Únete al equipo de Lobera
Contacta con el equipo de Lobera
Guerra fría
Portada
La noche del 11 al 12 de octubre, unos atacantes alteraron a distancia la refrigeración de cientos de supermercados franceses. El 2 de noviembre ocurrió lo mismo en Bélgica, Luxemburgo, Países Bajos, Suecia, Finlandia, Estonia e Irlanda. Nadie lo ha reivindicado. Los indicios apuntan a Rusia. Este informe reconstruye la campaña, su contexto y la exposición que persiste en Europa, también en España.
Un congelador de supermercado trabaja a −18 °C día y noche, también con la tienda cerrada.
La noche del 11 al 12 de octubre, cientos de congeladores empezaron a calentarse a la vez en supermercados de toda Francia.
Los atacantes no entraron en las tiendas. Cambiaron a distancia la configuración de los controladores que gobiernan el frío.
Por la mañana, algunos equipos marcaban +50 °C y hubo que retirar la mercancía.
El 2 de noviembre, los ataques se repitieron en siete países europeos.
Las conclusiones del informe, antes de los detalles. Cada afirmación se desarrolla y se documenta más abajo.
Entre la noche del domingo 11 y la mañana del lunes 12 de octubre, cientos de supermercados franceses perdieron el control de su refrigeración. Los atacantes actuaron a distancia, sobre los controladores que gobiernan el frío.
El lunes 12 de octubre, el repartidor que abrió el almacén de un Intermarché en Gradignan, a las afueras de Burdeos, lo encontró inundado: los rociadores contra incendios se habían activado durante la noche. Su propietario, Charles Dezon, calculó la pérdida en 21.000 euros de mercancía, a precio de compra.1 Esa misma noche, cientos de supermercados de toda Francia habían sufrido un ataque contra sus sistemas de refrigeración.
Reuters informó de neveras y congeladores calentados a distancia en todo el país, con temperaturas de hasta 50 °C, incendios y alimentos echados a perder. En unas 150 tiendas de Intermarché, los equipos pasaron seis horas calentándose, hasta alcanzar los 50 °C. Carrefour contabilizó 80 supermercados afectados y Monoprix, el 5 % de su red. La fiscalía de París abrió una investigación por un ataque «a gran escala».2
Al día siguiente, el ministro de Economía, Roland Lescure, dio ante la Asamblea Nacional la primera cifra oficial: unos 700 supermercados de los cerca de 10.000 del país. Afirmó que el ataque afectaba «al corazón de nuestra seguridad alimentaria».3
Cada cuadrado equivale a diez supermercados franceses. En rojo, los afectados según la estimación del Gobierno.
supermercados afectados de unos 10.000, según el ministro de Economía el 13 de octubre.3
Estimación oficial, no recuento técnico. La posición de los cuadrados rojos es ilustrativa.
Un supermercado no regula sus vitrinas una a una. Lo hace con un controlador central que reúne las temperaturas, las alarmas y los horarios de decenas de equipos, y que el técnico de mantenimiento puede manejar a distancia. El gráfico siguiente es una recreación conceptual: no reproduce datos de ningún establecimiento y sirve para explicar el mecanismo.
Curva ilustrativa del aire de un congelador. Horas y valores orientativos; el máximo recoge las temperaturas reportadas en Francia.
Con la tienda cerrada, el congelador mantiene el aire en torno a −18 °C. Lo gobierna un controlador que vigila temperaturas, alarmas y horarios.
Varias veces al día, una resistencia junto al evaporador se enciende para derretir la escarcha. La temperatura sube unos minutos y una sonda corta el ciclo. Es el calor que el congelador lleva dentro.
Con acceso al controlador, el desescarche se fuerza y se amplían los límites que deberían detenerlo. Según Le Monde, los ciclos pasaron de una a ocho horas para retrasar las alarmas.4 BFM TV describió desescarches forzados a distancia en numerosas tiendas.5 La resistencia sigue calentando.
La normativa europea exige −18 °C y solo admite subidas breves de hasta 3 °C en transporte y vitrinas.6 Superado ese margen, decide el responsable de seguridad alimentaria, que normalmente ordena retirar el producto.
Intermarché describió unas 150 tiendas con seis horas de calentamiento.2 Esos 50 °C son la lectura del aire junto al evaporador; el producto se calienta más despacio, pero ya no es vendible. Algunos equipos llegaron a arder: en Gradignan, los rociadores inundaron el almacén.1
El equipo vuelve a enfriar en minutos. Recuperar la tienda lleva días: revisar cada instalación, retirar el producto, documentar las pérdidas y reponer.
