Dos veces en tres semanas, unos desconocidos manipularon de noche y a distancia los controladores de instalaciones frigoríficas: primero en cientos de supermercados franceses y después en más de una docena de países europeos, entre ellos Alemania y Suiza. Las vitrinas refrigeradas y las cámaras frigoríficas se calentaron en modo de desescarche y la mercancía se echó a perder. No hizo falta software malicioso. Bastaron controladores accesibles públicamente desde internet, a menudo con la contraseña predeterminada o con firmware obsoleto. Nuestro informe de situación muestra qué está confirmado, qué exigen NIS2 y el Reglamento de Ciberresiliencia a operadores y fabricantes y por qué la cadena de suministro es determinante.
Los ataques a instalaciones frigoríficas no fueron un hackeo de alta tecnología, sino la consecuencia de deficiencias conocidas y evitables: los controladores estaban expuestos a internet, los accesos seguían con la configuración de fábrica y faltaban actualizaciones o ya ni siquiera estaban disponibles para los equipos antiguos. Quien opera cadenas de frío, fabrica tecnología frigorífica o realiza el mantenimiento remoto de instalaciones debería comprobar ahora si sus sistemas son accesibles e incorporar el resultado, de forma demostrable, a su gestión de riesgos conforme a NIS2 y el CRA.
Desde el análisis de Claroty en agosto hasta el aviso conjunto de las autoridades estadounidenses. Las consignas no son temperaturas medidas: cuánto subió realmente la temperatura dependió de la rapidez con que alguien intervino.
Claroty Team82 muestra cómo es posible tomar el control del AK-SM 800A mediante un «código del día» basado en la fecha y una inyección de comandos. Las vulnerabilidades están corregidas en el firmware actual desde 2025; los equipos más antiguos siguen siendo vulnerables. [18][19]
En al menos seis commissaries, los economatos de las bases militares estadounidenses, falla la refrigeración. Según Reuters, el Pentágono trata los casos como un presunto ciberataque; no está confirmado, como tampoco lo está una relación con Europa. [34]
Los controladores de refrigeración de supermercados franceses se ponen a distancia en desescarche continuo, con consignas de hasta 50 °C. Entre los afectados hay establecimientos de Intermarché, Carrefour, Super U, Monoprix y E.Leclerc. El ministro de Finanzas, Roland Lescure, habla de unos 700 establecimientos; la Fiscalía examina también los incendios notificados. [7][8][9][10]
Los señuelos (honeypots) de Lupovis y Previdian registran intentos de acceso y de inicio de sesión en controladores de Danfoss simulados; en el caso de Previdian, con la contraseña de fábrica de un modelo más antiguo. Según Lupovis, solo se activaron señuelos en Europa; no está claro si detrás están los autores de los ataques. [26][27][62]
Más de 100 comercios se ven afectados. La agencia de noticias AFP contabiliza doce países, entre ellos Alemania, Bélgica, los Países Bajos, Suecia, Irlanda, Italia, el Reino Unido y Estonia; Bélgica figura entre los más afectados. Más tarde se conocen también casos en Suiza. Ese mismo día, en Francia, se manipulan cámaras frigoríficas del servicio de donación de sangre EFS a través de la supervisión remota de un proveedor de servicios de refrigeración; no se pierden productos sanguíneos. [11][12][13][14][15][17][61]
Un canal de Telegram de NoName057(16) reivindica los ataques junto con Z-Pentest en un vídeo generado por IA. Según verificadores de datos suecos, las supuestas pruebas proceden de filtraciones de datos antiguas; los expertos consideran que la reivindicación no está fundamentada. El Kremlin rechaza cualquier implicación. [28][29][32]
Lüthi’s Fleischwaren, en Köniz, informa de un ataque al controlador de sus instalaciones de refrigeración y congelación; Volg informa de parámetros modificados en tres tiendas. Hasta ahora, el BACS ha recibido una notificación obligatoria relativa a instalaciones frigoríficas comerciales; no se pronuncia sobre casos concretos. [14][15]
Según los análisis publicados hasta ahora, los ataques siguieron un patrón sencillo y fácilmente escalable. No hay indicios de vulnerabilidades desconocidas; lo decisivo fueron los controladores accesibles directamente desde internet.
Las interfaces web de los controladores de refrigeración se localizan mediante buscadores de dispositivos conectados y escaneos automatizados.
