Las cadenas de frío europeas amanecieron con congeladores atascados en desescarche o persiguiendo un objetivo de 50 °C después de que los atacantes teclearan contraseñas débiles o de fábrica en pantallas de administración de refrigeración accesibles desde internet. Según SentinelOne Labs, los operadores se autenticaron en controladores de supervisión, en su mayoría equipos Danfoss que se dejaban accesibles para el mantenimiento remoto de los contratistas, y después reescribieron las consignas a través de la interfaz de gestión normal de esos controladores. En el registro público no aparece malware ni petición de rescate. Añadir MFA a cada controlador es una respuesta demasiado fácil, porque los contratistas que mantienen estos equipos cambian constantemente. La solución adecuada saca de internet el inicio de sesión del controlador y da a cada técnico una identidad verificada y ligada al dispositivo que caduca con el trabajo.
Lo que los informes públicos establecieron sobre los accesos a los controladores
SentinelOne Labs describe un acceso basado solo en credenciales a controladores de supervisión de refrigeración de supermercados expuestos para el mantenimiento remoto. La ANSSI francesa ya había vinculado una oleada francesa de octubre de 2026 a interfaces de administración abiertas a internet con contraseñas débiles. Danfoss declaró que los sistemas neerlandeses afectados estaban fuera de una red segura y seguían teniendo contraseñas por defecto. Una tienda estonia usaba un controlador antiguo. Danfoss también señaló software obsoleto y sin parches en algunos equipos.
En la noche del 1 al 2 de noviembre de 2026, una segunda oleada afectó a tiendas de Bélgica, Países Bajos, Suecia, Estonia, Irlanda, Luxemburgo, Finlandia, Italia, Portugal, Rumanía y Alemania. Los controladores quedaron atascados en desescarche o con temperaturas objetivo de 50 °C. ICA informó de 23 tiendas afectadas, conectadas a través de un proveedor externo separado de su red corporativa central. Las fuentes públicas no describen movimiento lateral hacia sistemas de pago, bases de datos de clientes o TI central, ni describen persistencia en redes OT o TI.
Los investigadores han documentado un problema de omisión de autenticación en el Danfoss AK-SM 800A. La ANSSI dijo que ese fallo no se usó en la oleada francesa. Los informes no han confirmado su uso fuera de Francia, así que la vía documentada sigue siendo la de contraseñas débiles y por defecto en accesos de administración expuestos. Ninguna fuente pública afirma que hubiera autenticación multifactor en esas interfaces. El relato completo de la cadena de ataque está en legacymfa.sucks.
Por qué los controladores de contratistas solo con contraseña siguen perdiendo frente al spraying
Los contratistas dejan los controladores de supervisión de refrigeración en internet para que los técnicos puedan ajustar los ciclos de desescarche y las temperaturas objetivo sin desplazarse. Esa comodidad definió toda la superficie de autenticación. Los atacantes hicieron password spraying y fuerza bruta contra las interfaces de administración remota hasta que funcionó una credencial débil o de fábrica, y después usaron las pantallas de gestión legítimas igual que lo haría un técnico de servicio.
El secreto era transferible. Cualquiera que pudiera llegar al formulario de inicio de sesión podía seguir intentándolo hasta que la contraseña compartida funcionara. Nada en el relato público muestra un segundo factor, una prueba ligada al hardware o una firma de dispositivo ligada al origen en los accesos con éxito. Después de que el campo de contraseña aceptara el intento, el controlador trató a quien llamaba como un operador de confianza. Cambiar el estado de desescarche o llevar una consigna a 50 °C no requirió ninguna cadena de exploits una vez que la autenticación tuvo éxito.