Un congelador de supermercado no solo enfría. Cada pocas horas, una resistencia eléctrica junto al evaporador se enciende para derretir la escarcha que se forma sobre el serpentín. Es el ciclo de desescarche, parte del funcionamiento normal de cualquier vitrina de frío. Dura unos minutos y lo corta una sonda cuando el serpentín alcanza la temperatura fijada —de fábrica, unos 10 °C en los controladores de estas marcas—, con un temporizador de seguridad por detrás.7
La campaña de octubre se apoyó en ese calor que la máquina ya lleva dentro. Thierry Cotillard, presidente de Intermarché, describió ante BFM TV cómo los atacantes lograron «poner en desescarche todos nuestros muebles de frío y subirlos hasta los 50 °C».5 Según Le Monde, los ciclos de desescarche se alargaron de una hora a ocho para retrasar las alarmas.4 La asociación belga del sector, Sabcobel, describió el mismo patrón un mes después: evaporadores forzados a desescarche desde controladores accesibles por Internet.8 Con las protecciones del controlador ampliadas, la resistencia siguió calentando durante horas en lugar de minutos.
Los 50 °C que recogieron varios países son la lectura de la sonda de aire, pegada al evaporador, que es donde está la resistencia. El producto, con mucha más masa, se calienta despacio y no llega a esa temperatura. Tampoco hace falta: la cadena de frío se rompe al cruzar los −15 °C, y a partir de ahí el responsable de seguridad alimentaria retira la mercancía. Subir la temperatura de consigna, por sí sola, no habría calentado nada: solo apaga el compresor y deja que el mueble derive hacia la temperatura de la tienda. El daño vino del circuito de desescarche.
Un desescarche normal está acotado por cuatro ajustes del controlador. La campaña amplió esos márgenes hasta que la resistencia dejó de pararse.
Detiene el calor cuando el serpentín llega a unos 10 °C.
Elevada: el corte no salta y la resistencia continúa.
Un tope de seguridad corta el desescarche en minutos.
Alargada de una hora a ocho, según Le Monde.
Avisan al mantenedor en cuanto la temperatura se dispara.
Retrasadas: el aviso no llega a tiempo de noche.
Fija el frío en −18 °C, con un tope de fábrica.
Aunque se suba al máximo, apaga el frío; no calienta.
El aviso oficial llegó el mismo día 12. CERT-FR, el equipo de respuesta de la agencia francesa de ciberseguridad (ANSSI), publicó una alerta que amplió el 13 y el 16 de octubre. Informaba de «numerosos compromisos» en controladores Danfoss de las series AK-SM y AK-SC y en sistemas Copeland y Dixell XWEB. Pedía retirar esas interfaces de Internet, recuperar el acceso solo mediante una VPN segura, cambiar las contraseñas de fábrica y revisar los horarios de desescarche.10
La lista de equipos señala el elemento común entre las víctimas: cadenas distintas y varias marcas de controlador, todas con interfaces de gestión accesibles desde Internet.
Pérdidas declaradas por establecimientos afectados. Todavía no existe una cifra oficial consolidada.
Es una llamada de atención para todos.
Antes de Francia hubo fallos sospechosos en bases militares de Estados Unidos. El 2 de noviembre, los ataques se repitieron en Bélgica, Luxemburgo, Países Bajos, Suecia, Finlandia, Estonia e Irlanda.
Fallan los congeladores de al menos seis comisariatos, los supermercados de las bases militares. En Fort Huachuca (Arizona), uno «entró en modo desescarche» el 26 de agosto. El 29 de octubre, Reuters reveló que el Pentágono lo investiga como un posible ciberataque, en contacto con la policía francesa.13 14
Una segunda noche alcanza tiendas con controladores Dixell, y CERT-FR añade equipos a su alerta.10 15 Un analista de la empresa Sekoia dijo a Reuters que España, Portugal, Polonia, Alemania y Bélgica también estaban afectadas. Ninguna autoridad nacional lo ha confirmado.2
En trazo discontinuo, países donde Lobera observa la misma familia de interfaces de gestión expuestas a Internet. España está entre ellos. Los datos, en el capítulo 08.
