayo de 2025, y la CISA la incluyó con una severidad de 8.2 sobre 10 en su boletín semanal del 12 de mayo. En agosto se sumó CVE-2025-41451: una inyección de comandos en los campos donde se configuran las alarmas por correo, que en versiones previas a la 4.3.1 permite ejecutar código de forma remota una vez autenticado el atacante.
Las dos las encontró Amir Zaltzman, del equipo Team82 de la empresa Claroty. El informe técnico de Team82 relata un mecanismo escondido de «código del día» con el que es posible evitar el inicio de sesión y entrar como administrador a la interfaz web. Incluye una tercera falla, CVE-2025-41452, en la configuración del servidor nginx. Indica que la versión corregida es el firmware R4.3.1 y contabiliza 2,765 equipos visibles desde internet, localizados con el buscador Censys.
Baptiste Robert, director de Predicta Lab, contó el lunes 2,752 sistemas Danfoss accesibles en internet, 1,590 de ellos en Francia. Según BleepingComputer, el buscador Shodan registra más de 4,500 dispositivos de la marca. Xataka agrega los modelos AK-SM800 y AK-SC355 y afirma que miles de controladores con firmware obsoleto estaban expuestos en la red sin que los supermercados lo supieran. También menciona incidentes en Bélgica, Alemania, Polonia, Portugal, España y Países Bajos, algo que las demás fuentes consultadas no corroboran.
Ahold Delhaize, ese mismo lunes
El 12 de octubre, Ahold Delhaize, grupo neerlandés-belga propietario de Food Lion, Stop & Shop, Albert Heijn y Delhaize, apagó algunos de sus sistemas por un problema de seguridad en su red, según BleepingComputer. La compañía, con más de 9,400 tiendas en Europa, Estados Unidos e Indonesia, aseguró que sus equipos analizan y contienen el incidente y que los locales continúan abiertos. Hubo fallas en sitios web, aplicaciones, atención al cliente, pedidos en línea y en el acceso de los empleados a sus horarios y recibos de pago. BleepingComputer no liga este caso con el francés. Xataka incluye a Ahold Delhaize entre los incidentes fuera de Francia, pero no presenta pruebas de una conexión. En noviembre de 2024, el grupo de ransomware INC Ransom sustrajo a la empresa datos personales, financieros y de salud de 2.2 millones de personas.
Lo que falta saber en México
Según su sitio para México, Danfoss cumplió 25 años en el país en 2020 y ofrece líneas de atención al cliente; entre las industrias que atiende figuran alimentos y bebidas. El conteo de Predicta Lab y el informe de Claroty no separan cuántos de los controladores expuestos están en México. Las fuentes revisadas tampoco incluyen postura alguna de autoridades mexicanas ni de las cadenas de autoservicio del país sobre el incidente.
Los avisos de la CISA y el firmware corregido llevan más de un año a disposición. Quedan sin respuesta pública tres puntos: cuántos controladores de esta familia hay en supermercados y cámaras frías mexicanas, cuántos siguen con versiones anteriores a la R4.3.1 y qué autoridad es la facultada para comprobarlo.
En Francia, siguen en marcha la investigación de la fiscalía de París y la de la ANSSI. Danfoss no ha explicado de qué forma se accedió a los equipos de sus clientes.