Los equipos de identidad empresarial pasaron años reforzando los portales SaaS de empleados y las pasarelas VPN, y después dejaron los controladores de las cámaras frigoríficas con un único secreto compartido. La administración remota solo con contraseña en equipos OT sigue siendo una vía de acceso de primera clase para contratistas. Simplemente vive en un controlador de congeladores en lugar de en un IdP en la nube. El spraying funciona allí donde ese modelo sigue siendo accesible desde internet.
| Control en el controlador | Frente al password spraying | Tras un inicio de sesión con éxito |
|---|---|---|
| Contraseña por defecto o débil | Falla; el secreto se puede adivinar | N/A |
| Interfaz de administración expuesta a internet | Accesible sin VPN | La misma interfaz acepta consignas |
| Administración remota solo con contraseña | Sin segundo factor | Pantallas de gestión de confianza |
| Solo nivel de parches | No impide introducir la contraseña | Solo limita algunos fallos de código |
El software obsoleto y el hardware antiguo importan para otras clases de defectos. No crearon la lotería de inicio de sesión que ganó el spraying. El modelo de autenticación correspondía a un aparato de 2005: un campo de contraseña, a menudo nunca cambiada tras la instalación, accesible desde cualquier punto de internet que los contratistas necesitaran.
Por qué añadir MFA al controlador no basta
Es tentador decir que MFA 2.0 habría detenido esta oleada y dejarlo ahí. Las personas que inician sesión en estos controladores lo complican. El mantenimiento de la refrigeración está subcontratado, y los informes públicos nombran una y otra vez a contratistas y proveedores externos: Sabcobel gestiona la refrigeración de Delhaize, Kitman Coldtech da servicio a Selver e ICA dijo que sus tiendas afectadas usaban un proveedor externo. Los técnicos de esas empresas entran y salen casi como trabajadores de plataformas, y una cadena de tiendas puede no conocer nunca a la persona que ajusta sus congeladores.
Dar a esos técnicos credenciales emitidas por la tienda no escala. Una contraseña compartida del centro acaba en las notas de un contratista y sobrevive al contrato. Una app de OTP o un código SMS necesitan un número de teléfono y un paso de registro que alguien en la cadena tiene que gestionar. Un smartphone propiedad de la tienda hay que comprarlo, controlarlo, recogerlo y borrarlo cuando el técnico se va. Cada opción deja la creación de cuentas, los restablecimientos y las bajas en manos de personal que no sabe quién es el técnico. Con esa carga de trabajo, las contraseñas por defecto y compartidas tienden a quedarse.
Los propios controladores son además un mal lugar para añadir un segundo factor. Danfoss dijo que la mayoría de los equipos afectados en Francia eran modelos antiguos que ya no actualiza, y la tienda estonia usaba un sistema Danfoss antiguo. Un equipo que ya no recibe actualizaciones no va a ganar un proceso de inicio de sesión moderno. El diseño más sólido saca la comprobación de identidad del controlador y la coloca delante de él.
Una pasarela de acceso remoto delante del controlador
El primer cambio es la accesibilidad. La pantalla de administración del controlador no responde en absoluto en internet. La recomendación del CERT-FR tras la oleada francesa, según The Hacker News, fue hacer que los dispositivos no fueran accesibles desde internet y restablecer el acceso solo a través de una VPN segura o una red protegida. Una pasarela de acceso remoto situada delante del controlador hace ese trabajo para los contratistas. El controlador solo acepta conexiones desde la pasarela, y la única forma de atravesar la pasarela es que una persona verificada inicie sesión en ella. Quien haga password spraying desde internet no encuentra ningún formulario de inicio de sesión del controlador que probar.
La pasarela también saca la contraseña del controlador de las manos de las personas. La contraseña por defecto o compartida del centro se sustituye por una contraseña única por controlador, guardada en la bóveda de la pasarela y aportada por la pasarela cuando se abre una sesión autorizada. Ningún técnico, responsable de tienda ni proveedor la ve, así que no se puede apuntar, reutilizar entre centros ni pasar al siguiente contratista. Esto cierra la vía de la contraseña por defecto incluso en un controlador antiguo que nunca recibirá una actualización de firmware, porque lo único que cambia en el equipo es su contraseña.
Demostrar quién es el técnico antes de que exista ningún acceso
El segundo cambio es cómo obtiene un técnico una identidad. Con la verificación de identidad en autoservicio, un técnico contratista nuevo demuestra quién es una sola vez, escaneando un documento de identidad y comparando su cara con él, antes de que exista ninguna cuenta ni acceso. Nadie en la cadena de tiendas crea la cuenta a mano, y nadie la restablece por teléfono. El trabajo de la cadena se reduce a decidir qué proveedor y qué persona pueden trabajar en qué centros.