Según la cadena Selver, su único establecimiento afectado era el último que aún no tenía el sistema nuevo. La empresa de mantenimiento vio cómo alguien ponía un controlador Danfoss antiguo a 50 °C e intervino en diez minutos. Su director afirmó que «la firma es la misma» que en otros clientes atacados.20
Hecho atribuido · ERRLa asociación del sector del frío, Sabcobel, describió el mismo mecanismo que en Francia: evaporadores forzados a desescarche y controladores accesibles desde Internet. Según Sabcobel, la reparación exige cambios físicos en las instalaciones. La fiscalía federal investiga.8
Hecho atribuido · VRTMusgrave detectó problemas en 13 de sus 223 tiendas SuperValu, todas con un modelo concreto de refrigeración, y retiró refrigerados y congelados. Por la tarde dio el incidente por resuelto.21
Hecho atribuido · RTÉTres elementos indican una campaña organizada. Los incidentes fueron simultáneos, de madrugada, en cadenas y países distintos. Afectaron a la misma tecnología: los tipos de controlador se repiten en los avisos oficiales y en los relatos de los técnicos. Y nadie los ha reivindicado ni ha pedido un rescate.
La Comisión Europea los trata como ataques deliberados. El comisario de Agricultura, Christophe Hansen, habló el 2 de noviembre de «un intento deliberado de perturbar nuestra cadena de suministro alimentario».22
La rapidez de la detección determinó el daño. En Estonia, la empresa de mantenimiento corrigió la temperatura en diez minutos; en Francia, muchos equipos pasaron horas a 50 °C. La diferencia dependió de quién recibía las alarmas, cuánto tardaba en actuar y si existía un procedimiento ensayado (capítulo 11).
La conversión de la comida en arma se ha hecho realidad.
Entre 2024 y 2026, gobiernos y tribunales europeos han atribuido a Rusia sabotajes, incendios y ciberataques contra infraestructuras civiles. Los ataques a la refrigeración encajan en ese patrón.
La Unión Europea lleva años describiendo este tipo de actividad. En julio de 2025 condenó las «campañas híbridas persistentes» de Rusia, que incluyen sabotajes, perturbación de infraestructuras críticas, ataques físicos, operaciones informáticas y manipulación informativa, y las relacionó con el apoyo europeo a Ucrania.23 El director del servicio de inteligencia británico MI5 afirmó en 2024 que el GRU, la inteligencia militar rusa, mantiene «una misión sostenida para generar caos en las calles británicas y europeas».24 En octubre de 2026 añadió que Rusia está intensificando de nuevo esa actividad.25
La guerra híbrida se desarrolla en un continuo. En un extremo están la desinformación y la injerencia política; en el otro, el sabotaje físico de infraestructuras. Las acciones se mantienen por debajo del umbral de un ataque armado, el que obligaría a una respuesta militar, y cada una por separado es limitada y difícil de atribuir. Según el servicio de inteligencia interior alemán, su objetivo es «sembrar inseguridad y propagar miedo».26
Tipos de acción ordenados por intensidad, con ejemplos documentados en Europa y Norteamérica. Los ataques a la cadena de frío se sitúan en la franja de ciberataques con efectos físicos.
El mapa siguiente reúne 33 episodios ocurridos entre 2024 y 2026, cada uno con su fuente pública. El color indica el tipo de acción y el relleno, el grado de atribución.
Los círculos rellenos son episodios atribuidos por un gobierno o un tribunal; los huecos, sospechas oficiales o reivindicaciones; los discontinuos, casos sin atribuir. Los anillos marcan la distancia a Moscú.
En Dinamarca reventaron las tuberías de una potabilizadora.29 En Noruega, la válvula de una presa quedó abierta durante cuatro horas. En Polonia, más de treinta instalaciones renovables sufrieron un ataque destructivo que el Reino Unido y la UE atribuyen al FSB.30
Aeropuertos cerrados por drones, aviones sin señal GPS, cables submarinos dañados por anclas. En estos casos la atribución suele quedarse en sospecha, porque los medios empleados permiten negar la autoría con facilidad.
Los ataques a la refrigeración, en naranja, no tienen todavía autor oficial. Se concentran en países que ya figuran en el mapa por otros episodios de la campaña híbrida.
Selección de Lobera a partir de fuentes públicas. No es un censo exhaustivo y no permite medir tendencias.
El régimen [ruso] utiliza un sabotaje que roza el terrorismo de Estado para sembrar miedo en Europa.
Nadie ha reivindicado los ataques y ningún gobierno ha señalado a un responsable. Analizamos las hipótesis con la evidencia pública disponible.
Tres semanas después del primer ataque, la autoría sigue sin aclararse en público. Nadie lo ha reivindicado ni ha pedido un rescate, y según Reuters los investigadores están «desconcertados».38 El 2 de noviembre, la portavoz del centro belga de ciberseguridad declaró que no se sabe quién está detrás «y puede que nunca se determine».22 El Kremlin niega de forma sistemática cualquier implicación en sabotajes en Europa.
