Durante años, el controlador que maneja los refrigeradores de un supermercado, la cámara fría de una distribuidora o el refrigerador de vacunas de una farmacia fue "cosa del técnico de refrigeración". Ya no. El jueves 5 de noviembre de 2026, CISA, el FBI y los departamentos de Salud (HHS), Agricultura (USDA) y Transporte de Estados Unidos publicaron una guía conjunta para endurecer los sistemas de refrigeración industrial y de monitoreo de cadena de frío, después de una ola de ataques en Europa que obligó a tirar comida.
No es un parche de un día: es un aviso que va a seguir vigente semanas, porque buena parte de los equipos afectados ya no recibe actualizaciones.
Qué pasó
Según lo reportado por The Record, Nextgov/FCW y la nota de investigación de la Cloud Security Alliance (CSA):
| Caso | Qué se sabe |
|---|---|
| Supermercados en Francia | La noche del 11 al 12 de octubre, atacantes tomaron controladores de refrigeración y mandaron los muebles a ciclos de deshielo. La prensa francesa estimó al principio entre 250 y 350 tiendas, de cadenas como Intermarché, Coopérative U, Carrefour Market, Monoprix y Leclerc; después, el ministro de Economía, Roland Lescure, habló ante legisladores de unos 700 de los cerca de 10,000 supermercados del país |
| Nueva ola en Europa | Tiendas en Suecia, Bélgica, Luxemburgo y otros países reportaron temperaturas elevadas a distancia y producto desechado |
| Bancos de sangre | El Establecimiento Francés de la Sangre reportó manipulación de los controles de enfriamiento en tres de sus sedes regionales |
| Tiendas de bases militares de EE. UU. | Desde finales de agosto, refrigeradores y congeladores de unas seis tiendas pasaron solos a modo deshielo o calefacción. Investiga el servicio de investigación criminal (DCIS) de la Oficina del Inspector General del Pentágono, con apoyo del Comando Cibernético; no está confirmado que sea el mismo ataque |
La guía estadounidense no señala culpables. Francia sí: el lunes 9 de noviembre atribuyó la ola de octubre (unas 700 tiendas y al menos 15 incendios, según sus autoridades) a Shahid Kaveh, una unidad cibernética ligada a la Guardia Revolucionaria de Irán; la nueva ola de noviembre sigue sin atribución. El miércoles 4, la Comisión Europea, ENISA y Europol emitieron su propio llamado a actuar de inmediato.
La guía advierte que un atacante puede forzar ciclos continuos de calefacción y deshielo e incluso impedir que el operador vea la temperatura real. Además de la merma, menciona riesgo de incendio en los equipos y daño al consumidor por producto que rompió la cadena de frío sin que nadie lo notara.
Qué equipos están en la mira
La guía no nombra marcas. La autoridad francesa sí: la alerta CERTFR-2026-ALE-012 del CERT-FR (12 de octubre, actualizada el 13 y el 16) reporta numerosos compromisos en controladores Danfoss AK-SM y AK-SC y, desde la actualización del 13, también en supervisores Copeland XWEB y Dixell XWEB. No los atribuye a una falla concreta. Los análisis técnicos agregan detalle:
- Danfoss AK-SM y AK-SC. La CSA señala que en Francia los equipos afectados fueron controladores supervisores de estas series, incluidos el AK-SM 800 (fin de vida en mayo de 2021), el AK-SC 355 (descontinuado en 2016) y unidades AK-SM 800A con firmware viejo. Las autoridades no han confirmado cómo entraron, pero hay tres fallas conocidas en el AK-SM 800A (aviso ICSA-25-140-03 de CISA): CVE-2025-41450, una contraseña generada a partir de la fecha y hora que permite saltarse el inicio de sesión (corregido en R4.2), y CVE-2025-41451 y CVE-2025-41452 (corregidas en R4.3.1). Danfoss recomienda R4.3.1 o posterior.
- Copeland XWEB Pro. Además de aparecer en la alerta francesa, el equipo Team82 de Claroty le encontró 23 vulnerabilidades, 21 de severidad alta; están corregidas en el firmware 1.13 de febrero de 2026 (aviso ICSA-26-057-10).
¿Cuántos hay expuestos? Las cifras no coinciden porque salen de distintos buscadores y fechas: BleepingComputer contó 2,752 sistemas Danfoss visibles en internet el 12 de octubre, 1,590 de ellos en Francia; Zscaler encontró 3,726 interfaces de administración del AK-SM 800A en una consulta a Shodan del 19 de agosto, y Team82 había reportado alrededor de 2,765 con datos de Censys. Ninguna fuente publicó un desglose para México.