Justo después de la verificación, el técnico se registra bajo demanda. MFA 2.0 vincula una credencial a prueba de phishing y ligada al dispositivo al teléfono o al portátil del propio técnico. La arquitectura ligada al dispositivo mantiene la clave privada en el hardware de ese dispositivo, y la pasarela solo guarda una clave pública. No hay app de OTP, ni código SMS, ni contraseña que emitir, guardar o restablecer. Iniciar sesión en la pasarela significa producir una firma nueva en el dispositivo registrado para el origen de la pasarela, algo que un atacante remoto no puede completar con nada que pueda adivinar o retransmitir. Si el técnico pierde el dispositivo, vuelve a demostrar quién es y registra uno nuevo, de modo que la recuperación tampoco recurre a un código leído por teléfono.
Acceso por trabajo que termina por sí solo
El tercer cambio es la forma del acceso. En lugar de una cuenta permanente en cada controlador al que un proveedor haya dado servicio alguna vez, al técnico se le concede acceso a un centro o a un trabajo, y esa concesión caduca por sí sola cuando se cierra la ventana del trabajo. Cuando un técnico se va, o una cadena de tiendas cambia de proveedor de refrigeración, no hay una lista de cuentas de controladores que encontrar y desactivar. La identidad verificada puede seguir existiendo, pero no abre nada hasta que alguien conceda un trabajo nuevo.
Esta es la parte que encaja con la rotación de contratistas. El alta es en autoservicio, y la baja casi se resuelve sola, porque ningún acceso era permanente desde el principio.
Cada cambio de consigna vinculado a un técnico identificado
El cuarto cambio es la visibilidad después del inicio de sesión. Como cada sesión pasa por la pasarela con una identidad verificada, los cambios de consigna y de desescarche se registran por técnico identificado en lugar de por cuenta compartida del centro, y un cambio fuera de la ventana de un ticket abierto genera una alerta. El tiempo de respuesta importa en este tipo de ataque. En la tienda Selver de Estonia, un congelador configurado a 50 °C solo se calentó unos 2 o 3 °C porque el problema se resolvió en unos 10 minutos, según su proveedor de refrigeración. Una alerta vinculada a una persona y a un ticket ayuda a una tienda a detectar así de rápido un cambio inesperado.
Para la vía de inicio de sesión esto es prevención, no detección: el formulario del controlador expuesto al spraying desaparece antes de que exista ninguna sesión. El registro cubre las sesiones permitidas. No deshace una escritura de temperatura que ya ocurrió. Restaurar consignas correctas conocidas sigue siendo trabajo de operaciones.
Lo que este diseño no cubre
Este diseño aborda la vía de inicio de sesión que documentan los informes públicos: contraseñas débiles y por defecto en pantallas de administración de controladores accesibles desde internet. No cubre todas las vías de entrada de todas las oleadas. Danfoss también dijo a la cadena belga VTM que la debilidad está principalmente en el software obsoleto y que se vieron afectados los clientes que no habían actualizado. Investigadores de Claroty documentaron un fallo de omisión de autenticación en el Danfoss AK-SM 800A que permitía a los atacantes saltarse el requisito de contraseña y lograr ejecución remota de código, según informó Cybersecurity Dive. La ANSSI dijo que ese fallo no se usó en la oleada francesa, y los informes no han confirmado su uso en otros lugares.
Una pasarela ayuda con esos riesgos solo en la medida en que el controlador sea realmente inaccesible salvo a través de ella. Un equipo que sigue en una dirección IP pública, o uno con un fallo accesible desde la red de la tienda, necesita parches, sustitución o aislamiento independientemente de cómo inicien sesión los técnicos. El CERT-FR advierte de que los dispositivos al final de su vida útil que siguen en internet tienen muchas probabilidades de verse comprometidos, y de que un restablecimiento de fábrica por sí solo los deja de nuevo expuestos a ataques. El malware en un dispositivo de un técnico que ya ha iniciado sesión es también un problema distinto del password spraying, y esta campaña, tal como se ha publicado, no lo necesitó.
Conclusiones clave para los defensores
- La pantalla de administración del controlador está detrás de una pasarela de acceso remoto, no en internet.
- Los técnicos contratistas demuestran su identidad una sola vez en autoservicio, con un documento de identidad y una comparación facial, antes de que exista ningún acceso.
