Fecha: 9 de noviembre de 2026
Qué ha pasado
Cinco agencias del Gobierno de Estados Unidos —CISA, el FBI, el Departamento de Salud (HHS), el Departamento de Agricultura (USDA) y el Departamento de Transporte (DOT)— publicaron el 5 de noviembre de 2026 una advertencia conjunta: actores maliciosos están atacando de forma activa los sistemas industriales de refrigeración y de monitorización de la cadena de frío en todo el mundo.
No es una advertencia teórica. En las últimas semanas, atacantes han golpeado cientos de supermercados en Europa manipulando a distancia los controladores de refrigeración: subieron las temperaturas hasta los 50 °C en algunos casos o forzaron las cámaras a entrar en modo de descongelación continuo, echando a perder la mercancía. Los objetivos van desde grandes cadenas hasta pequeños comercios y carnicerías en doce países europeos, entre ellos Francia, Alemania, Italia y Reino Unido.
El caso más grave no fue un supermercado. El 3 de noviembre, el Establecimiento Francés de Sangre (EFS) confirmó que un ciberincidente en un proveedor de equipos de refrigeración alteró los ajustes de temperatura y descongelación hasta niveles «extremadamente altos» en tres instalaciones donde se almacena plasma sanguíneo. El Pentágono investiga además fallos recientes en congeladores de al menos seis economatos de bases militares estadounidenses, y grupos hacktivistas prorrusos reivindicaron esta semana los ataques europeos. La atribución sigue sin confirmarse oficialmente.
Cómo atacan: la nevera conectada a internet
La puerta de entrada es simple: controladores de temperatura y sistemas de gestión de la refrigeración expuestos directamente a internet, sin parchear o con configuraciones débiles. Según el aviso conjunto, los atacantes explotan tres tipos de debilidad:
- Bypass de autenticación, para entrar en el controlador sin credenciales válidas.
- Inyección de código arbitrario, para ejecutar sus propias instrucciones en el equipo.
- Configuraciones débiles, como contraseñas por defecto o accesos remotos innecesarios.
Una vez dentro, no roban datos ni cifran nada: cambian los ajustes. Fuerzan ciclos continuos de calentamiento y descongelación, lo que puede provocar pérdida de inventario, daños en los equipos, riesgo de incendio y que productos conservados a temperatura insegura lleguen al consumidor. También pueden dejar al operador ciego: el aviso advierte de la pérdida de visibilidad sobre las temperaturas reales, una condición de denegación de visión que impide detectar el sabotaje a tiempo.
La superficie expuesta sigue siendo enorme. Datos de Censys muestran que las instancias de Danfoss StoreView accesibles desde internet bajaron de 3.004 a 708 entre el 9 de octubre y el 5 de noviembre de 2026, y las de Copeland/Dixell XWEB de 3.708 a 2.420. La agencia francesa CERT-FR incluye en su lista los controladores Danfoss AK-SM y AK-SC y los Copeland XWEB y Dixell XWEB. Conviene matizar: en esta misma familia de equipos existe un fallo conocido de bypass de autenticación, CVE-2025-41450, con CVSS 8.2 en el Danfoss AK-SM 800A, pero ninguna fuente oficial lo ha vinculado a estos ataques, y el aviso de las cinco agencias no nombra ningún CVE, producto ni actor concreto.
Por qué importa: el ciberataque con consecuencias físicas
Esta campaña rompe el molde habitual del ciberdelito. No hay ransomware, ni robo de credenciales, ni extorsión: el objetivo es el efecto físico. La refrigeración industrial protege alimentos y medicamentos; sabotearla es atacar la cadena de suministro y la salud pública a la vez. Como dijo el director de operaciones cibernéticas del FBI, Brett Leatherman, estos sistemas «protegen alimentos, medicamentos y otros productos sensibles a la temperatura, lo que los convierte en objetivos atractivos para actores maliciosos».
Qué hacer: las mitigaciones que piden las agencias
El aviso conjunto urge a propietarios y operadores a actuar de inmediato:
- Eliminar la exposición pública a internet: ningún panel de control debe ser accesible desde la red pública. Si el acceso remoto es imprescindible, debe pasar por un cortafuegos o dispositivo perimetral actualizado.
- Aislar la tecnología operativa: crear una VLAN dedicada de OT, separada de la red de negocio.
- Endurecer las credenciales: cambiar las contraseñas por defecto y aplicar MFA resistente al phishing donde sea posible.
- Parchear y retirar lo obsoleto: mantener el firmware actualizado y retirar los equipos al final de su vida útil (EOL) sin soporte del fabricante.
- Restringir el acceso: permitir solo los dispositivos y direcciones IP autorizados para modificar ajustes (allowlisting).
- Copias de seguridad: mantener backups actuales fuera del sitio y sin conexión, y probarlos.
- Monitorizar y alertar: activar el registro de eventos y definir límites de temperatura razonables con alertas ante desviaciones.
Ángulo Blue Team: qué vigilaría un SOC
Para un equipo de defensa, esta campaña recuerda que la OT ya no es un mundo aparte. Lo primero es el inventario: descubrir qué controladores de refrigeración, climatización o similares están expuestos a internet en la propia organización, con herramientas como Censys o Shodan, y tratar cada hallazgo como un incidente en potencia.
Lo que delata este ataque no es malware, sino comportamiento: un cambio de setpoint de temperatura fuera de una ventana de mantenimiento, una conexión al controlador desde una IP que no pertenece al proveedor de mantenimiento, o un hueco repentino en la telemetría de temperaturas. Esas tres señales merecen reglas de detección propias y alertas de alta prioridad, porque el daño físico llega en horas, no en días.
En respuesta, el plan debe contemplar el escenario físico: quién verifica la temperatura real si la telemetría miente, cómo se aísla un controlador comprometido sin perder la cadena de frío y a quién se avisa —incluido el proveedor del equipo— antes de que el inventario se pierda. La refrigeración no suele estar en los planes de respuesta a incidentes. Después de esta semana, debería estarlo.
Fuentes
- The Hacker News — «U.S. Agencies Warn Refrigeration Controller Attacks Could Cause Fires and Inventory Losses» (9 de noviembre de 2026): https://thehackernews.com/2026/11/us-agencies-warn-refrigeration.html
- CISA — «US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems» (5 de noviembre de 2026): https://www.cisa.gov/resources-tools/resources/us-government-partners-urge-hardening-industrial-refrigeration-and-cold-chain-monitoring-systems
- SC Media — «FBI, CISA warn of cyberattacks targeting refrigeration systems» (6 de noviembre de 2026): https://www.scworld.com/news/fbi-cisa-warn-of-cyberattacks-targeting-refrigeration-systems
- RedEye Security — «FBI and CISA Warn of Active Attacks on Refrigeration Controllers After European Supermarket and Blood Storage Hits»: https://threat-intelligence.redeyesecurity.com/blog/fbi-cisa-refrigeration-controller-attacks-2026
- Kinosec — «Someone Is Turning Supermarket Freezers Into Ovens»: https://kinosec.ai/articles/refrigeration-controller-attacks-danfoss-xweb-cisa-fbi-warning