Atribuir un ciberataque es un proceso lento. Exige reconstruir accesos, infraestructura y herramientas, y a menudo intercambiar inteligencia entre países: Dinamarca tardó un año en atribuir el ataque contra una de sus potabilizadoras.29 Mientras tanto, las empresas necesitan decidir cómo protegerse. El análisis de inteligencia permite ordenar las hipótesis con la evidencia disponible antes de que llegue una atribución oficial.
Hemos aplicado el análisis de hipótesis en competencia, una técnica habitual en inteligencia. Cada evidencia se contrasta con todas las hipótesis y se valora si es coherente o incoherente con cada una. La hipótesis más sólida es la que acumula menos incoherencias, porque una evidencia contraria pesa más que varias favorables.
Cada celda indica la coherencia de una evidencia con una hipótesis. La fila final suma solo las incoherencias.
| Evidencia ↓ · Hipótesis → | H1Operación del Estado ruso, directa o a través de intermediarios | H2Hacktivistas prorrusos actuando por su cuenta | H3Irán o actores afines | H4Delincuencia con ánimo de lucro o vandalismo | H5Fallo técnico o accidente |
|---|---|---|---|---|---|
| Cientos de tiendas y varias marcas de controlador alteradas en una noche | + | + | + | + | −− |
| Repetición coordinada el 2 de noviembre en siete países | ++ | + | + | 0 | −− |
| Nadie lo reivindica en tres semanas | + | −− | − | − | + |
| Ningún rescate ni intento de extorsión | + | + | + | −− | 0 |
| Objetivo civil, barato y de alto impacto psicológico: la comida | ++ | + | + | − | 0 |
| Geografía europea que coincide con la campaña híbrida rusa documentada | ++ | + | − | 0 | − |
| También fallan comisariatos de bases militares de EE. UU. | + | 0 | ++ | − | 0 |
| Precedente: un grupo «fundado y financiado» por el GRU ya manipuló una planta cárnica (2024) | ++ | + | 0 | 0 | 0 |
| Técnica sencilla: exposición a Internet y contraseñas débiles | 0 | + | + | + | 0 |
| Momento: Europa en plena ola de protestas, tras las sanciones de julio a redes cibernéticas rusas | + | + | 0 | 0 | 0 |
| Puntuación de incoherencia (cuanto más cerca de 0, mejor resiste la hipótesis) | 0 | -2 | -2 | -5 | -5 |
Valoraciones de Lobera sobre fuentes abiertas a 2 de noviembre de 2026. Es un método de razonamiento estructurado; nueva evidencia puede cambiar el resultado.
Del análisis se desprenden tres conclusiones.
La hipótesis de una operación rusa es la única sin incoherencias. Es compatible con la falta de reivindicación, porque un Estado no necesita atribuirse el ataque, mientras que los grupos hacktivistas suelen difundir sus acciones. También lo es con la ausencia de rescate, con el tipo de objetivo y con la geografía de los ataques.
La distinción entre Estado y grupos hacktivistas es difusa. Según la justicia estadounidense, CARR fue «fundado y financiado» por el GRU,33 y procesos judiciales en Europa documentan cómo Rusia recluta autores materiales locales a través de intermediarios.31 El 21 de octubre, sin referirse expresamente a los supermercados, el secretario general de Defensa y Seguridad Nacional francés habló ante el Senado de la «masificación» de las amenazas híbridas y de una «pequeña delincuencia joven y local».9 La detención de un autor material no aclararía por sí sola quién encargó el ataque.
Irán es la principal hipótesis alternativa. La guerra de 2026 le da un motivo y los ataques a comisariatos militares estadounidenses encajan con él. Sin embargo, los grupos vinculados a Teherán suelen exhibir sus ataques (en 2023 mostraron mensajes en las pantallas de los controladores que comprometieron) y la geografía europea de esta campaña encaja peor con sus objetivos habituales.39
Es probable que la campaña contra la cadena de frío europea responda a una operación alineada con el Estado ruso, ejecutada directamente o a través de intermediarios.
Un grupo «fundado y financiado» por el GRU (CARR) manipuló los sistemas de una planta cárnica en Los Ángeles y de depósitos de agua en Texas.33 35
La inteligencia militar danesa atribuyó a Z-Pentest, con vínculos con el Estado ruso, el ataque contra una potabilizadora.29
El Reino Unido y la UE atribuyen al Centro 16 del FSB el ataque destructivo contra más de treinta instalaciones renovables polacas.30
El Consejo de la UE describe una campaña rusa de sabotajes y perturbación de infraestructuras críticas en Europa.23
El MI5 británico alerta de que los servicios rusos están intensificando de nuevo su guerra híbrida.25
Moderada. El juicio se basa en el patrón de los ataques, el contexto y los precedentes. Las pruebas forenses del caso no son públicas.
