Análisis editorial · Fuentes primarias
Francia confirma compromisos amplios de controladores frigoríficos mientras los ataques pueden continuar
CERT-FR ha ampliado el incidente de refrigeración en supermercados franceses: ya no se limita a varias tiendas notificadas, sino que comprende numerosas intrusiones confirmadas en controladores Danfoss, Copeland y Dixell, con campañas probablemente aún activas.
Incidente, divulgación y actualización
El incidente operativo comenzó durante la noche del 11 al 12 de octubre de 2026. El 12 de octubre, el presidente de Coopérative U, Dominique Schelcher, confirmó públicamente ciberataques contra instalaciones de producción de frío de varios establecimientos [1]. CERT-FR publicó su primera alerta ese día y la actualizó el 13 de octubre para añadir otros equipos atacados. El boletín oficial informa ahora de numerosas intrusiones en controladores Danfoss AK-SM y AK-SC y sistemas Copeland/Dixell xweb [2].
Qué ha cambiado
La actualización amplía de forma sustancial la exposición más allá de un minorista y una familia de proveedores. CERT-FR considera probable que las campañas sigan en curso y advierte que restablecer de fábrica un controlador comprometido es insuficiente si un equipo sin soporte o parches continúa expuesto directamente a Internet: probablemente será comprometido de nuevo [2]. Sigue siendo una intrusión confirmada en tecnología operacional; las fuentes primarias públicas no establecen una CVE concreta explotada, una familia de malware ni un actor.
Quién debe evaluar la exposición
Los minoristas alimentarios, operadores frigoríficos y logísticos, equipos de instalaciones y proveedores de servicios de refrigeración deben identificar las familias afectadas, la exposición mediante IP públicas, el firmware al final de su vida útil y las rutas remotas de terceros. Deben revisar la actividad al menos desde el 11 de octubre: cambios de consignas de temperatura, horarios de desescarche, alarmas, usuarios y configuración de red. Incluya activos gestionados por proveedores aunque queden fuera del inventario TI corporativo.
Respuesta y prioridades de misión
Para unidades no comprometidas, CERT-FR recomienda retirar la exposición directa, validar toda la configuración y restablecer el acceso solo mediante una VPN segura o red protegida. Para unidades comprometidas, retirar la exposición, restablecer de fábrica, reconfigurar y actualizar antes de reconectar [2]. Cuando sea viable, preserve primero pruebas de controladores, cortafuegos, identidad y acceso de proveedores. Verifique independientemente temperaturas y seguridad de productos, prepare operación manual y coordine seguridad, instalaciones, seguridad alimentaria, legal, comunicación y proveedores. NIST recomienda integrar la respuesta con la gestión de riesgos y recuperación [4].
Gobierno, incógnitas y confianza
La dirección debe exigir firmware con soporte, cambio de contraseñas predeterminadas, modos de seguridad estrictos, registro independiente, acceso contractual durante incidentes y procedimientos de aislamiento ensayados. El número exacto de víctimas, el acceso inicial, la identidad y finalidad del atacante y todas las consecuencias físicas siguen sin verificarse en las fuentes primarias revisadas. La confianza es alta respecto a la intrusión en varias familias de controladores y al riesgo de reinfección; es media respecto al alcance total y la causa.
Fuentes
- Dominique Schelcher (Coopérative U), public incident statement on X, 12 October 2026 (accessed 15 October 2026)
- CERT-FR, CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, initial version 12 October and update 13 October 2026 (accessed 15 October 2026)
- Centre for Cybersecurity Belgium, Warning: Security incidents in France targeting remote controllers for refrigeration, last update 13 October 2026 (accessed 15 October 2026)
- NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, final, April 2025 (accessed 15 October 2026)