Un investigador dice que los congeladores que fallaron en supermercados europeos tenían el panel de control expuesto a internet

El investigador de ciberseguridad Kevin Beaumont afirmó este lunes que los congeladores de supermercados que, según escribió, volvieron a descongelarse en varios países de Europa tenían expuesta a internet su interfaz de gestión, que es el panel con el que se los controla a distancia. «Confirmé con gente que los congeladores afectados hoy en los países afectados tienen todos la interfaz de gestión expuesta a internet», publicó a las 10.37 (hora argentina) en su cuenta de Mastodon. En el mismo mensaje sostuvo que se trata del mismo problema y la misma vulnerabilidad que la vez anterior^[2]. Los equipos y la exposición a internet que describe son los mismos que el CERT-FR francés señaló en octubre^[4].

Beaumont afirmó además que muchos de los equipos llegaron al final de su vida útil y ya no tienen parche disponible: «Los dejaron conectados para que, literalmente, se pudran»^[2]. Dos horas antes había escrito que el fabricante danés Danfoss «vuelve a estar en las noticias hoy por congeladores que se descongelan otra vez en Europa». Sobre Suecia agregó: «En Suecia, muchos de los dispositivos están conectados directamente a internet con módems 4G». Según el investigador, los equipos que revisó no tenían instaladas las actualizaciones y dejaban expuesta la interfaz de gestión^[1].

Sus mensajes no dicen qué cadenas ni cuántos locales sufrieron fallas, y tampoco señalan a ningún autor. Más tarde precisó que estos equipos tienen puerto de red y una interfaz web de administración, y que hay quienes los conectan directamente a internet^[6].

El antecedente francés

Lo que describe Beaumont coincide con lo que documentó en octubre el CERT-FR, el centro de respuesta a incidentes de la agencia nacional de ciberseguridad de Francia (ANSSI). Su alerta CERTFR-2026-ALE-012 se publicó el 12 de octubre y se actualizó el 13 y el 16. Se titula «Incidente de seguridad que apunta a los controladores a distancia de las instalaciones de refrigeración» e informa que el organismo tuvo conocimiento de numerosas intrusiones. Los equipos que menciona son los Danfoss de las series AK-SC y AK-SM y los supervisores XWEB de Copeland y de Dixell^[4].

La alerta no menciona ninguna falla concreta ni código CVE. Su diagnóstico es más básico: «De manera general, la exposición de una interfaz de gestión en internet es contraria a las buenas prácticas». Recomienda quitar los equipos de internet, también los que tienen una dirección IP pública, y revisar toda su configuración, en particular las franjas de descongelamiento. El acceso debe hacerse solo por una red privada virtual (VPN) o una red protegida. También pide actualizar el firmware y, en el caso de Danfoss, activar el modo de seguridad estricto y cambiar las contraseñas que vienen de fábrica^[4].

El CERT-FR advierte además que restaurar la configuración de fábrica no alcanza, porque el equipo sigue siendo vulnerable. Según la alerta, filtrar en el cortafuegos las direcciones de las empresas de mantenimiento sirve como medida de urgencia, pero no como solución permanente. También sugiere revisar las condiciones del seguro antes de cortar el envío de datos a la empresa de refrigeración^[4].

Fallas conocidas desde agosto

El 9 de agosto, dos meses antes de la alerta francesa, el equipo de investigación Team82 de la empresa Claroty había publicado tres fallas del Danfoss AK-SM 800A, el administrador central que coordina los controladores de refrigeración de un supermercado^[5]. La de mayor puntaje, CVE-2025-41450, tiene 8,2 sobre 10 en la escala de gravedad CVSS. Permite entrar sin la contraseña de administrador mediante un «código del día» oculto que, según los investigadores, puede calcularse a partir de la fecha del equipo. Las otras dos exigen haber iniciado sesión: una permite ejecutar comandos en el equipo (7,6) y la otra, la manipulación de la configuración web, puede dejarlo fuera de servicio (5,4)^[5].

Según Claroty, Danfoss publicó la versión de firmware R4.3.1, que corrige esas fallas. En una búsqueda con el motor Censys, Team82 encontró 2.765 de estos administradores accesibles desde internet^[5].

Ni la alerta francesa ni los mensajes de Beaumont dicen que en estos ataques se haya usado esa falla en particular. El investigador insiste en un punto más simple: hay equipos viejos, sin actualizar y abiertos a internet. El mismo lunes compartió búsquedas en Shodan, un buscador de dispositivos conectados, para estimar cuándo se actualizaron por última vez los paneles Danfoss StoreView. El método toma como referencia la fecha de última modificación de su página de acceso^[3].