Unos desconocidos consultan las versiones y prueban contraseñas de fábrica; según Lupovis, solo se activaron señuelos en Europa. No está claro si se trataba de los autores de los ataques.
Obtienen acceso con credenciales predeterminadas que no se habían cambiado; con firmware obsoleto, pueden entrar en juego vulnerabilidades conocidas, como la omisión de la autenticación.
Con funciones normales ponen los puntos de frío en modo de desescarche y modifican consignas y límites de alarma; en un caso sometido a análisis forense constan también en los registros órdenes para silenciar alarmas y bloquear el teclado.
Los cambios se ejecutan, al parecer, mediante scripts y de forma simultánea en la noche del domingo al lunes, cuando no hay personal en el lugar. El daño se detecta a través de las alarmas o no se descubre hasta la mañana.
Para la manipulación bastaron funciones previstas por el fabricante. Por eso, los cambios maliciosos parecen un manejo normal. Un antivirus que busca código malicioso no sirve aquí. Lo decisivo son la accesibilidad, la protección de los accesos y la supervisión de las consignas, los cambios de configuración y los inicios de sesión.
Los pasos descritos públicamente pueden asignarse a técnicas del framework ATT&CK para sistemas de control industrial. La asignación refleja nuestra valoración a partir de los análisis publicados hasta ahora.
| Técnica | Nombre | Relación con los ataques |
|---|---|---|
| T0883 | Internet Accessible Device | Los controladores eran accesibles directamente desde internet, a menudo mediante redirecciones de puertos o módems móviles. |
| T0859 | Valid Accounts | Cuentas de administrador válidas, a menudo con contraseñas predeterminadas sin cambiar, permitieron modificaciones que parecen un manejo normal. |
| T0836 | Modify Parameter | Se modificaron consignas, intervalos de desescarche y valores de fin de desescarche; en Francia, según Le Monde, los ciclos de desescarche pasaron de una hora a un máximo de ocho horas. |
| T0838 | Modify Alarm Settings | Los límites y los retardos de alarma se fijaron en valores extremos. |
| T0878 | Alarm Suppression | Las órdenes para silenciar alarmas buscaban impedir que alguien reaccionara a tiempo. |
| T0813 | Denial of Control | En al menos un caso documentado se enviaron órdenes de bloqueo del teclado destinadas a dificultar la intervención in situ. |
| T0879 | Damage to Property | Mercancía estropeada e instalaciones sobrecargadas; las autoridades estadounidenses advierten además del riesgo de incendio. |
Hasta ahora no hay una atribución confirmada: ningún gobierno ni ninguna autoridad ha señalado a un autor. Hay una reivindicación, valoraciones de investigadores de seguridad y un desmentido de Moscú.
Un canal de Telegram de NoName057(16) reivindicó los ataques el 3 de noviembre, junto con Z-Pentest, en un vídeo generado por IA. Según verificadores de datos suecos, las supuestas pruebas proceden de filtraciones de datos antiguas; faltan pruebas técnicas.
Según las autoridades estadounidenses, surgió en 2024 del entorno de hacktivistas prorrusos y está especializado en ataques contra sistemas de control industrial. La UE sancionó al grupo en julio de 2026 por ataques contra infraestructuras críticas, por ejemplo contra una empresa danesa de abastecimiento de agua, no por las instalaciones frigoríficas.
Sekoia no ve hasta ahora pruebas técnicas de que se trate de grupos de habla rusa. Lupovis detecta coincidencias con infraestructura atribuida a actores rusos, pero no puede identificar con seguridad a los autores. La autoridad rumana de ciberseguridad califica el modus operandi de semiamateur.
Actores afines a Irán ya han atacado anteriormente sistemas de control industrial accesibles públicamente; para las oleadas actuales no hay pruebas de ello. Sekoia considera posible también que se trate de distintos grupos o de imitadores.
Según un escrito de acusación estadounidense, hacktivistas prorrusos paralizaron en 2024 la refrigeración de una empresa cárnica de California. Un boletín de Danfoss de octubre de 2025 menciona ataques contra establecimientos de Rusia e Israel en 2022; a las instalaciones israelíes les faltaba una protección suficiente mediante cortafuegos o VPN.
La Comisión Europea habla de un intento deliberado de perturbar el suministro de alimentos, pero no señala a ningún autor. La ficha informativa estadounidense no menciona ni autores ni fabricantes. El Kremlin rechaza cualquier implicación y la califica de absurda.