Posibilidad realista de que la oleada del 2 de noviembre incluya imitadores que aprovechan la misma debilidad. Improbable que se trate de delincuencia con ánimo de lucro. Posibilidad remota de un fallo técnico.
Una reivindicación creíble de otro actor, una petición de rescate, vínculos forenses con la infraestructura de otro Estado o detenciones que revelen otro móvil.
Escala de probabilidad basada en la que usa la comunidad de inteligencia británica. A 2 de noviembre de 2026, ningún gobierno ha atribuido estos ataques.
Los ataques coincidieron con disturbios, huelgas, precios récord del combustible y temporales en media Europa. Cuando varias crisis se superponen, compiten por los mismos recursos de respuesta.
El ataque a los supermercados franceses se produjo en plena ola de protestas, la mayor que vivía Francia en años. El 17 de octubre, cinco días después del ataque, salieron a la calle unas 550.000 personas según el Ministerio del Interior; el fin de semana se saldó con unas 2.400 detenciones y alrededor de mil agentes heridos.40 El 31 de octubre, el Gobierno desplegó 70.000 policías y gendarmes.41
La presión se extendía por el resto de Europa. El diésel marcó un récord en la Unión Europea el 1 de octubre, empujado por la guerra de Irán.42 Bélgica tuvo huelga y choques el 9 de octubre.43 En Italia, después de los disturbios de Milán,44 una huelga de transportistas dejó gasolineras secas y supermercados vacíos en el sur.45 Alemania y Suiza cerraron octubre con protestas y disturbios.46 47 Dos tormentas dejaron sin luz a más de 150.000 hogares del norte de Europa.48 Y en Países Bajos, el mismo fin de semana del ataque francés, un ciberataque de otra naturaleza paralizó los centros de distribución de Albert Heijn; la empresa no ve relación entre ambos.49
Estresores documentados en Europa entre mediados de septiembre y el 3 de noviembre de 2026. Las bandas rojas marcan los ataques a la refrigeración. Pasa el cursor o el foco por cada barra para ver el detalle.
Selección de Lobera a partir de prensa y fuentes oficiales. Que dos hechos coincidan en el tiempo no significa que estén relacionados.
Las cadenas de suministro, los servicios de emergencia y las fuerzas de seguridad son sistemas complejos: dependen unos de otros y trabajan con márgenes ajustados. Absorben bien los problemas aislados. Cuando varias crisis coinciden, compiten por los mismos recursos, y algunos de ellos no pueden ampliarse de un día para otro.
Los mismos policías que contienen disturbios custodian almacenes, escoltan camiones y vigilan centros logísticos.
Un frigorista atiende decenas de tiendas. La noche del 11 de octubre, el país entero lo necesitaba a la vez.
Los equipos de respuesta de cada país investigaban incidentes simultáneos, en varias marcas y en varios sectores.
Cada crisis compite por el mismo espacio informativo y desgasta la misma confianza en que alguien tiene el control.
Ilustración conceptual Las proporciones no representan datos: ilustran cómo las cargas se suman hasta superar la capacidad.
No hay pruebas de que los atacantes eligieran la fecha por los disturbios. Sin embargo, un actor que mantiene acceso a cientos de controladores puede decidir cuándo actuar y hacerlo coincidir con una ola de calor, una huelga o una cita electoral, cuando la capacidad de respuesta ya está comprometida. En España, las elecciones generales se celebran el 29 de noviembre.50
Atacar miles de equipos exigía antes mucho trabajo humano. Los agentes de IA automatizan buena parte de ese trabajo y acortan el tiempo disponible para corregir los fallos.
Hace una década, quien quería atacar equipos expuestos lanzaba un escáner de puertos como nmap, una lista de contraseñas por defecto y cuatro scripts. Encontrar las puertas ya era rápido: desde 2013, un solo ordenador puede recorrer todo el espacio de direcciones de Internet en menos de 45 minutos.51 Lo que llevaba tiempo era el resto del trabajo: entender cada equipo, leer manuales, adaptar el ataque y repetir. Esas tareas requerían personas, y su número limitaba cuántos objetivos podían atacarse a la vez.
