Un patrón que se repite
En la noche del 11 al 12 de octubre de 2026, cientos de supermercados franceses, Intermarché, Netto y cadenas del grupo U, descubrieron al amanecer que sus equipos de refrigeración habían operado en modo de descongelación continua durante varias horas. El mecanismo es clave para entender la magnitud del daño: los controladores comprometidos activaron las resistencias calefactoras integradas en las unidades de refrigeración. Estas resistencias, diseñadas para eliminar el hielo de forma periódica, se vuelven destructivas cuando operan en bucle sin supervisión; algunas unidades alcanzaron los 50 °C. Las pérdidas de producto fueron masivas en todos los establecimientos afectados.
Tres semanas después, el 2 de noviembre, el mismo método volvió a golpear. Bélgica, Luxemburgo, Suecia e Irlanda: Ahold Delhaize, Colruyt, ICA, Coop y los franquiciados de Musgrave/SuperValu reportaron incidentes similares. Hasta la fecha, ningún grupo ha reivindicado ninguna de las dos campañas.
La misma vulnerabilidad, la misma inacción
Ambas oleadas explotaron el mismo vector de ataque. Los controladores Danfoss (serie AK-SM 800A) y sus equivalentes Copeland/Dixell XWEB exponían un servidor web accesible directamente desde Internet, en muchos establecimientos, con las credenciales configuradas por defecto en el momento de la instalación. Tres vulnerabilidades críticas habían sido documentadas por los investigadores de Claroty en agosto de 2026, más de dos meses antes de la primera campaña. No habían sido corregidas.
El CERT-FR había emitido una alerta el 12 de octubre. Evidentemente, no fue suficiente para impulsar las actualizaciones en todo el parque europeo durante las semanas siguientes. El resultado fue que el mismo exploit pudo ejecutarse de nuevo, sin modificaciones, sobre un perímetro geográfico completamente nuevo.
Lo que la detección comportamental podría haber evitado
Un aumento térmico de -18 °C a 50 °C en pocas horas representa una anomalía estadísticamente incontestable en la telemetría de cualquier equipo de refrigeración. Para un modelo de aprendizaje automático entrenado con datos OT de campo, esta señal es trivial de identificar, bastante más que una intrusión de red capaz de camuflarse en tráfico legítimo.
Plataformas especializadas en la monitorización de entornos industriales, Claroty, Dragos, Nozomi Networks o Sentryo, ahora integrado en Cisco, ofrecen precisamente este tipo de línea base comportamental. Aprenden los ciclos normales de cada equipo, incluidos los descongelamientos programados, y generan alertas en cuanto un comportamiento se desvía de forma significativa. Una alerta emitida pocos minutos después del inicio del incidente habría permitido aislar el equipo de forma remota y limitar los daños, en lugar de descubrirlos al amanecer.
La IA no sustituye la actualización de un firmware vulnerable. Pero actúa como última red de seguridad operacional cuando el parche aún no se ha desplegado, y en entornos OT, las ventanas de retraso se miden habitualmente en semanas o en meses.
El coste real de ignorar la seguridad OT
La convergencia IT/OT es ya una realidad operativa para la distribución minorista, la industria manufacturera, los gestores de edificios y los centros sanitarios. Estos activos físicos, reguladores de temperatura, autómatas, controladores HVAC, comparten hoy la misma infraestructura de red que servidores y estaciones de trabajo. Rara vez reciben el mismo nivel de supervisión.
Las obligaciones de la directiva NIS2, aplicables a las entidades esenciales e importantes, exigen explícitamente una gestión de riesgos que cubra los activos físicos conectados. Para las organizaciones que aún no han inventariado su parque OT ni desplegado detección comportamental, estas dos campañas constituyen una advertencia concreta: la próxima vez, puede que no sean cámaras frigoríficas lo que esté en juego.