Para la defensa, la cuestión de la autoría es secundaria. Ya se trate de actores dirigidos por un Estado, de hacktivistas o de imitadores, todos aprovechan la misma brecha: controladores accesibles con credenciales débiles. Quien cierra esa brecha está preparado frente a todas las variantes. No debería dar por buenas las reivindicaciones de estos grupos sin comprobarlas; las autoridades estadounidenses y europeas advierten expresamente de afirmaciones exageradas o falsas.
La Directiva NIS2 no se aplica a cualquier operador de una vitrina refrigerada, pero sí a gran parte de la cadena de frío. Lo determinante son la actividad y el tamaño: por regla general, a partir de 50 empleados o más de 10 millones de euros de volumen de negocios anual y de balance general anual. En Alemania, NIS2 se aplica desde el 6 de diciembre de 2025 a través de la nueva Ley del BSI.
| Ámbito | Quién en la cadena de frío | NIS2 | Observación |
|---|---|---|---|
| Alimentación: comercio mayorista e industria | Mayoristas, fabricantes y transformadores de alimentos | incluido | Incluidos como entidades importantes a partir del tamaño de mediana empresa. No está claro si los almacenes centrales de las cadenas comerciales cuentan como comercio mayorista. |
| Alimentación: comercio minorista | Supermercados, sucursales, carnicerías | no directamente | El comercio minorista, el almacenamiento y el transporte no están incluidos. En Alemania, los grandes minoristas pueden ser, no obstante, entidades especialmente importantes en virtud de los umbrales KRITIS (infraestructuras críticas). |
| Sanidad | Hospitales, laboratorios, fabricantes de medicamentos | incluido | Incluidos a partir del tamaño de mediana empresa; las grandes entidades, en la categoría más estricta. NIS2 no menciona expresamente los servicios de donación de sangre; en Alemania, los de gran tamaño están incluidos en virtud de los umbrales KRITIS. |
| Fabricantes de tecnología frigorífica y de control | Maquinaria, electrotecnia, electrónica | incluido | Incluidos como entidades importantes a partir del tamaño de mediana empresa. Las empresas dedicadas únicamente a la instalación y el servicio técnico no están incluidas como tales. |
| Mantenimiento y supervisión remotos | Proveedores que gestionan a distancia los sistemas de sus clientes | en parte | Pueden estar incluidos como proveedores de servicios gestionados si gestionan o mantienen redes y sistemas de información de sus clientes, también a distancia. Para la supervisión remota de instalaciones frigoríficas, esto aún no está aclarado. |
| Transporte y logística | Transporte frigorífico por carretera | no directamente | El transporte de mercancías por carretera no es un sector de NIS2; el transporte de mercancías por ferrocarril, barco o avión, en cambio, sí. Además, la logística alimentaria crítica puede estar incluida a través de las normas sobre la resiliencia de las entidades críticas. |
Representación simplificada, sin carácter de asesoramiento jurídico. Que una empresa esté incluida depende de su actividad, su tamaño y la legislación nacional. También las empresas no incluidas se ven afectadas indirectamente si sus clientes están sujetos a NIS2 y trasladan requisitos de seguridad a sus proveedores.
Los controladores de refrigeración, los sistemas de gestión técnica de edificios y los accesos de mantenimiento remoto deben figurar en el inventario de activos y en el análisis de riesgos, no solo los servidores y los puestos de trabajo.
Sustituir las contraseñas predeterminadas, utilizar cuentas personales y proteger los accesos remotos con autenticación multifactor.
Mantener el firmware actualizado, seguir los avisos de los fabricantes y sustituir o aislar los equipos sin soporte.
No conectar los controladores directamente a internet; acceso solo mediante mantenimiento remoto protegido y zonas de red separadas.
Supervisar los cambios de temperatura y de configuración, dirigir las alarmas también de noche a un servicio de guardia y gestionar los incidentes de forma ordenada.
Notificar los incidentes significativos: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final un mes después.
Planificar y ensayar la refrigeración de respaldo, el control manual y la protección de la mercancía para casos de emergencia.
Definir requisitos de seguridad para fabricantes, instaladores frigoristas y proveedores de mantenimiento remoto, recogerlos en los contratos y verificarlos.
