Francia representa más de la mitad de los hosts expuestos a internet encontrados en una búsqueda de Shodan sobre páginas web de Danfoss, tras un ciberataque que interrumpió los sistemas de refrigeración de supermercados.

Una actualización de International Cyber Digest del 13 de octubre informa de un total de 4.980 hosts identificados, con 2.911 ubicados en Francia y 517 en Sudáfrica. Estos hallazgos plantean nuevas preocupaciones sobre los controles de refrigeración expuestos; sin embargo, no confirman que cada host enumerado haya sido hackeado.

Según Shodan, Alemania ocupa el tercer lugar con 171 resultados, seguida de Portugal con 158 y Estados Unidos con 141. Polonia, Bélgica, Suecia, España y los Países Bajos también aparecen entre los países principales.

Francia representa aproximadamente el 58% del total reportado. International Cyber Digest estima que alrededor de ocho de cada diez hosts coincidentes están en Europa.

Actualización sobre el hackeo de refrigeración de Danfoss

La búsqueda rastrea referencias a Danfoss en el contenido web, no es una prueba de que cada resultado sea un controlador de refrigeración vulnerable. Una captura de pantalla separada muestra 4.551 resultados de una búsqueda más filtrada. Ninguna de las imágenes proporciona versiones de firmware, confirma ataques exitosos contra hosts individuales ni establece a cuántos supermercados sirve cada controlador.

La actualización sobre la exposición sigue a los ataques ocurridos durante la noche entre el 11 y el 12 de octubre. Los informes describen que los atacantes activaron remotamente las funciones de descongelación en supermercados franceses, provocando que los productos refrigerados y congelados se echaran a perder.

Anteriormente se informó sobre los ataques a refrigeradores de supermercados, incluyendo reportes de temperaturas que alcanzaron los 50°C. Esos reportes de temperatura no deben tomarse como mediciones de todas las tiendas afectadas.

El CERT-FR de Francia confirmó numerosas vulneraciones que involucran dispositivos Danfoss AK-SM y AK-SC en una alerta del 12 de octubre. La agencia instruyó a los operadores a desconectar los sistemas o filtrar el acceso.

Danfoss dijo a los medios de comunicación que los sistemas de gestión de refrigeración afectados ejecutaban firmware desactualizado y reiteró su consejo de actualizar los equipos compatibles y reemplazar los sistemas heredados.

International Cyber Digest también compartió una afirmación de que los sistemas afectados utilizaban el nombre de usuario admin y una contraseña que cambiaba diariamente a la fecha actual. La investigación técnica publicada respalda una explicación más limitada.

El Team82 de Claroty encontró una ruta de autenticación oculta basada en la fecha en la plataforma AK-SM 800A que podría saltarse la contraseña de administrador configurada.

Según Team82, el controlador genera un código de autenticación diario utilizando su fecha actual. Alguien que reproduzca el algoritmo podría generar un código aceptado y obtener una sesión administrativa.

Esto no es lo mismo que probar que la contraseña de administrador ordinaria se convierta simplemente en la fecha. Los investigadores no han establecido públicamente que este fallo específico haya permitido los ataques a los supermercados.

El problema se rastrea como CVE-2025-41450. CISA identifica las versiones afectadas de AK-SM 8xxA como aquellas anteriores a la R4.2, que solucionó la debilidad de autenticación.

Su aviso también cubre el CVE-2025-41451, un fallo de inyección de comandos en la configuración de alertas por correo electrónico, y el CVE-2025-41452, una debilidad en la configuración del servidor web. Ambos afectan a versiones anteriores a la R4.3.1.

Team82 explica que el fallo de inyección de comandos podría permitir la ejecución de código tras la autenticación. La debilidad de configuración podría permitir que un atacante autenticado altere el manejo del tráfico web o interrumpa la interfaz de gestión.

Estos hallazgos muestran posibles rutas de ataque, no un relato confirmado de cómo se desarrolló el incidente francés. El AK-SM 800A gestiona múltiples dispositivos de refrigeración a través de una sola interfaz web. Los operadores pueden ajustar límites de temperatura, horarios, alarmas y cuentas de usuario.

Ese rol central hace que el acceso de gestión expuesto sea especialmente arriesgado porque los cambios pueden afectar las operaciones físicas de enfriamiento, y no solo los registros digitales. Preocupaciones similares aparecen en la cobertura de controladores de energía y refrigeración expuestos a internet.

CERT-FR recomienda restringir el acceso a la red a los proveedores de servicios cuando se sospeche de una vulneración, realizar luego un restablecimiento de fábrica, aplicar las actualizaciones de seguridad disponibles, cambiar contraseñas y otros secretos, revisar las cuentas y reconfigurar completamente el sistema. La recuperación debe seguir un proceso controlado que proteja las operaciones de la tienda.

Tú también deberías eliminar la exposición directa a internet, separar las redes de control de las redes comerciales y usar un acceso remoto protegido. El parcheo sigue siendo esencial, pero las restricciones de acceso son igualmente importantes mientras los equipos evalúan, reparan o reemplazan el equipo afectado. Para los minoristas, la prioridad inmediata es restaurar la refrigeración segura sin dejar el mismo acceso abierto.