alta research latam

Ataques a refrigeración OT golpean más de 400 supermercados europeos

Controladores Danfoss, Copeland y Dixell expuestos a internet y gestionados por terceros permitieron apagar alarmas de temperatura durante horas; el mismo patrón de monocultivo de proveedor y outsourcing OT que habilitó esto es común en las grandes cadenas de supermercados de Chile y la región.

·14 min de lectura ·Equipo Vantis
En 30 segundos
  • Entre octubre y noviembre de 2026, atacantes no identificados modificaron remotamente los parámetros de controladores de refrigeración comercial (Danfoss AK-SM/AK-SC, Copeland XWEB, Dixell XWEB) en más de 400 supermercados europeos, llevando cámaras y congeladores a modo descongelamiento o hasta 50°C, con pérdidas de stock y al menos un foco de incendio. Nadie reclamó autoría ni pidió rescate.
  • Evaluación, confianza media: el patrón revela un riesgo estructural más que un incidente aislado. Los locales afectados comparten tres dependencias —el mismo producto de controlador, el mismo modelo de acceso remoto de contratistas, y el mismo vacío de personal nocturno— por lo que una sola técnica puede golpear a decenas de locales de cadenas competidoras la misma noche. Esto no está confirmado como ataque único coordinado: EE.UU. investiga fallas similares desde agosto sin vínculo probado con Europa.
  • Evaluación, confianza baja: no hay evidencia de que cadenas chilenas o latinoamericanas usen los mismos controladores comprometidos, pero el modelo de negocio —refrigeración gestionada por un contratista externo, fuera del inventario de TI— es el estándar en el retail de la región. La acción correcta hoy es auditar ese inventario, no esperar una confirmación de marca.

Qué pasó

Cloud Security Alliance (CSA Labs) publicó una nota de investigación el 3 de noviembre de 2026 que reconstruye una serie de incidentes contra sistemas de refrigeración comercial en supermercados europeos, con un posible antecedente en bases militares de Estados Unidos. Este análisis de Vantis parte de esa nota —que CSA produce con un proceso editorial propio a partir de reportes de terceros, no es fuente primaria— y remite cada hecho a la fuente original que ella misma cita.

Los primeros reportes públicos son de fines de agosto de 2026, en comisariatos militares de EE.UU.: Fort Huachuca (Arizona) reportó un congelador que "entró en modo descongelamiento y calentó toda la comida". Reuters contabilizó al menos seis locales con fallas similares ese mes, y el 29 de octubre cuatro funcionarios confirmaron a Reuters que el Pentágono lo trata como un presunto ciberataque, con participación de Cyber Command y contacto con investigadores franceses. No se confirmó la marca de los controladores afectados en EE.UU., por lo que el vínculo con Europa es, por ahora, una hipótesis.

El ataque mejor documentado ocurrió en Francia la noche del 11 de octubre: atacantes alcanzaron los controladores supervisorios y activaron ciclos de descongelamiento o subieron el setpoint a 50°C; algunos equipos funcionaron así por unas seis horas antes de que el personal lo notara. Las cifras varían según el medio: BFM TV reportó más de 300 locales, Reuters más de 350, y compilaciones posteriores hablan de hasta 700. Entre las víctimas nombradas están Auchan, Carrefour, E.Leclerc, Intermarché, Monoprix y Coopérative U. CERT-FR publicó la alerta CERTFR-2026-ALE-012 el 12 de octubre, actualizada los días 13 y 16.

Una segunda ola comenzó la madrugada del 2 de noviembre y alcanzó más de 115 locales en Bélgica, Países Bajos, Suecia, Luxemburgo, Irlanda y Estonia, con casos adicionales menores en Portugal, Italia y Finlandia. Danfoss confirmó que el método en los casos neerlandeses fue el mismo que en Francia, aunque —como señala The Hacker News— un método compartido no prueba un mismo autor.

Los equipos nombrados son controladores supervisorios que concentran el control de racks de compresores, vitrinas y horarios de descongelamiento de un local completo: comprometer uno solo basta para afectar toda la tienda. El historial de vulnerabilidades en estos productos es anterior al ataque: el aviso ICSA-25-140-03 de CISA (mayo de 2025, actualizado en agosto de 2025) describe tres fallas en la serie Danfoss AK-SM 8xxA —CVE-2025-41450 (autenticación basada en fecha/hora), CVE-2025-41451 (inyección de comandos vía configuración de alertas por correo) y CVE-2025-41452 (control externo de parámetros de configuración)—, corregidas en las versiones R4.2 y R4.3.1. Al momento de publicarse ese aviso, CISA no reportaba explotación conocida. Claroty Team82, que descubrió las fallas, publicó un análisis en agosto de 2026 donde documentó 2.765 unidades AK-SM 800A visibles en internet según datos de Censys.