La dirección debe aplicar las medidas, supervisar su aplicación y participar periódicamente en formaciones; responde de los incumplimientos culposos de sus obligaciones. Las multas pueden alcanzar los 10 millones de euros o el 2 % del volumen de negocios anual mundial y, para las entidades importantes, los 7 millones de euros o el 1,4 %, en cada caso la cuantía que sea mayor.
La ley alemana de transposición de NIS2 rige desde el 6 de diciembre de 2025. El BSI calcula que hay unas 29.500 entidades afectadas; hasta finales de septiembre de 2026 se habían registrado algo más de 20.000. Las grandes empresas comerciales y logísticas, así como los servicios de donación de sangre, pueden ser entidades especialmente importantes en virtud de los umbrales KRITIS.
Suiza no está sujeta a NIS2. Sin embargo, desde el 1 de abril de 2025, los operadores de infraestructuras críticas, entre ellos hospitales, proveedores de bienes indispensables de uso cotidiano y fabricantes de productos de mantenimiento remoto y de OT, deben notificar al BACS los ciberataques contra sus propios sistemas en un plazo de 24 horas desde su detección y completar los datos que falten en un plazo de 14 días. Los proveedores más pequeños están exentos, y las notificaciones voluntarias son expresamente bienvenidas. Quien suministra a la UE ya está sujeto, como fabricante, a las obligaciones de notificación del CRA; se está preparando una ley suiza de ciberseguridad propia.
Austria transpone NIS2 con la ley NISG 2026, que rige desde el 1 de octubre de 2026; el registro inicial está abierto hasta el 1 de enero de 2027. Según la Cámara de Economía de Austria, hay unas 4.000 empresas afectadas. En octubre, CERT.at encontró solo cuatro interfaces de instalaciones frigoríficas accesibles públicamente.
Más informaciónConsultoría NIS2 NIS2 en resumen Consultoría KRITIS
El Reglamento de Ciberresiliencia (CRA) regula la ciberseguridad de los productos con elementos digitales. En sus preguntas frecuentes, los servicios de la Comisión Europea incluyen expresamente entre los ejemplos aparatos frigoríficos inteligentes, dispositivos IoT industriales y máquinas. El CRA impone obligaciones a fabricantes, importadores y distribuidores, no a los operadores. Previsiblemente, los controladores de refrigeración entran en la categoría por defecto, en la que los fabricantes pueden evaluar ellos mismos la conformidad. Según la valoración del BSI y con la información disponible hasta ahora, los accesos de los controladores afectados ya estaban, al parecer, insuficientemente protegidos en el momento de la entrega; idealmente, esto debería detectarse en el futuro durante la evaluación de la conformidad.
El Reglamento ha entrado en vigor; sus obligaciones se aplican de forma escalonada.
Se aplican las normas sobre la notificación de los organismos de evaluación de la conformidad.
Los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves e informar a los usuarios afectados, también en el caso de productos más antiguos y después del fin del soporte.
Todos los requisitos esenciales se aplican a cada producto introducido en el mercado a partir de esa fecha, aunque el modelo sea más antiguo. A partir de entonces pueden imponerse multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial.
Las obligaciones del fabricante no afectan solo a los fabricantes de controladores. Quien ensambla componentes en un nuevo producto conectado y lo introduce en el mercado, comercializa un producto con su propio nombre o lo modifica sustancialmente se considera fabricante conforme al CRA. Por eso, los instaladores frigoristas y los fabricantes de muebles frigoríficos deberían aclarar su papel.
Alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final 14 días después de que se disponga de una corrección; en el caso de incidentes, un mes después de la notificación. El plazo empieza a contar desde que se tiene conocimiento, tras una primera comprobación sin demora, también cuando el aviso procede de clientes, autoridades o medios de comunicación. Las notificaciones se envían a través de la plataforma única de notificación de ENISA al CSIRT competente, que en Alemania es el BSI; los fabricantes sin establecimiento en la UE, por ejemplo de Suiza, notifican al CSIRT del país de su representante autorizado o, en su defecto, de su importador o distribuidor.
Configuración segura por defecto, protección frente al acceso no autorizado, por ejemplo mediante autenticación, y una superficie de ataque lo más reducida posible. El CRA no contiene una prohibición expresa de las contraseñas predeterminadas; sin embargo, según las directrices de la Comisión Europea, las deficiencias de diseño no pueden compensarse trasladando los riesgos a los usuarios.
Actualizaciones de seguridad sin demora y, en principio, gratuitas. El período de soporte depende de la vida útil prevista y es de al menos cinco años; su fin debe indicarse en el momento de la compra.