Los agentes de inteligencia artificial automatizan esa parte. Pueden leer la documentación de un controlador, comparar versiones, formular hipótesis, probarlas y pasar al siguiente objetivo, de forma continua y en paralelo.
Cada punto es un posible objetivo que recorre las fases de un ataque. Compara el ritmo de un equipo humano con el de agentes de IA.
No reproduce mediciones. Representa la idea central: la IA amplía sobre todo la fase de comprensión, la que antes dependía de personas.
Tiempo medio entre la publicación de una vulnerabilidad y su explotación conocida, según Mandiant.56
Mandiant, sobre vulnerabilidades explotadas en cada periodo. Sin eliminar valores extremos, la media de 2023 sería de 47 días.
La IA también se usa para defender. Un agente de Google, Big Sleep, frustró en 2025 la explotación de una vulnerabilidad antes de que se produjera,57 y en la competición AIxCC de DARPA varios sistemas autónomos encontraron 18 vulnerabilidades reales desconocidas.58 La dificultad está en la velocidad de corrección. Al hacer balance de Project Glasswing, Anthropic señaló que el límite está ahora en «la capacidad humana de clasificarlas, notificarlas y parchearlas».53
El centro nacional de ciberseguridad británico (NCSC) advirtió en 2025 de que el riesgo será mayor en la tecnología operacional con menos protección,59 una categoría que incluye los controladores de refrigeración de los supermercados.
En los ataques a los supermercados no consta el uso de IA. La ANSSI atribuye su éxito a «defectos de seguridad elemental», contraseñas débiles y vulnerabilidades «bastante clásicas».9 Si se lograron estos efectos con medios sencillos, la automatización con IA facilitará repetirlos contra más objetivos y en menos tiempo.
El tiempo entre la publicación de un fallo y su explotación se ha reducido a días, y la IA casi con seguridad lo reducirá aún más.
Hay razones sanitarias, energéticas y de mantenimiento para conectar la refrigeración. Los riesgos aparecen con los equipos sin soporte, los accesos remotos olvidados y las contraseñas débiles.
En un supermercado, la refrigeración consume en torno a la mitad de la energía; en tiendas pequeñas con muchas vitrinas, el 70 % o más.60 Supervisarla a distancia permite ahorrar energía, atender alarmas sin desplazar a un técnico de madrugada y cumplir las obligaciones sanitarias. Por eso la mayoría de las instalaciones modernas están conectadas.
El frigorista, la central de la cadena y el fabricante acceden a la instalación por la misma conexión a Internet que puede aprovechar un atacante.
Arquitectura típica simplificada. Cada instalación es distinta: hay redes privadas, pasarelas en la nube y equipos sin conexión.
Una vida típica, compuesta a partir de prácticas habituales del sector y de hitos reales del ciclo de vida de una familia de producto.
Llega con la tienda. Un equipo de refrigeración comercial dura entre 7 y 15 años; el frío industrial, hasta 30.65
El mantenedor pide entrar a distancia para atender alarmas. Alguien abre un puerto en el router «para el técnico».
Llega otro frigorista. Las contraseñas no cambian. Nadie sabe ya quién más las conoce.
El software del equipo queda congelado en una versión de ese año.
Danfoss anuncia el fin de vida programado de la serie AK-SM 800.66
Danfoss y CISA publican una vulnerabilidad en la familia AK-SM 8xxA: una contraseña generada a partir de la fecha.68 69
Claroty explica el «código del día» y otros fallos, ya corregidos en versiones nuevas.7
Llegan órdenes. El equipo, que sigue enfriando como el primer día, obedece.
No describe un equipo concreto. Los hitos marcados como reales están documentados; el resto ilustra prácticas frecuentes.
Se explotaron defectos de seguridad elemental.
Con Centinela, nuestra plataforma de inteligencia, hemos medido cuántas interfaces de gestión de estos sistemas están visibles en Internet, sin acceder a ninguna. Estos son los resultados por países.
Cada resultado corresponde a la página de gestión de un sistema de refrigeración accesible desde Internet. Unidad: resultados de servicio (dirección y puerto). Un resultado no equivale a un equipo ni a una tienda.
Shodan recorre Internet de forma continua y guarda la respuesta de cada servicio que encuentra. Centinela consulta ese índice; buscamos la pantalla de acceso de StoreView.70
Aparecen en más de 30 países. Francia encabeza la lista con 1.647, seguida de Sudáfrica (1.088) y Estados Unidos (902).
Francia, el país más afectado por los ataques, concentra el 25 % de las interfaces visibles del mundo. El dato no identifica al atacante, pero muestra dónde había más equipos accesibles.