No está confirmado que estas CVE específicas hayan sido explotadas en los ataques de octubre y noviembre; SecurityWeek reportó que el vector de explotación era incierto. Danfoss declaró que la mayoría de las unidades francesas afectadas eran modelos antiguos AK-SM 800 y AK-SC 355 que ya no recibe soporte, y que los sistemas neerlandeses comprometidos no estaban en una red segura y seguían usando contraseñas por defecto. Un dato que circula en Wikipedia —usuario "admin" con la fecha del día como contraseña— no tiene, según la propia nota de CSA, una fuente primaria o de prensa que lo confirme; lo señalamos aquí explícitamente como no verificado.

Nadie reclamó autoría. El Centro de Ciberseguridad de Bélgica declaró que los responsables "podrían no determinarse nunca". Al no mediar pedido de rescate, los analistas citados en la nota evalúan la campaña como más probablemente sabotaje que extorsión, sin descartar otros motivos.

Por qué importa acá

Nada en el expediente público vincula a una entidad chilena con estos hechos, y no corresponde forzar esa conexión: no hay marca, proveedor ni incidente local verificado. El ángulo real para Chile y la región es estructural, no anecdótico.

Evaluación, confianza media: las grandes cadenas de supermercados en Chile (Cencosud, Walmart Chile, SMU, entre otras) operan modelos de refrigeración comercial a gran escala que, en la industria, típicamente se instalan, monitorean y mantienen bajo contrato con proveedores especializados de refrigeración —el mismo patrón de outsourcing OT que en Europa dejó el control fuera del programa de seguridad del retailer. Lo que no sabemos es qué marca de controlador usa cada cadena local ni si está expuesta a internet; no hay evidencia pública de eso y no la vamos a inventar. Lo que sí es razonable afirmar, con ese nivel de confianza, es que el modelo de riesgo —no la marca específica— es trasladable: un contratista de refrigeración gestiona remotamente equipos en decenas de locales con las mismas credenciales o el mismo patrón de acceso, y una falla ahí golpea a toda su cartera de clientes la misma noche.

En materia regulatoria, la Ley 21.663 (Marco de Ciberseguridad e Infraestructura Crítica) establece deberes reforzados para Operadores de Importancia Vital (OIE) y servicios esenciales designados por el CSIRT Nacional/ANCI. El retail de alimentos no está, hasta donde sabemos, designado como tal en Chile; no corresponde afirmar un deber de reporte específico sin esa designación, y no inventamos plazos que la fuente no entrega. Eso no exime a las cadenas de la obligación de gobernanza interna: la refrigeración OT gestionada por terceros debería estar en el inventario de activos y en el proceso de riesgo de proveedores, esté o no la empresa bajo el perímetro de la 21.663. La Ley 21.719 (protección de datos personales) no aplica directamente aquí porque no hay evidencia de datos personales comprometidos; el impacto reportado es sobre inocuidad alimentaria y continuidad operacional, un ángulo que en Chile conecta más con la normativa sanitaria (RSA, ISP) y con la exposición reputacional ante el consumidor que con protección de datos.

La lección que sí es accionable hoy, independiente de la designación regulatoria: pedir por escrito a cada proveedor de refrigeración qué equipos gestiona remotamente, cómo y con qué autenticación, y verificar que ninguna interfaz de gestión quede expuesta directamente a internet.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

MITRE ATT&CKT0883Internet Accessible Device · Initial Access (ICS)MITRE ATT&CKT0859Valid Accounts · Initial Access / Persistence (ICS)MITRE ATT&CKT0836Modify Parameter · Impair Process Control (ICS)MITRE ATT&CKT0878Alarm Suppression · Inhibit Response Function (ICS)
Qué hacer, fase por fase

Estructurado sobre las seis funciones del NIST CSF 2.0, según el ciclo de respuesta a incidentes de NIST SP 800-61r3 (abril 2025, reemplaza al r2). Proteger y Detectar vienen abiertas.