Documentar los componentes en una lista de materiales de software (SBOM), realizar pruebas periódicas, divulgar las vulnerabilidades de forma coordinada y corregirlas sin demora.
Para los equipos introducidos en el mercado antes del 11 de diciembre de 2027 solo rige la obligación de notificación, no la de subsanación; esto afecta también a los equipos que se siguen comprando hoy. Quien opera estos equipos debe controlar el riesgo por sí mismo: reforzar su seguridad, aislarlos o sustituirlos.
Una vulnerabilidad debe notificarse cuando existen pruebas fiables de su explotación maliciosa. Los considerandos del Reglamento citan como ejemplo las deficiencias de identificación y autenticación; si el uso indebido de contraseñas predeterminadas entra en ese supuesto en un caso concreto es algo que debe examinarse jurídicamente.
El CRA impone obligaciones a los fabricantes, no a los operadores. Aun así, para los operadores es una palanca: quien adquiere equipos de refrigeración puede exigir por contrato la conformidad con el CRA, una lista de materiales de software (SBOM), un período de soporte fijo y compromisos sobre la gestión de vulnerabilidades, y cubre así parte de los requisitos de NIS2 sobre la cadena de suministro.
Más informaciónConsultoría CRA Obligación de notificación del CRA El CRA en resumen
Una instalación frigorífica rara vez es un producto de un único proveedor. El controlador procede del fabricante; lo instala y lo mantiene el instalador frigorista, que a menudo se ocupa de él a distancia de forma permanente. Muchos de los establecimientos afectados ni siquiera eran clientes directos del fabricante, sino de los instaladores frigoristas. Aquí es precisamente donde interviene NIS2: las entidades incluidas deben tener en cuenta los riesgos de seguridad de sus proveedores y prestadores de servicios directos.
Controlador, firmware, interfaz web
Diseño, montaje, puesta en marcha
Servicio técnico, servicio de averías, portales en la nube
Tienda, almacén, clínica, producción
Clientes finales, autoridades
Se manipularon cámaras frigoríficas en tres centros a través de la supervisión remota de un proveedor de servicios de refrigeración. El proveedor atribuye la responsabilidad a un componente de un tercero, es decir, a un riesgo en el proveedor del proveedor. [12]
El 13 de octubre, Danfoss había aconsejado a sus clientes neerlandeses desconectar los sistemas de internet. Tras el ataque en Francia, la mayoría de las empresas habían reaccionado; unas pocas, no. Según el fabricante, los sistemas afectados no estaban en una red protegida y utilizaban una contraseña predeterminada. [44]
Según Coopérative U, los establecimientos afectados no eran clientes directos de Danfoss, sino de instaladores frigoristas que habían suministrado el sistema. En estos casos, el mantenimiento y el acceso remoto suelen estar en manos de terceros, y la decisión de sustitución recae a menudo en cada establecimiento. [45]
En un supermercado de AWO en Wetter-Volmarstein, el ataque se dirigió, según dpa, contra la empresa que realiza el mantenimiento remoto de las instalaciones frigoríficas. En Lilienthal, cerca de Bremen, un establecimiento afectado tuvo que desechar mercancía por valor de más de 360.000 euros. [13]
NIS2 exige expresamente medidas para la seguridad de la cadena de suministro, incluidas las relaciones con los proveedores y prestadores de servicios directos. Deben tenerse en cuenta las vulnerabilidades de cada proveedor directo, la calidad de sus productos y sus prácticas de seguridad. Según el BSI, quien expone sistemas OT a internet sin protección suficiente incumple, en principio, sus obligaciones; el BSI recomienda a los operadores exigir activamente medidas a los integradores y prestadores de servicios.
Más informaciónSeguridad de la cadena de suministro en resumen Gestión de proveedores Seguridad OT e industrial
Responda a las preguntas pensando en sus centros. La evaluación se realiza solo en su navegador y no sustituye a una revisión, pero le indica por dónde debería empezar.
Respondidas: 0 de 6 preguntas. El resultado aparecerá en cuanto haya respondido a todas las preguntas.
Sus respuestas no se guardan ni se transmiten.
Los pasos reúnen las recomendaciones de las autoridades estadounidenses, el CERT-FR, el BSI y el BACS y las complementan con nuestra experiencia en evaluaciones de OT y proyectos de GRC.