Por qué importa en San Luis Potosí
El corredor logístico de SLP mueve alimentos, medicamentos y producto refrigerado todos los días. Supermercados regionales, distribuidoras de lácteos y cárnicos, farmacias con red de frío, centros de distribución y bodegas de exportación usan controladores muy parecidos a los atacados, y es común que el instalador los haya dejado con acceso por internet "para monitorear desde el celular" y con la contraseña de fábrica.
Si exportas alimentos a Estados Unidos, súmale el expediente: la FDA ya está afinando las reglas de trazabilidad por lote, y un lote que rompió la cadena de frío por un ataque es un lote que hay que documentar o destruir.
Qué hacer esta semana
Ordenado de lo más urgente a lo estructural, con base en la guía de las agencias estadounidenses y las recomendaciones de la CSA:
- Averigua si tu controlador se ve desde internet. Pregunta a tu técnico de refrigeración cómo se conecta para monitorear. Si la respuesta es "con la IP pública y un puerto abierto en el módem", ciérralo. También revisa los accesos que dejó el proveedor o el contratista.
- Cambia las contraseñas de fábrica del controlador y de cualquier pantalla o software de monitoreo.
- Revisa la configuración actual: puntos de ajuste, horarios de deshielo, alarmas y usuarios dados de alta. La guía pide además fijar límites razonables a los puntos de ajuste y recibir una alerta cuando se salgan del rango. Un cambio que nadie reconoce es señal de compromiso; en ese caso, la recomendación reportada es restablecer de fábrica, cambiar credenciales y reconfigurar desde cero.
- Actualiza el firmware: AK-SM 800A a R4.3.1 o posterior; XWEB Pro a 1.13 o posterior. Hazlo en una ventana planeada con el técnico, no a la carrera.
- Separa la refrigeración de la red administrativa. El controlador no debe convivir con las computadoras de caja y oficina; una red aparte o una VLAN con reglas de firewall es lo mínimo. Es la misma lógica que aplicamos con cámaras de vigilancia y equipos de redes industriales.
- Acceso remoto solo con VPN y doble factor, que puedas apagar cuando el técnico termina. Los accesos permanentes de proveedores han sido la puerta de entrada en otros ataques recientes; si quieres ir más allá, compara VPN tradicional contra ZTNA.
- Pon sensores de temperatura independientes con alertas propias (SMS, WhatsApp o correo) que no dependan del controlador. Si el atacante oculta la temperatura real en el panel, el sensor aparte te avisa. En sitios críticos, mantén también una bitácora manual.
- Planea el reemplazo de lo que ya no tiene soporte. Un AK-SM 800 o un AK-SC 355 no va a recibir parches. Mientras lo cambias, déjalo detrás de un equipo que solo permita conexiones desde direcciones autorizadas.
Lo que todavía no se sabe
La hoja de las agencias menciona tres vías posibles (evasión de autenticación, inyección de código y configuraciones débiles), pero las autoridades no han dicho cuál se usó en cada caso ni han confirmado si los casos europeos y los de las bases militares están relacionados. Tampoco hay una lista oficial de modelos afectados: la alerta francesa nombra familias de equipos (Danfoss AK-SM y AK-SC, Copeland y Dixell XWEB), pero no versiones ni fallas concretas. Si tu equipo es de otra marca, eso no te exime: la guía habla de cualquier controlador sin parches o accesible desde internet.
Fuentes: hoja informativa conjunta "US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems" de CISA, FBI, HHS, USDA y DOT (TLP:CLEAR, 5 de noviembre de 2026, publicada en ic3.gov); alerta CERTFR-2026-ALE-012 del CERT-FR (12 de octubre, actualizada el 16), SecurityWeek, The Record (5 y 9 de noviembre), Nextgov/FCW (noviembre de 2026), nota de investigación de la Cloud Security Alliance sobre los ataques en Francia (13 de octubre), Zscaler (20 de agosto), avisos ICSA-25-140-03 e ICSA-26-057-10 de CISA.
Ciberseguridad
Que tu cadena de frío no dependa de la suerte
Detectamos qué equipos de tu red están expuestos, separamos refrigeración y cámaras de la red de oficina y dejamos el acceso de tus técnicos con VPN y doble factor.
