Joakim Vivas - CTO & Tech Leader | Scaling Startups | AI Architecture & Product Strategy
Segunda oleada... los ciberataques a la refrigeración de los supermercados ya no son un problema francés

Segunda oleada... los ciberataques a la refrigeración de los supermercados ya no son un problema francés

2 de noviembre de 2026
12 min de lectura

Hace tres semanas escribí sobre el hackeo a los supermercados franceses y lo cerraba con una frase: “Hoy ha sido un frigorífico. La pregunta es qué estamos conectando mañana.”

Pues bien… no ha hecho falta esperar a mañana. Ha bastado con un lunes.

En la madrugada del domingo 1 al lunes 2 de noviembre, decenas de supermercados de cinco países europeos se han despertado con sus cámaras y congeladores a 50 °C. Mismo truco, más países y, esta vez, dos fabricantes confirmados. Vamos a ver qué ha pasado, qué sabemos y, sobre todo, qué no sabemos todavía.

¿Qué ha pasado esta vez?

🇧🇪 Bélgica y 🇱🇺 Luxemburgo: el epicentro

Bélgica ha sido, con diferencia, el país más afectado:

  • Delhaize habla de un “incidente informático que afecta a los sistemas de refrigeración de varias decenas de tiendas”. Según Le Soir, son unas 40, la mayoría Delhaize Proxy en Flandes y Valonia, más algunas en Luxemburgo, donde además han suspendido los sistemas de pedidos por precaución (Euronews).
  • Carrefour Bélgica: 15 de sus más de 700 tiendas, sobre todo Shop & Go. Su portavoz, Mich Vergauwen, ha sido el más claro de todos: “Es un ciberataque, no hay otra razón”.
  • Colruyt confirma que han atacado las neveras de 5 tiendas Spar franquiciadas, y RTL Info suma unas 15 de Intermarché (CyberInsider).
  • La cadena de carnicerías De Laet & Van Haver, de Amberes, también ha caído.
  • Las pérdidas: según Euronews, unos 100.000 € de comida tirada en una sola tienda, y cientos de miles de euros en total.

La CCB (el Centro de Ciberseguridad de Bélgica) ha dicho a VRT que la situación “cambia muy rápido” y que todos los sistemas informáticos son potencialmente vulnerables (VRT).

🇸🇪 Suecia: ICA, Coop… y hasta un almacén de Axfood

  • ICA, que tiene más o menos un tercio de los supermercados del país, reconoce “un número limitado” de tiendas, sin dar cifras. Entre ellas, las ICA Kvantum de Sjöbo y Tomelilla, la ICA Nära de Böda y las ICA Hägerstensåsen y Baronen, en Estocolmo (Dagligvarunytt, Ny Teknik).
  • En Sjöbo, el responsable de la tienda, Rickard Nilsson, contaba en TV4 que alguien había puesto los congeladores a +50 °C y que no podían volver a cambiarlo. Calcula cientos de miles de coronas en comida perdida. En su Facebook lo resumían así: “Ha pasado lo peor que podía pasar”.
  • En la ICA Baronen, el ataque empezó sobre las 2:00, nadie se dio cuenta hasta las 5:30 y han avisado a la policía (Reuters vía NBC).
  • Coop habla de seis tiendas en el centro del país (TT afina: seis en Gävle y una en Sundsvall) y no descarta que haya más.
  • Axfood: también se ha visto afectado un almacén de pedidos online en Västra Frölunda (Gotemburgo).

Curiosamente, ICA dice a la televisión neerlandesa NOS que no puede confirmar que haya sido un hackeo, y que las tiendas afectadas no estaban conectadas a su red central… mientras sus propias tiendas lo dicen claramente en redes sociales. Volveremos a esto.

John Billow, el jefe del centro nacional de ciberseguridad sueco, reconoce que están trabajando en varios incidentes y que hay “bastantes dispositivos OT expuestos en Suecia” que hay que actualizar o parchear.

🇮🇪 Irlanda: 13 SuperValu

Musgrave, la dueña de SuperValu, ha retirado todo el fresco y el congelado de 13 tiendas después de que saltaran sus sistemas de monitorización. Lo llama “ciberincidente” y dice que afecta solo a “un modelo específico de refrigeración”, sin decir cuál (RTÉ, The Irish Times). Hay tiendas afectadas en Lucan, Blanchardstown, Waterford y Bray, y la de Bray ni siquiera pudo abrir a su hora.

🇪🇪 Estonia: el caso que salió bien

Este es, para mí, el caso más interesante de todos.

Selver confirma que han atacado una de sus tiendas: alguien entró en el ordenador que controla la refrigeración y puso un congelador a +50 °C. Pero su portavoz, Mariann Järvela, añade un detalle que lo dice todo: “Era la última tienda Selver en la que todavía no se había puesto en marcha el nuevo sistema” (ERR).