Si sus instalaciones frigoríficas han sido manipuladas: desconecte el acceso remoto, documente el estado y las horas con capturas de pantalla, mida directamente la temperatura de los productos y evalúe la mercancía, restablezca las consignas a partir de una copia de seguridad de la configuración y no vuelva a conectar el equipo hasta haber reforzado su seguridad; restablecer los valores de fábrica no basta por sí solo. Compruebe si tiene obligaciones de notificación, por ejemplo conforme a NIS2 ante el BSI o, en Suiza, ante el BACS; presente una denuncia, en Alemania ante el punto de contacto central de ciberdelincuencia (ZAC) de la policía de su estado federado, e informe pronto a su aseguradora. Nuestro CSIRT le presta apoyo las 24 horas del día.
Los ataques muestran dónde están los puntos débiles: los equipos de refrigeración a menudo no figuran en el inventario, en la gestión de proveedores ni en la visión desde el exterior. VamiGRC integra NIS2 y el CRA en la operación diaria, VamiAppSec ayuda a los fabricantes en la seguridad del software y de los productos, y VamiRedteam vigila las 24 horas su superficie de ataque autorizada.
Plataforma GRC agénticaVamiGRC es la plataforma GRC agéntica de VamiSec. Con ella, los operadores implantan NIS2 y no pierden de vista a sus proveedores, y los fabricantes gestionan sus obligaciones del CRA. Ambos trabajan sobre los mismos activos, proveedores y evidencias. Los agentes de IA se encargan de las tareas rutinarias según las reglas de aprobación que usted defina; su equipo decide.
VamiGRC es un sistema de gestión integrado agéntico para fabricantes y operadores: NIS2 para la empresa y CRA para sus productos, en un solo sistema. Sobre un mismo grafo GRC, ISMS, PIMS, AIMS, CSMS y BCMS utilizan los mismos activos, proveedores, riesgos y evidencias; los riesgos y las medidas se valoran en euros. Los agentes de IA se encargan de las tareas rutinarias según sus reglas de aprobación.
Gratis hasta la puesta en producción: un mes de Proof of Value con datos de demostración o con sus datos reales y, tras el pedido en firme, la implementación acompañada; la licencia no empieza a correr hasta la puesta en producción. Todos los planes incluyen cuentas de usuario ilimitadas.
Para fabricantes de controladores, firmware y tecnología frigorífica conectada: VamiAppSec lleva las pruebas de seguridad al pipeline de CI/CD que ya utiliza y hace manejable la gestión de vulnerabilidades conforme al CRA. El modelo de lenguaje asiste; las decisiones las toma su equipo.
Para operadores: el caso de uso central de VamiRedteam es el 24/7 Zero-Day Vulnerability Management. Tres agentes de IA supervisan su superficie de ataque autorizada las 24 horas, la cotejan con las vulnerabilidades recién divulgadas y comprueban qué es realmente explotable. Así, los sistemas accesibles públicamente y las nuevas vulnerabilidades se detectan con rapidez, sin esperar al próximo pentest.
Ya se trate de la visión desde el exterior de sus equipos de refrigeración, de la clasificación según NIS2, de la hoja de ruta del CRA o de la gestión de proveedores: Valeri Milke y el equipo de VamiSec le ayudan a definir, a partir de este informe de situación, los próximos pasos concretos.
«La seguridad TI y el cumplimiento sin IA son una vulnerabilidad.»
En la noche previa al 12 de octubre de 2026, unos desconocidos manipularon los controladores de refrigeración de cientos de supermercados franceses; el Gobierno habló de unos 700 establecimientos. En la noche previa al 2 de noviembre siguió una segunda oleada, con más de 100 comercios afectados en más de una docena de países europeos, entre ellos Alemania y Suiza. Los puntos de frío se pusieron en modo de desescarche y se subieron las consignas; la mercancía se echó a perder.
Según lo que se sabe hasta ahora, a través de controladores accesibles directamente desde internet, sobre todo gestores del sistema de Danfoss de las series AK-SM y AK-SC y supervisores XWEB de Copeland y Dixell. En varios casos está documentado el uso de contraseñas predeterminadas sin cambiar; con firmware obsoleto, pueden haberse aprovechado vulnerabilidades conocidas. No se utilizó software malicioso.
No está claro. Un canal del grupo prorruso NoName057(16) ha reivindicado los ataques junto con Z-Pentest, pero no hay pruebas de ello. Ningún gobierno ni ninguna autoridad ha señalado a un autor; el Kremlin lo desmiente.