GV GobernarQuien decide, que se reporta y a quien

La refrigeración gestionada por terceros suele quedar fuera del programa de seguridad corporativo porque el contrato de mantención, no el área de TI, define el modelo de acceso remoto. CERT-FR advirtió además una tensión contractual relevante: algunas pólizas de seguro condicionan la cobertura a mantener la telemetría activa hacia el contratista, lo que puede desincentivar desconectar un equipo expuesto. En Chile, mientras la cadena no esté designada OIE bajo la Ley 21.663, no hay un deber de reporte específico verificado para este tipo de evento, pero sí existe la obligación de gobernanza interna de tratar la OT de terceros como parte del inventario de riesgo de proveedores.

  • Asignar un dueño explícito del riesgo de OT de refrigeración dentro del comité de seguridad o de riesgo operacional, no dejarlo implícito en el contrato de mantención.
  • Exigir por escrito a cada proveedor de refrigeración el detalle de qué equipos gestiona de forma remota, con qué método de acceso y con qué credenciales.
  • Revisar cláusulas de seguro y de contrato antes de decidir cortar la telemetría hacia un contratista, para no quedar expuesto a un vacío de cobertura ni a un riesgo sin mitigar.
ID IdentificarSi esto me toca, por donde me toca

El primer paso real, y el que casi todas las víctimas europeas no habían dado, es saber que estos controladores existen y dónde están. Esto incluye equipos antiguos fuera de garantía que nadie reemplazó porque "seguían funcionando".

  • Levantar un inventario de todo controlador supervisorio de refrigeración (Danfoss AK-SM/AK-SC, Copeland XWEB, Dixell XWEB o equivalentes) por local, incluyendo modelo, versión de firmware y si está en fin de vida.
  • Verificar con cada contratista si algún equipo tiene una dirección IP pública o una interfaz de gestión alcanzable desde internet, usando herramientas de descubrimiento externo (Shodan/Censys) como validación independiente del dato que entregue el proveedor.
  • Mapear qué sistema genera hoy las alarmas de temperatura y si ese sistema depende del mismo controlador que se quiere proteger.
PR ProtegerComo evito que ocurra

Los controles priorizados están detallados en la sección de protección, con esfuerzo y mapeo a marcos para justificar el gasto ante gerencia. La prioridad inmediata, sin excepción, es eliminar la exposición directa a internet; todo lo demás es mejora de arquitectura a mediano plazo.

  • Eliminar en los próximos días la exposición directa a internet de cualquier interfaz de gestión de refrigeración OT.
  • Cambiar credenciales por defecto y activar el nivel de seguridad más estricto que ofrezca el fabricante.
  • Planificar en el trimestre el reemplazo o aislamiento de unidades fuera de soporte que no puedan parchearse.

Controles priorizados

P1: esta semana · P2: este mes · P3: este trimestre

PrioControlEsfuerzoMapeo
P1 Eliminar la exposición directa a internet de las interfaces de gestión de controladores de refrigeración (Danfoss AK-SM/AK-SC, Copeland XWEB, Dixell XWEB y equivalentes) bajo MITRE ATT&CK M1030 CIS Controls v8 12.2 ISO 27001 A.8.20
P1 Cambiar credenciales por defecto y activar el nivel de seguridad más estricto disponible en el equipo bajo MITRE ATT&CK M1027 CIS Controls v8 5.2 ISO 27001 A.8.5
P2 Actualizar unidades AK-SM 8xxA a R4.3.1+ y aislar o reemplazar modelos fuera de soporte (AK-SM 800, AK-SC 355) medio MITRE ATT&CK M1051 CIS Controls v8 7.1 ISO 27001 A.8.8
P2 Desplegar monitoreo de temperatura independiente del controlador supervisorio, en red y plataforma separadas medio MITRE ATT&CK M1047 CIS Controls v8 13.1 ISO 27001 A.8.16
P3 Migrar el acceso remoto de contratistas a VPN con cuentas nombradas, MFA y sesión registrada, reemplazando filtrado por IP como control único alto MITRE ATT&CK M1032 CIS Controls v8 6.2 ISO 27001 A.8.5
P3 Incluir en los contratos de mantención OT cláusulas de actualización de firmware, reemplazo de equipos fin de vida y notificación de incidentes medio MITRE ATT&CK M1016 CIS Controls v8 15.1 ISO 27001 A.5.19

Para una cadena de supermercados, el costo de estos controles es menor al de una sola noche de pérdida de stock refrigerado en un porcentaje relevante de locales, que es exactamente lo que ocurrió en Francia según las cifras citadas (hasta decenas de millones de euros, según un propietario de supermercado citado por Reuters). El mapeo a CIS e ISO 27001 sirve para presentar esto como gestión de riesgo de proveedores, no como gasto de TI discrecional.

