La agencia francesa de ciberseguridad CERT-FR advierte de una serie de intrusiones en los sistemas que controlan instalaciones de refrigeración comercial. Su alerta, actualizada el 13 de octubre de 2026, confirma compromisos de equipos de Danfoss (series AK-SM y AK-SC), Copeland XWEB y Dixell XWEB y señala que las campañas probablemente siguen en curso. No identifica a los responsables ni confirma que todas las intrusiones usaran el mismo método.
La recomendación práctica es inmediata para quienes gestionen estos equipos: no dejar sus paneles de administración expuestos directamente a Internet. Si ya hay indicios de intrusión, el CERT-FR aconseja aislarlos y seguir un procedimiento de recuperación, no limitarse a reiniciarlos. Son controladores industriales conectados a cámaras, vitrinas y congeladores; manipularlos sin coordinarse con el responsable técnico también puede interrumpir la cadena de frío.
Qué sistemas están afectados por la alerta
El aviso oficial CERTFR-2026-ALE-012 apareció inicialmente el 12 de octubre y se amplió al día siguiente para incluir más fabricantes. El CERT-FR afirma conocer numerosas intrusiones en controladores remotos de refrigeración de las familias Danfoss AK-SM y AK-SC, Copeland XWEB y Dixell XWEB.
Estos equipos permiten supervisar a distancia temperaturas, alarmas y otros parámetros de una instalación. Esa conectividad ayuda al mantenimiento, pero convierte una interfaz administrativa accesible desde Internet en un punto de entrada especialmente delicado. En un sistema de refrigeración, el impacto no se queda en el ordenador infectado: cambios no autorizados de configuración o pérdida de control pueden poner en riesgo productos y operaciones.
La alerta francesa no publica un recuento completo de tiendas afectadas ni atribuye el ataque a un grupo concreto. Tampoco dice que todos los modelos enumerados tengan la misma vulnerabilidad. La conclusión verificable es más acotada: hay varios modelos comprometidos y las campañas podrían continuar, por lo que las organizaciones deben comprobar la exposición de sus propios equipos.
La primera medida: cerrar la administración pública
Para instalaciones que no muestran señales de compromiso, el CERT-FR pide retirar de Internet las unidades afectadas y cualquier otro controlador de refrigeración que tenga una dirección IP pública. Si la administración remota es imprescindible, el acceso debe recuperarse únicamente a través de una VPN segura o una red protegida. Como medida de urgencia puede filtrarse el acceso a las direcciones IP de los proveedores de mantenimiento, pero el CERT-FR no considera esa solución un sustituto permanente de una arquitectura de acceso segura.
Antes de cambiar conexiones conviene coordinarse con el proveedor frigorista y comprobar las obligaciones de monitorización y seguro: cortar sin planificación la telemetría puede dejar a los técnicos sin supervisión remota. Eso no justifica mantener una consola administrativa abierta a todo Internet. La recomendación es restringir el acceso a redes y equipos de confianza y verificar después que no se haya dejado una segunda unidad expuesta.
Si hay indicios de intrusión, un restablecimiento no basta
Para equipos comprometidos o sospechosos, el boletín propone primero sacarlos de la zona de riesgo: eliminar la exposición pública y restaurar el equipo a valores de fábrica. Después, hay que reactivar el servicio solo por una VPN o una red protegida, reconfigurarlo y aplicar el firmware y las prácticas de seguridad que indique el fabricante.
El aviso incluye una advertencia importante: el restablecimiento de fábrica puede borrar persistencias del atacante, pero no corrige por sí mismo una versión vulnerable. Si el dispositivo vuelve a conectarse con firmware sin corregir y una interfaz pública, podría ser comprometido de nuevo. También hay que revisar usuarios y contraseñas, rotar secretos cuando corresponda y comprobar la configuración completa antes de devolverlo a producción.
Las intervenciones deben planificarse con personal que conozca el equipo y la instalación. Una fábrica puede tener controladores en varias cámaras o áreas; aislar o restaurar el dispositivo equivocado puede alterar la refrigeración. El orden recomendado es contener la exposición, preservar la operación segura y recuperar cada sistema de manera controlada.
Qué se sabe de las vulnerabilidades de Danfoss
La investigación pública de Claroty Team82 documentó en agosto de 2026 fallos en la interfaz web del controlador Danfoss AK-SM 800A: un mecanismo oculto que podía eludir la autenticación normal, una inyección de comandos que podía permitir ejecución remota de código después de autenticarse y un problema con la configuración de Nginx capaz de provocar denegación de servicio. Claroty indicó que Danfoss corrigió esos fallos en el firmware R4.3.1.
La propia página de avisos de seguridad de Danfoss identifica CVE-2025-41450, CVE-2025-41451 y CVE-2025-41452 para versiones anteriores a las corregidas. Su página de firmware de AK-SM 800A permite consultar las versiones disponibles y describe el modo de seguridad estricto.
Pero no hay base para afirmar que esos CVE concretos expliquen todas las intrusiones que recoge ahora el CERT-FR: la alerta cubre varias familias de producto y no especifica un vector único. Los administradores deben comprobar modelo y versión exactos con el fabricante, instalar únicamente actualizaciones compatibles y no dar por protegido un sistema solo porque se haya reiniciado.
Un aviso para la seguridad industrial, no solo para tiendas
El incidente muestra por qué los sistemas de tecnología operativa necesitan controles distintos de los de un PC de oficina. Un panel de refrigeración remoto forma parte de la infraestructura física de una tienda o almacén. La segmentación de red, las cuentas de mantenimiento, el firmware y la exposición de servicios web son tan relevantes como la seguridad de los terminales corporativos.
La alerta del CERT-FR no confirma que tiendas españolas estén afectadas ni que el incidente haya comprometido datos de clientes. Tampoco identifica autoría. Por ahora, lo útil para empresas que empleen sistemas similares es inventariar los controladores, retirar interfaces públicas, limitar accesos remotos y consultar las instrucciones de cada fabricante. Para equipos ya comprometidos, la recuperación debe incluir actualización y reconfiguración antes de volver a conectarlos.