El mantenedor, Kitman Coldtech, lo detectó y lo resolvió en diez minutos. La temperatura subió solo dos o tres grados y no se perdió ni un producto.

Su CEO, Jann Mutso, nos deja tres frases importantes:

  • El objetivo era el ordenador de control de un sistema Danfoss antiguo.
  • “También han atacado a otros clientes en Estonia, no solo a los nuestros.”
  • “La firma es la misma” que en Francia. Y remata: “hay sitios donde los controladores son viejos y no están actualizados, y son esos a los que se ataca ahora”.

En total, sumando los primeros recuentos, hablamos de más de 70 tiendas, sin contar esos “otros clientes” estonios. Muchas menos que las ~700 de Francia, sí, pero repartidas en cinco países y en una decena de empresas distintas.

🔥 La misma noche, el mismo guion

Si lees los testimonios, es como volver a leer lo de Francia:

  • Hacia las 3:00, los gerentes de Delhaize empezaron a recibir alarmas en el móvil. Uno de ellos lo contaba en RTBF: llegó a la tienda y se encontró los compresores parados y los muebles echando aire caliente. Algunas tiendas tuvieron que tirar de camiones frigoríficos para salvar lo que pudieron.
  • En De Laet & Van Haver, Werner Muylle explicaba en NOS que, hacia las 3:00, alguien cambió “desde fuera” el sistema antihielo, y que en lugar de frío entraba aire caliente.
  • Sabcobel, el instalador belga que gestiona la refrigeración de Delhaize, lo confirma: el mecanismo es “exactamente el mismo”. Activaron en remoto el desescarche de los evaporadores y lo dejaron encendido. Su CEO, Stephan Moelans, cuenta que a la 1:00 ya tenían técnicos en marcha para desconectar las instalaciones de internet, y que tienen constancia de unas 20 unidades afectadas entre los cientos que gestionan.

De madrugada, en fin de semana y sin tocar nada físico. Una función legítima del propio equipo, usada para lo que no es.

¿Qué nos enseña esta segunda oleada?

1. Danfoss y Copeland… el problema no es la marca

En Francia, el foco estaba en los Danfoss AK-SM 800 y AK-SC 355, y luego la ANSSI amplió la alerta a los Copeland XWEB y Dixell XWEB. Esta oleada confirma las dos patas:

  • Danfoss en Estonia: lo dice el propio mantenedor, “un sistema Danfoss antiguo”.
  • Copeland en Bélgica: en De Laet & Van Haver, las tiendas manipuladas funcionaban con Copeland, mientras que las que usan Danfoss, de momento, no han tenido problemas (aunque las han desconectado por si acaso) (NOS). Varios medios apuntan también a los XWEB de Copeland en Delhaize (Trending Topics), aunque esto no está confirmado oficialmente.

Copeland ya había reconocido en octubre un fallo en “una generación de controladores descatalogada y en fin de vida”, y los investigadores siguen contando 1.173 Copeland XWEB Pro y Evo expuestos en internet (Cybersecurity Dive). En Irlanda y Suecia, nadie ha dicho todavía qué marca había.

Lo que comenté en el anterior artículo se confirma: no es el fallo de un fabricante, es el fallo de toda una generación de equipos. Controladores viejos, sin parches y con una puerta abierta a internet.

2. Parchear no es suficiente

Hay una frase de Moelans (Sabcobel) que debería leer cualquier responsable de operaciones: con una actualización de software no basta, hacen falta cambios físicos y eso “requiere inversión”. Según él, después de lo de Francia, la mayoría de sus clientes pasaron a gestionar los equipos con una conexión segura. Los que no lo hicieron son los que han caído.

Y Estonia es justo la otra cara de la moneda: la única tienda afectada era la última que quedaba por migrar. Aun así, alguien estaba mirando y lo cortó en diez minutos.

La diferencia entre tirar 100.000 € de comida y no perder nada ha sido tener los deberes hechos… y alguien despierto a las 3 de la mañana.

3. ¿50, 55, 70 o 80 grados?

Las cifras bailan bastante. En Suecia y Estonia se habla de 50 °C, HLN publicó 70 °C en Bélgica (Delhaize no lo confirma) y otros medios dicen 55 °C. Emil Olofsson, de Integrity360, decía a TT que en Francia hubo casos de hasta 80 °C, y que varios equipos acabaron ardiendo, aunque la policía no da esa cifra. Yo me sigo quedando con los 50 °C, que es lo más contrastado.

Un detalle técnico que conviene no olvidar: una cosa es la consigna (lo que el atacante le dice al equipo) y otra la temperatura real del mueble. En Estonia pusieron +50 °C y la temperatura solo subió dos o tres grados, porque lo pararon a tiempo.

Olofsson decía otra cosa todavía más incómoda: en Francia, los atacantes se habrían hecho con las credenciales de sistemas de control expuestos directamente a internet, y el ataque “no era muy complicado”. Vamos, que podrían haber sido aficionados.