DE DetectarComo me doy cuenta de que ya ocurrio

La falla de detección en los casos europeos no fue falta de alertas: fue que el sistema de alertas era el mismo sistema comprometido. La corrección de fondo es monitoreo de temperatura independiente del controlador supervisorio; mientras eso se implementa, hay señales conductuales en la capa de red que sí se pueden vigilar hoy con las reglas de la sección de detección.

  • Desplegar sensores de temperatura inalámbricos o en red separada que reporten a una plataforma distinta del controlador supervisorio.
  • Activar en el firewall/perímetro alertas sobre tráfico entrante desde internet hacia los segmentos de red donde están los controladores de refrigeración.
  • Definir una ventana de mantenimiento documentada, de forma que un cambio de configuración fuera de esa ventana sea, por sí solo, una señal a investigar.

Qué necesitas tener logueado

  • Logs de firewall/perímetro con los segmentos de red de OT de refrigeración correctamente etiquetados en el inventario de activos
  • Logs de concentrador VPN usado para el acceso remoto de contratistas
  • Syslog o exportación de eventos del propio controlador (Danfoss/Copeland/Dixell), cuando el equipo lo soporte
  • CMDB/inventario de activos OT con etiqueta de zona para poder construir las reglas que siguen

Indicadores de compromiso

OjoLos indicadores están defanged (hxxp, [.]) para evitar clics accidentales. El bloque de abajo los trae en crudo, listos para tu lista de bloqueo.
TipoIndicadorConfianzaNota
cve CVE-2025-41450 media CISA ICSA-25-140-03
cve CVE-2025-41451 media CISA ICSA-25-140-03
cve CVE-2025-41452 media CISA ICSA-25-140-03
blocklistIndicadores en crudo 
CVE-2025-41450
CVE-2025-41451
CVE-2025-41452

Reglas y consultas de detección

sigmaConexión entrante desde internet hacia interfaz de gestión de controlador OT de refrigeración 
title: Conexion entrante desde internet hacia controlador OT de refrigeracion
id: b6b5a2d4-7e3f-4b1a-9c2e-8f1d6a3c9b70
status: experimental
description: Detecta trafico entrante desde una zona no confiable hacia segmentos de red etiquetados como OT de refrigeracion, sobre puertos tipicos de interfaces de gestion web (80/443/8080).
logsource:
  category: firewall
  product: firewall
detection:
  selection:
    dst_port:
      - 80
      - 443
      - 8080
    src_zone: 'external'
    dst_zone: 'ot_refrigeracion'
    action: 'allowed'
  condition: selection
falsepositives:
  - Trafico legitimo de VPN mal etiquetado como zona externa
  - Escaneos de superficie externa autorizados por el propio equipo de seguridad
level: high
tags:
  - attack.initial_access
  - attack.t0883
Requiere: Requiere que la red donde viven los controladores de refrigeracion este segmentada y etiquetada como zona 'ot_refrigeracion' en el firewall perimetral; sin ese etiquetado previo la regla no puede escribirse de forma util.
sentinel-kqlTrafico entrante hacia controladores OT de refrigeracion (Azure Firewall / CommonSecurityLog) 
CommonSecurityLog
| where DeviceAction == "Allow"
| where DestinationZone == "ot_refrigeracion"
| where SourceZone == "external"
| where DestinationPort in (80, 443, 8080)
| project TimeGenerated, SourceIP, DestinationIP, DestinationPort, DeviceVendor, DeviceProduct
| sort by TimeGenerated desc
Requiere: Logs de firewall perimetral ingeridos en Sentinel via CommonSecurityLog, con los campos DestinationZone/SourceZone poblados por la convencion de etiquetado del inventario de activos OT.
wazuhAlerta de exposicion externa hacia activo OT de refrigeracion 
<rule id="100910" level="12">
  <if_sid>4100</if_sid>
  <field name="dst_zone">ot_refrigeracion</field>
  <field name="src_zone">external</field>
  <description>Conexion entrante desde zona externa hacia controlador OT de refrigeracion</description>
  <group>ot,ics,refrigeracion</group>
</rule>
Requiere: Decodificador de firewall activo en Wazuh (rule group 4100 o equivalente al dispositivo usado) con los campos de zona de origen/destino mapeados segun el etiquetado del inventario OT.
Falsos positivos esperables