Bélgica (107), Suecia (98) e Irlanda (30) figuran en la lista. Luxemburgo y Estonia no están entre los 30 primeros, lo que indica que los atacantes no se limitaron a los países con más equipos expuestos.
España ocupa el undécimo puesto mundial. A 2 de noviembre no hay ataques confirmados en el país, aunque un analista citado por Reuters lo incluyó entre los afectados en octubre.2
Resultados indexados por Shodan, consulta del 2 de noviembre de 2026. En naranja, países atacados; en hielo, España.
Faceta por país de la IP. Total global: 6.529. La geolocalización de una IP es aproximada y no identifica un establecimiento.
Cada interfaz ofrece datos al responder, entre ellos el servidor web que dice usar. 579 resultados anuncian nginx 1.12.2, una versión publicada en 2017 cuya rama dejó de mantenerse en 2018.71 De ellos, 493 (el 85 %) están en Francia.
Otra pista es el certificado de cifrado. 1.273 resultados presentan uno con el nombre DanfossSM800A, la familia de controladores en la que el equipo Team82 de Claroty documentó un mecanismo de acceso alternativo —el «código del día»— capaz de esquivar la contraseña habitual.7 Danfoss lo corrigió en la versión 4.2.69 El certificado no revela qué versión ejecuta cada equipo: eso solo puede comprobarlo su responsable. En España, 89 de los 136 resultados llevan ese nombre.
El extracto español contiene 133 servicios en 109 direcciones IP distintas. Una sola dirección agrupa 24: probablemente una pasarela que da acceso a varios equipos.
Observaciones del 3 de octubre al 2 de noviembre. La faceta por país devolvía 136 resultados; el extracto descargado, 133. Agrupación por IP y por par IP:puerto.
Seis conclusiones de inteligencia para responsables de seguridad y de operaciones, con su nivel de confianza.
Con un buscador de dispositivos se puede reunir en pocas horas una lista de miles de controladores; Lobera lo ha hecho sin interactuar con ninguno. Claroty contaba 2.765 equipos expuestos en agosto y, tras el ataque, Euronews informó de que miles seguían accesibles.7 72 Los atacantes no necesitaban información privilegiada para seleccionar objetivos.
Francia tiene más interfaces visibles que ningún otro país (una de cada cuatro del mundo) y la mayoría de las que anuncian versiones antiguas, y fue el primer objetivo y el más afectado. Puede tratarse de oportunismo, de una elección deliberada o de ambas cosas. En cualquier caso, la exposición aumenta la probabilidad de ser elegido.
La ANSSI habla de defectos elementales; el centro belga de ciberseguridad, de parches disponibles desde hacía año y medio; Danfoss, de firmware anticuado.5 9 73 La mayoría de estas debilidades se corrige con medidas conocidas y de coste moderado.
Las pérdidas materiales son limitadas a escala económica. El efecto sobre la confianza es mayor: comida destruida, pérdidas que los seguros no cubren y gobiernos obligados a garantizar el abastecimiento. Coincide con el objetivo que los servicios europeos atribuyen a la campaña rusa: sembrar inseguridad y miedo.26 37
Un actor que mantiene acceso a cientos de controladores puede esperar a una ola de calor, a una jornada de disturbios o a una cita electoral. Las dos oleadas europeas se produjeron en la madrugada del domingo al lunes, con las tiendas cerradas y menos personal de guardia.
En España hay 136 resultados en 109 direcciones, 89 de ellos con el certificado de la familia de controladores estudiada por Claroty. Un analista citado por Reuters situó a España entre los afectados en octubre, sin confirmación oficial.2 Las condiciones técnicas para un ataque similar existen.
Ocho escenarios para los próximos meses, ordenados por probabilidad e impacto, y las señales que permitirán anticiparlos.
Estimación de Lobera a 2 de noviembre de 2026, con la misma escala de probabilidad del capítulo 04.
Los horizontes son orientativos. Revisaremos esta matriz cuando cambien los indicadores de abajo.
Dos escenarios requieren atención especial. El primero afecta al frío sanitario: vacunas, laboratorios y bancos de sangre dependen de equipos similares, y un fallo puede tener consecuencias para la salud. El segundo es la coincidencia deliberada: un ataque durante una ola de calor, o acompañado de bulos sobre alimentos en mal estado, aumentaría el impacto con el mismo esfuerzo técnico.
El escenario más probable depende de equipos expuestos y desatendidos, que es también el factor más fácil de corregir.