4. ¿Y el Pentágono?

Unos días antes, el 29 de octubre, Reuters publicaba en exclusiva que el Pentágono está tratando como posible ciberataque una serie de averías en congeladores que echaron a perder comida en economatos de bases militares de EE. UU. a finales de agosto (Reuters vía CP24). Hablan de al menos seis economatos, el Cyber Command se ha sumado a la investigación y los investigadores militares están hablando con sus homólogos franceses.

Importante: el Pentágono no ha confirmado ninguna intrusión, no descarta fallos de software, de comunicaciones o de mantenimiento, y Reuters no ha podido saber qué controladores había en esas bases. Pero si se confirma… la secuencia sería bases de EE. UU. en agosto, Francia en octubre y cinco países europeos en noviembre.

Lo que todavía no sabemos

  • Quién está detrás: nadie lo ha reivindicado y ningún gobierno ha señalado a nadie.
  • Cómo entraron exactamente: no hay ni CVE oficial ni vía de entrada confirmada.
  • Si es el mismo actor o un imitador: el método es el mismo, pero una vez que el truco es público, cualquiera con Shodan puede repetirlo. En octubre había más de 4.500 interfaces de Danfoss visibles en internet, y Censys contaba 57 sistemas vulnerables solo en los Países Bajos. Mutso habla también de ataques en los Países Bajos en octubre, pero yo no he encontrado ningún caso confirmado.
  • Si tiene algo que ver con Ahold Delhaize: Delhaize está investigando si hay relación con el incidente que dejó sin web ni app a Albert Heijn el mes pasado. De momento, no hay ningún vínculo.

De las teorías que planteaba en el primer artículo, hay dos que pierden fuerza: la casualidad geográfica (esta vez no ha sido Francia) y la de un único fabricante. Y hay tres que ganan peso:

  1. Explotación oportunista a escala, ahora con un manual público que copiar.
  2. El eslabón del mantenedor: ICA dice que las tiendas afectadas no estaban en su red central, y quienes detectaron y cortaron los ataques fueron Sabcobel y Kitman, es decir, los mantenedores.
  3. Una campaña sostenida contra la cadena de frío europea.

Desde Bruselas, un portavoz del comisario de Agricultura lo resumía con una imagen muy clara: “Los estantes vacíos de los supermercados atacados lo dicen todo”.

¿Qué deberías hacer esta semana?

La lista del anterior artículo sigue siendo válida. Lo que ha cambiado es la urgencia. Si tuviera que quedarme con cuatro cosas:

  1. Desconecta de internet cualquier controlador de refrigeración (o cualquier PLC) que no necesite estarlo. Es lo primero que han hecho Sabcobel, Delhaize y De Laet & Van Haver… pero lo han hecho después del ataque.
  2. Revisa todas las marcas, no solo Danfoss. Si en tu inventario pone Copeland, Dixell, XWEB o, peor aún, “no lo sé”, estás en el grupo de riesgo.
  3. Termina la migración. En Selver cayó justo la última tienda que faltaba. Si tienes un plan de sustitución “para el año que viene”, el año que viene ya ha llegado.
  4. Alguien tiene que estar mirando a las 3 de la mañana: alarmas independientes del controlador, que lleguen a una persona que pueda hacer algo. En Estonia se resolvió en diez minutos; en Bélgica, cuando llegaron, ya había que tirar la comida.

Y si trabajas en infraestructura crítica de verdad (agua, energía, salud…), cambia “frigorífico” por “bomba”, “válvula” o “dosificador” y vuelve a leer este artículo. Créeme, trabajando cada día en el sector del agua, es lo primero que he hecho yo.

Cierro con una reflexión

Una vez es un incidente. Dos veces en tres semanas es un patrón. Y si se confirma lo de las bases de EE. UU., ya serían tres.

Danfoss en Estonia, Copeland en Bélgica… lo que tienen en común no es el logo, es la combinación de equipos en fin de vida, interfaces expuestas y acceso remoto de terceros. Y la respuesta sigue siendo reactiva: desconectamos los equipos después de tirar la comida. Salvo en Estonia, donde con los deberes hechos y alguien mirando, todo se quedó en dos grados de más. El Cyber Resilience Act obliga a notificar, sí, pero no desenchufa nada.

En el primer artículo decía que un frigorífico estropeado cuesta una noche de comida. Ahora ya son varias noches, seis países y un manual que cualquiera puede copiar.

Conclusión: la pregunta ya no es qué estamos conectando mañana. Es qué seguimos teniendo conectado hoy.

Fuentes

En este artículo
Joakim Vivas

CTO & Tech Leader · Escribo sobre lo que los mercados no están viendo.

Contenido

Herramientas que uso

Links de referido — si te registras, nos beneficiamos los dos.

© 2026 JoakimVivas.com · Joakim Vivas