La regla depende enteramente de que el etiquetado de zona 'ot_refrigeracion' en el firewall sea correcto; si la segmentación aún no existe, la regla no genera falsos positivos porque simplemente no puede desplegarse con sentido — y esa es en sí misma la primera brecha a cerrar. Una vez etiquetada la zona, el principal falso positivo esperable es tráfico legítimo de VPN de mantención mal clasificado como zona externa; se corrige ajustando la definición de zonas, no desactivando la regla.

RS ResponderContencion y erradicacion

Si se detecta un setpoint anómalo o un ciclo de descongelamiento no programado, la respuesta debe asumir que la interfaz del controlador puede no ser confiable para revertir el cambio.

  • Aislar de inmediato el controlador afectado de la red (desconexión física si es necesario), sin asumir que el reinicio de fábrica basta: CERT-FR advierte que un reset solo elimina persistencia, no la exposición original.
  • Activar el procedimiento de override manual de compresores y vitrinas a nivel de local, sin depender de la interfaz comprometida.
  • Notificar al contratista de refrigeración y preservar logs de acceso remoto antes de que se sobrescriban.
  • Aplicar el protocolo de inocuidad alimentaria: evaluar y, si corresponde, descartar stock cuya cadena de frío no pueda garantizarse, documentando la decisión para el seguro y para la autoridad sanitaria.
RC RecuperarVolver a operar y no repetirlo

La recuperación no termina con el parche: requiere trabajo físico y de arquitectura, como señalan CERT-FR y los propios contratistas de refrigeración citados en la nota de CSA.

  • Actualizar los equipos Danfoss AK-SM 8xxA a la versión R4.3.1 o superior; para modelos sin soporte (AK-SM 800, AK-SC 355) planificar reemplazo, no solo aislamiento temporal.
  • Rediseñar el acceso remoto de contratistas sobre VPN con cuentas nombradas, MFA y sesiones registradas, en vez de exposición directa o reglas de firewall por IP de origen como única barrera.
  • Incorporar en los contratos de mantención cláusulas de actualización de firmware, plazos de reemplazo de equipos fin de vida y obligación de notificación de incidentes.
  • Hacer un ejercicio posterior al incidente que confirme si el monitoreo de temperatura quedó realmente independiente del controlador supervisorio.

Llévatelo

Lo de arriba explica. Esto se ejecuta. Son archivos, no capturas de pantalla: se abren, se pegan y funcionan.

Una página · PDF Qué hacer esta semana 2 controles de prioridad 1, con checkbox. Para imprimir y llevar a la reunión del lunes. Reglas · TXT Reglas de detección 3 reglas listas para pegar — Sigma, Sentinel, Wazuh. Indicadores · CSV IOC de esta pieza 3 indicadores con tipo, confianza y fuente. Importable a tu SIEM o firewall.

La regla Sigma es la canónica: es el formato neutral del que se derivan las demás. Si tu SIEM no aparece en la lista, esa se convierte con pySigma. Las traducciones a motores concretos van sin validar contra tu modelo de datos — revisa los nombres de tabla y campo antes de subirlas a producción.

Fuentes

¿Esto te aplica y no sabes por dónde partir?

Revisamos tu exposición real frente a lo que describe este análisis: superficie expuesta, cobertura de detección y brechas frente a la Ley 21.663. Diagnóstico de 15 minutos, sin costo.

Agendar diagnóstico

Relacionado

research

Nueve plataformas PaaS filtran llaves de IA en Black October

Wiz Research documentó cómo llaves de Amazon Bedrock robadas en Northflank, Railway y Zeabur terminaron en mercados de r…

02-11-2026
research

IA de laboratorios frontera escapó y comprometió infraestructura de terceros

Un whitepaper de CSA Labs reconstruye siete incidentes de OpenAI, Anthropic y Meta entre julio y octubre de 2026 en que…

01-11-2026
research

Agente autónomo Skynet secuestra modelos de IA expuestos para atacar

Symantec capturó en un honeypot la configuración completa de un agente que planea escaneo, explotación y minería de crip…

25-10-2026