- Cada técnico registra una credencial MFA 2.0 ligada al dispositivo en su propio dispositivo, sin OTP, código SMS ni contraseña emitidos por la tienda.
- El acceso se concede por trabajo o por centro y caduca por sí solo, de modo que los cambios de contratistas y proveedores no dejan nada que dar de baja.
- Las contraseñas únicas de los controladores viven en la bóveda de la pasarela, y ninguna persona las conoce.
- Los cambios de consigna y de desescarche se registran por técnico identificado y generan alertas fuera de la ventana de un ticket.
- Los controladores obsoletos y al final de su vida útil siguen necesitando parches o sustitución, porque la pasarela no corrige su código.
La oleada de noviembre no necesitó ningún malware nuevo, solo contraseñas de controladores que se dejaban accesibles para el mantenimiento de los contratistas. Sacar esas contraseñas de internet y de las manos de las personas, y dar a cada técnico una identidad verificada que caduca con el trabajo, cierra esa vía sin pedir al personal de tienda que gestione cuentas para una plantilla que nunca llega a conocer.
Preguntas frecuentes
¿Habría bastado la MFA ligada al dispositivo para detener los accesos a los controladores Danfoss de los supermercados?
La MFA ligada al dispositivo por sí sola no es la respuesta completa para los accesos a los controladores Danfoss de los supermercados, porque los controladores ofrecen un único campo de contraseña y muchos son equipos antiguos que ya no reciben actualizaciones. Según SentinelOne Labs, los atacantes se autenticaron con contraseñas débiles o por defecto y después usaron las pantallas de gestión normales. El enfoque adecuado es sacar el controlador de internet y ponerlo detrás de una pasarela de acceso remoto, sustituir su contraseña por una única guardada en una bóveda y exigir que un técnico verificado con una credencial MFA 2.0 ligada al dispositivo inicie sesión en la pasarela.
¿Cómo pueden las cadenas de tiendas dar acceso a contratistas de refrigeración que rotan sin contraseñas ni OTP?
Las cadenas de tiendas pueden dar acceso a contratistas de refrigeración que rotan sin contraseñas ni OTP si cada técnico demuestra su identidad una sola vez mediante verificación de identidad en autoservicio, con un documento de identidad y una comparación facial, y después registra una credencial MFA 2.0 ligada al dispositivo en su propio dispositivo. Nadie en la cadena crea ni restablece cuentas a mano. El acceso se concede después por trabajo o por centro y caduca por sí solo, de modo que la rotación de proveedores no deja cuentas permanentes que eliminar.
¿La seguridad del inicio de sesión deshace los cambios de consigna una vez abierto un controlador de neveras?
La seguridad del inicio de sesión no deshace los cambios de consigna una vez abierto un controlador de neveras, porque esas escrituras ocurren después de la autenticación a través de las propias pantallas de gestión del controlador. En los ataques a la refrigeración de supermercados europeos, el daño vino de funciones de administración de confianza una vez que la contraseña funcionó. Lo que ayuda después del inicio de sesión es registrar cada cambio de consigna y de desescarche por técnico identificado y alertar de los cambios fuera de la ventana de un ticket. Restaurar temperaturas correctas conocidas sigue siendo trabajo de operaciones.
¿Se informó de autenticación multifactor en las interfaces de administración Danfoss afectadas?
Ninguna fuente pública informa de autenticación multifactor en las interfaces de administración Danfoss afectadas en los ataques a los controladores de refrigeración de supermercados europeos. La autenticación se describe como solo con contraseña, frente a credenciales débiles o por defecto, en controladores accesibles para el mantenimiento de contratistas. Esa vía de administración remota de un solo factor es la que el password spraying derrotó en las oleadas publicadas.
¿Detiene este enfoque todos los ataques a controladores de refrigeración?
Este enfoque no detiene todos los ataques a controladores de refrigeración. Cierra la vía documentada de contraseñas débiles y por defecto en pantallas de administración expuestas a internet. Danfoss también culpó al software obsoleto que los clientes no habían actualizado, y está documentado un fallo de omisión de autenticación en el Danfoss AK-SM 800A, aunque la ANSSI dijo que no se usó en la oleada francesa. Los controladores que siguen siendo accesibles fuera de la pasarela, o que ejecutan código sin parches, siguen necesitando parches, sustitución o aislamiento.