Siete medidas para operadores de refrigeración, basadas en las recomendaciones de CERT-FR y CISA, y los servicios de Lobera.
Averigua si tus controladores, pasarelas y módems responden desde Internet. Si aparecen en un buscador como Shodan, cualquiera puede encontrarlos.
Contraseñas de fábrica, cuentas compartidas del mantenedor, accesos de antiguos proveedores. En los equipos sin soporte, restablecerlos de fábrica no basta.10
Lleva el firmware a la última versión del fabricante y activa sus modos de seguridad. Para los equipos en fin de vida, un plan de sustitución con fecha y presupuesto.7
Consignas, desescarches y alarmas tienen que tener una referencia conocida y avisar de cualquier cambio. Añade un sensor de temperatura independiente que alerte por otro canal, para detectar una manipulación aunque el controlador esté comprometido.
Quién recibe la alarma a las tres de la madrugada, quién puede desconectar el acceso remoto, quién decide retirar producto. Informática, mantenimiento y seguridad alimentaria, en el mismo simulacro.
Exige cláusulas de seguridad a quien mantiene tus equipos a distancia y comprueba qué cubre tu seguro: Intermarché sostiene que las aseguradoras no cubren este tipo de incidente.11
Lobera es una empresa española de software de defensa e inteligencia que opera la defensa de entornos IT y OT de principio a fin. Este informe muestra nuestra forma de trabajar: observar la superficie expuesta como lo haría un atacante, sin interactuar con sistemas ajenos, y traducir los datos en recomendaciones.
Evaluación de exposición externa de controladores, pasarelas y equipos IoT con Centinela, mediante observación pasiva y sin interactuar con tus sistemas.
Detección en redes IT y OT, investigación asistida por IA, respuesta a incidentes y análisis forense en una misma plataforma.
Seguimiento de campañas y actores híbridos, y alertas tempranas para tu sector antes de que la ola llegue a tu red.
Réplicas de tu instalación para probar configuraciones y entrenar la respuesta antes de que se produzca un incidente.
¿Gestionas instalaciones de frío, logística o edificios? Podemos comprobar contigo, de forma confidencial, si tus equipos aparecen expuestos y qué hacer en las próximas 72 horas.
Las cifras de exposición de este informe proceden de Centinela, la plataforma de inteligencia de amenazas externas de Lobera. Centinela reúne en un mismo sistema fuentes de terceros y capacidades propias, y analiza los datos con modelos de inteligencia artificial alojados en Europa.
En este informe hemos usado únicamente consultas pasivas sobre datos ya indexados. Las búsquedas se hicieron el 2 de noviembre de 2026 por el título de la interfaz StoreView y se agregaron por país, versión anunciada y certificado. No hemos escaneado, accedido ni probado ninguno de los equipos contabilizados, y no publicamos direcciones ni identificadores. Las capacidades de escaneo activo de Centinela solo se emplean sobre activos propios o de clientes que lo autorizan expresamente.
La reconstrucción de los incidentes se basa en informaciones atribuidas de agencias y medios (Reuters, AP, AFP y medios nacionales), avisos oficiales (CERT-FR, CISA y centros nacionales de ciberseguridad) y comunicaciones de fabricantes. Cuando una cifra procede de una sola fuente o no está confirmada por las autoridades, el texto lo indica.
Los recuentos de exposición se expresan en resultados de servicio (dirección y puerto), no en equipos ni en tiendas. El índice de Shodan refleja las observaciones de los 30 días anteriores a la consulta.
Los juicios de atribución y los escenarios son análisis de Lobera y se identifican como tales. Usamos el análisis de hipótesis en competencia y una escala de probabilidad inspirada en la de la comunidad de inteligencia británica. Expresan probabilidad y nivel de confianza, no certeza judicial.
La portada, la curva de la noche y el diagrama de la instalación son recreaciones conceptuales. La foto del pasillo de congelados es de AG20044018 (Wikimedia Commons, CC BY-SA 4.0) y es ilustrativa. Los mapas de los gráficos se basan en Natural Earth.
Si detectas un error, escríbenos a hola@lobera.ai. Lo corregiremos y lo haremos constar.
Actualización · 3 de noviembre de 2026. Ampliamos el capítulo 1 para explicar el mecanismo de calentamiento —el circuito de desescarche, no la consigna— y precisamos que los 50 °C corresponden a la sonda de aire. Reformulamos una frase que podía leerse como que los equipos se mantuvieron a 50 °C seis horas: Reuters describió seis horas de calentamiento hasta esa temperatura.
© 2026 Lobera. Todos los derechos reservados.
Salamanca | Madrid