Sí. En Alemania, la policía investiga varios casos, entre otros en Renania del Norte-Westfalia, Baja Sajonia, Baviera y Renania-Palatinado; el BSI ha confirmado incidentes en algunos supermercados. En Suiza, se vieron afectadas una carnicería en Köniz y tres tiendas de Volg.
El comercio minorista de alimentación como tal, no. NIS2 abarca, en el sector alimentario, el comercio mayorista y la producción y transformación industriales y, además, el sector sanitario y muchas ramas de la industria, entre ellas los fabricantes de tecnología frigorífica y de control. En Alemania, las grandes empresas comerciales pueden estar incluidas, no obstante, en virtud de los umbrales KRITIS.
El CRA obliga a los fabricantes de productos conectados, y por tanto también de controladores de refrigeración, a ofrecer una configuración segura por defecto, protección frente al acceso no autorizado, actualizaciones de seguridad durante el período de soporte y una gestión ordenada de las vulnerabilidades. Estos requisitos se aplican a partir del 11 de diciembre de 2027. Las obligaciones de notificación de vulnerabilidades explotadas activamente se aplican ya desde el 11 de septiembre de 2026, también para productos más antiguos.
Conforme al CRA, los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final 14 días después de que se disponga de una corrección; en el caso de incidentes, un mes después de la notificación. Si el uso indebido de contraseñas predeterminadas se considera en un caso concreto una vulnerabilidad explotada activamente es algo que debe examinarse jurídicamente.
Depende de su papel. En Alemania, las empresas sujetas a NIS2 notifican los incidentes significativos a través del portal de notificación del BSI: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final un mes después. Los negocios no incluidos, como supermercados individuales o carnicerías, no están obligados a notificar; pueden informar voluntariamente al BSI y deberían presentar una denuncia ante el punto de contacto central de ciberdelincuencia (ZAC) de la policía de su estado federado. En Suiza, los operadores de infraestructuras críticas notifican al BACS en un plazo de 24 horas; todos los demás pueden notificar de forma voluntaria. Los fabricantes notifican las vulnerabilidades explotadas activamente conforme al CRA a través de la plataforma de notificación de ENISA.
Un papel decisivo. Los controladores proceden del fabricante; el montaje, el mantenimiento y el acceso remoto suelen estar en manos de instaladores frigoristas y proveedores de servicios. En el caso del servicio francés de donación de sangre EFS, el ataque se produjo a través de la supervisión remota de un proveedor de servicios. Por eso, NIS2 exige incluir a los proveedores y prestadores de servicios en la gestión de riesgos.
Compruebe en el router si hay redirecciones de puertos o reglas NAT o UPnP que apunten a controladores y, desde fuera (por ejemplo, con un smartphone sin wifi), acceda a la dirección IP pública del centro: allí no debe aparecer ninguna página de inicio de sesión de un controlador. También puede comprobar si la dirección figura en buscadores como Shodan o Censys. Los módems móviles del armario eléctrico suelen tener su propia conexión a internet; por eso, pregunte a su proveedor de servicios de refrigeración por todos los accesos remotos. Compruebe además las contraseñas, el firmware y el fin del soporte, y pruebe si las alarmas de temperatura llegan de noche a un servicio de guardia. VamiSec le ayuda con una revisión desde el exterior y un inventario de sus proveedores.
Con VamiGRC, usted implanta NIS2 y el CRA en un solo sistema y gestiona a sus proveedores. Con VamiAppSec, los fabricantes integran las pruebas de seguridad en su desarrollo y preparan las notificaciones del CRA. Con VamiRedteam, usted vigila las 24 horas su superficie de ataque autorizada y accesible desde el exterior. A ello se suman pentests de OT e IoT, consultoría sobre NIS2 y el CRA y nuestro CSIRT para casos de emergencia.
La información se basa en publicaciones de autoridades, fabricantes, investigadores de seguridad y medios de comunicación hasta el 8 de noviembre de 2026. Las reivindicaciones y valoraciones se indican como tales; las consignas no son temperaturas medidas.
Este informe de situación no sustituye al asesoramiento jurídico. Si se aplican obligaciones a su empresa, y cuáles, depende de cada caso.
Concierte una primera reunión sin compromiso: analizaremos su situación de partida y los próximos pasos.
