El domingo 11 de octubre, ya de noche, atacantes se hicieron con el control remoto de los controladores de refrigeración que la danesa Danfoss tiene instalados en supermercados de Francia, y activaron en ellos el descongelamiento. Las tiendas golpeadas fueron entre 250 y 350, de las cadenas Intermarché, Coopérative U, Super U, Carrefour Market, Monoprix y Leclerc, según BleepingComputer, que recoge reportes de prensa francesa donde se habla de temperaturas de hasta 50 grados. El software de control de Danfoss en esos equipos era de versiones viejas, con errores que la CISA, la agencia de ciberseguridad de Estados Unidos, ya había señalado en mayo y agosto de 2025.
The Record estima que las afectadas son unas 300 entre Intermarché y Netto, ambas del Groupement Mousquetaires, y menos de 100 de Coopérative U. De acuerdo con BleepingComputer, la fiscalía de París inició una investigación por ciberataque de gran escala. En ninguna de las fuentes consultadas aparece una atribución del ataque.
Mercancía tirada y pérdidas de decenas de millones de euros
Thierry Cotillard, director general de Intermarché, estimó que lo perdido probablemente suba a decenas de millones de euros, según Xataka México. Ese medio detalla que el cálculo suma la mercancía destruida, las ventas perdidas, el arreglo de los equipos de frío y los daños de incendios ocurridos en varias tiendas. La fiscalía le dijo a BleepingComputer que intenta identificar a las víctimas y vincular sus daños, por comida perdida y por incendios, con el ataque.
Un portavoz de Intermarché achacó la falla a un ciberataque contra el proveedor que se encarga de los sistemas de refrigeración de sus tiendas. El Groupement Mousquetaires nombró a la empresa: los sistemas dañados estaban a cargo de Danfoss, reportó Bloomberg y lo retomó The Record, y a ella le toca interponer la denuncia penal. Danfoss no ha confirmado en público que sus sistemas fueran el objetivo ni respondió a la petición de comentarios de The Record.
Dominique Schelcher, director general de Coopérative U, confirmó que desde el domingo por la noche un ciberataque perjudicaba el frío de varias tiendas de la cadena. A The Record le dijo que es un hecho de extrema gravedad y sin precedentes que se agredan equipos esenciales para mantener frescos los productos y abastecer de alimentos a la población francesa. Christophe Hansen, comisario europeo, condenó el ataque y nombró a Leclerc entre las víctimas.
The Record también habló con la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI), que dijo estar movilizada por el incidente, en el ámbito nacional y en coordinación europea.
Un agujero registrado desde 2025
Los controladores atacados son de la familia AK-SM 800A, equipos con los que, desde un panel web, se maneja todo el sistema de frío de una tienda. El 8 de mayo de 2025 se registró la vulnerabilidad CVE-2025-41450, una omisión de autenticación en la serie AK-SM 8xxA anterior a la versión 4.2. La CISA la publicó con una calificación de 8.2 sobre 10 de severidad en su boletín semanal del 12 de mayo. En agosto apareció CVE-2025-41451: inyección de comandos en los campos donde se configuran las alarmas por correo, que en versiones previas a la 4.3.1 permite correr código a distancia a quien se haya autenticado.
Amir Zaltzman y el equipo Team82, de la empresa Claroty, descubrieron ambas. En su informe técnico explican que existe un mecanismo escondido de «código del día» para evitar el inicio de sesión y obtener acceso de administrador a la interfaz web. Añaden una tercera vulnerabilidad, CVE-2025-41452, en la configuración del servidor nginx. Según el documento, el firmware R4.3.1 es la versión corregida; con el buscador Censys, identificó 2,765 equipos accesibles desde internet.
Baptiste Robert, director de Predicta Lab, contó el lunes 2,752 sistemas Danfoss abiertos a internet, 1,590 de ellos en Francia. BleepingComputer añade que Shodan lista más de 4,500 dispositivos de la marca. Xataka suma los modelos AK-SM800 y AK-SC355 y asegura que miles de estos controladores seguían en internet con firmware obsoleto, sin que los supermercados lo supieran. También habla de incidentes en Bélgica, Alemania, Polonia, Portugal, España y Países Bajos, dato que el resto de las fuentes consultadas no confirma.
Ahold Delhaize, ese mismo lunes
El 12 de octubre, BleepingComputer informó que el grupo neerlandés-belga Ahold Delhaize, al que pertenecen Food Lion, Stop & Shop, Albert Heijn y Delhaize, apagó algunos de sus sistemas tras detectar un problema de seguridad en su red. Con más de 9,400 tiendas en Europa, Estados Unidos e Indonesia, la empresa aseguró que sus equipos analizan y contienen el incidente, y que los establecimientos no han cerrado. Se vieron afectados sitios web, aplicaciones, servicio al cliente, pedidos en línea y el acceso del personal a horarios y recibos de pago. BleepingComputer no liga este caso con el francés, y Xataka incluye a Ahold Delhaize entre los incidentes fuera de Francia sin demostrar un vínculo. Antecedente: en noviembre de 2024, el grupo de ransomware INC Ransom sustrajo a la compañía datos personales, financieros y de salud de 2.2 millones de personas.
Lo que no se sabe en México
En su sitio para México, Danfoss señala que en 2020 cumplió 25 años en el país, que mantiene líneas de servicio al cliente y que entre las industrias que atiende están los alimentos y bebidas. Ni Predicta Lab en su conteo ni Claroty en su informe detallan cuántos controladores expuestos hay en México. Tampoco las fuentes revisadas reportan una postura de las autoridades mexicanas ni de las cadenas de autoservicio del país frente al incidente.
Hace más de un año que existen las alertas de la CISA y el firmware corregido. Siguen sin contestarse en público tres cosas: cuántos controladores de esta familia hay en supermercados y cámaras frías mexicanos, cuántos mantienen versiones previas a la R4.3.1 y a qué autoridad le corresponde verificarlo.
En Francia siguen abiertas las pesquisas de la fiscalía de París y de la ANSSI. Danfoss, por su lado, no ha explicado de qué manera se llegó a los equipos de sus clientes.
