Suecia confirma ciberataques a congeladores de supermercados, que según un investigador tenían el panel de control expuesto a internet

El investigador de ciberseguridad Kevin Beaumont afirmó este lunes que los congeladores de supermercados que, según escribió, volvieron a descongelarse en varios países de Europa tenían expuesta a internet su interfaz de gestión, que es el panel con el que se los controla a distancia. «Confirmé con gente que los congeladores afectados hoy en los países afectados tienen todos la interfaz de gestión expuesta a internet», publicó a las 10.37 (hora argentina) en su cuenta de Mastodon. En el mismo mensaje sostuvo que se trata del mismo problema y la misma vulnerabilidad que la vez anterior^[2]. Los equipos y la exposición a internet que describe coinciden con los que el CERT-FR francés señaló en octubre^[4].

Beaumont afirmó además que muchos de los equipos llegaron al final de su vida útil y ya no tienen parche disponible: «Los dejaron conectados para que, literalmente, se pudran»^[2]. Dos horas antes había escrito que el fabricante danés Danfoss «vuelve a estar en las noticias hoy por congeladores que se descongelan otra vez en Europa». Sobre Suecia agregó: «En Suecia, muchos de los dispositivos están conectados directamente a internet con módems 4G». Según el investigador, los equipos no tenían instaladas las actualizaciones y dejaban expuesta la interfaz de gestión^[1].

Sus mensajes no dicen qué cadenas ni cuántos locales sufrieron fallas, y tampoco señalan a ningún autor. Ante una pregunta, precisó que estos equipos tienen puerto de red y una interfaz web de administración, y que hay quienes los conectan directamente a internet^[6].

El antecedente francés

El CERT-FR es el centro de respuesta a incidentes de la agencia nacional de ciberseguridad de Francia (ANSSI). Su alerta CERTFR-2026-ALE-012 se publicó el 12 de octubre y se actualizó el 13 y el 16. Se titula «Incidente de seguridad que apunta a los controladores a distancia de las instalaciones de refrigeración» e informa que el organismo tuvo conocimiento de numerosos equipos comprometidos. Los equipos que menciona son los Danfoss de las series AK-SC y AK-SM y los supervisores XWEB de Copeland y de Dixell^[4].

La alerta no menciona ninguna falla concreta ni código CVE. Su diagnóstico es más básico: «De manera general, la exposición de una interfaz de gestión en internet es contraria a las buenas prácticas». Recomienda quitar los equipos de internet, también los que tienen una dirección IP pública, y revisar toda su configuración, en particular las franjas de descongelamiento. El acceso debe hacerse solo por una red privada virtual (VPN) o una red protegida. También pide actualizar el firmware y, en el caso de Danfoss, activar el modo de seguridad estricto y cambiar las contraseñas que vienen de fábrica^[4].

El CERT-FR advierte además que restaurar la configuración de fábrica no alcanza, porque el equipo sigue siendo vulnerable. Según la alerta, filtrar en el cortafuegos las direcciones de las empresas de mantenimiento sirve como medida de urgencia, pero no como solución permanente^[4].

Fallas corregidas en 2025 y publicadas en 2026

El 9 de agosto de 2026, dos meses antes de la alerta francesa, el equipo de investigación Team82 de Claroty publicó tres fallas del Danfoss AK-SM 800A, el administrador central que coordina los controladores de refrigeración de un supermercado^[5]. Para entonces el fabricante ya había publicado la corrección: según Claroty, Danfoss lanzó en agosto de 2025 un firmware que resuelve esas fallas, un año antes de que se difundieran los detalles^[10]. La de mayor puntaje, CVE-2025-41450, tiene 8,2 sobre 10 en la escala de gravedad CVSS. Permite entrar sin la contraseña de administrador mediante un «código del día» oculto que, según los investigadores, puede calcularse a partir de la fecha del equipo. Las otras dos exigen haber iniciado sesión: una permite ejecutar comandos en el equipo (7,6) y la otra, la manipulación de la configuración web, puede dejarlo fuera de servicio (5,4). Claroty recomienda actualizar al firmware R4.3.1 o a uno posterior. En una búsqueda con el motor Censys, la empresa encontró 2.765 de estos administradores accesibles desde internet^[5].

Ni las alertas oficiales ni los mensajes de Beaumont dicen que en estos ataques se haya usado esa falla en particular. El investigador insiste en algo más simple: hay equipos viejos, sin actualizar y abiertos a internet. El mismo lunes compartió búsquedas en Shodan para estimar cuándo se actualizaron por última vez los paneles Danfoss StoreView. Para eso toma como referencia la fecha de última modificación de su página de acceso^[3].