Danfoss y los supermercados franceses: cuando Internet abre la puerta a nuestros sistemas industriales

Durante años, los incidentes de ciberseguridad han estado asociados principalmente al robo de datos, al ransomware o a la interrupción de servicios informáticos.

Pero la digitalización de las instalaciones industriales ha cambiado las reglas.

Hoy, un atacante puede provocar daños importantes sin necesidad de comprometer un servidor convencional.

Puede bastarle con acceder al sistema que controla una instalación física.

Eso es lo que ha ocurrido en Francia durante la noche del 11 al 12 de octubre de 2026.

Un ataque informático alteró el funcionamiento de sistemas de refrigeración en cientos de supermercados.

Los atacantes consiguieron modificar parámetros de los controladores, activando procesos de descongelación que elevaron las temperaturas de los equipos.

Las consecuencias fueron importantes: alimentos deteriorados, interrupciones operativas y pérdidas económicas.

Y, en este caso, el ataque deja una cuestión especialmente interesante desde el punto de vista de la arquitectura de redes.

Los controladores Danfoss

Las investigaciones han señalado equipos de control de refrigeración fabricados por Danfoss.

Estos sistemas permiten gestionar instalaciones frigoríficas completas: compresores, temperaturas, ciclos de descongelación, alarmas y otros parámetros operativos.

Su administración remota resulta especialmente útil para organizaciones que mantienen cientos de establecimientos.

Permite supervisar instalaciones sin desplazar continuamente personal técnico.

También facilita la detección de averías y la optimización energética.

El problema aparece cuando esos sistemas de administración quedan expuestos a redes que no deberían tener acceso directo a ellos.

Se habían publicado vulnerabilidades que afectaban a determinados controladores Danfoss, incluyendo problemas de autenticación y ejecución de comandos capaces de comprometer dispositivos vulnerables.

También se habían localizado interfaces de estos sistemas accesibles desde Internet.

No obstante, mientras continúe la investigación, conviene distinguir los hechos conocidos de las conclusiones que todavía no han sido demostradas.

Que los dispositivos fueran administrables remotamente no demuestra por sí mismo que una plataforma cloud de Danfoss fuese comprometida.

El mecanismo exacto de entrada es importante.

Pero desde el punto de vista del diseño de redes existe una pregunta todavía más interesante.

¿Por qué un congelador necesita estar accesible desde Internet?

Esta es la pregunta que, personalmente, considero fundamental.

Entiendo perfectamente que una cadena de supermercados necesite supervisar remotamente sus instalaciones frigoríficas.

Entiendo que un servicio técnico deba consultar temperaturas, recibir alarmas o modificar determinados parámetros.

Lo que no entiendo es por qué eso debería implicar que las interfaces de administración de esos equipos estén accesibles directamente desde Internet.

Son dos necesidades completamente distintas.

Necesitar administración remota no significa necesitar exposición pública.

Una organización puede administrar cientos de instalaciones distribuidas geográficamente mediante redes privadas, VPN, segmentación y sistemas de acceso remoto controlados.

No necesita publicar indiscriminadamente las interfaces de sus controladores industriales.

Y cuando hablamos de sistemas capaces de alterar procesos físicos, esta distinción adquiere todavía más importancia.

El problema de conectar directamente los sistemas industriales

Durante décadas, muchos sistemas de control industrial funcionaron en entornos relativamente aislados.

No necesariamente eran seguros por diseño.

Simplemente estaban menos expuestos.

La incorporación de conectividad IP ha permitido integrar estos sistemas con plataformas de supervisión, aplicaciones empresariales y herramientas de mantenimiento.

Pero también ha introducido nuevas superficies de ataque.

Un controlador de refrigeración puede disponer de una interfaz web, credenciales administrativas, servicios de red y mecanismos de actualización.

Desde el punto de vista de la ciberseguridad, tiene muchas de las características de cualquier otro dispositivo conectado.

Sin embargo, sus consecuencias operativas son distintas.

Si alguien compromete un servidor web, puede provocar una interrupción informática.

Si compromete un controlador industrial, puede modificar un proceso físico.

En el caso francés, eso significó alterar la conservación de alimentos.

En otros sectores podría afectar a instalaciones eléctricas, climatización, procesos de fabricación o sistemas de abastecimiento.

Por eso considero que la seguridad de los dispositivos industriales debe tratarse como una parte fundamental de la arquitectura de comunicaciones.

La gestión remota no debería ser una puerta abierta

El diseño de una infraestructura industrial debería partir de una premisa:

Los dispositivos de control no deben ser accesibles desde redes que no necesitan comunicarse con ellos.

Esto implica separar las redes industriales de las redes de usuarios y de los servicios públicos.

También implica establecer mecanismos de acceso administrativo específicos, con autenticación robusta y registros de actividad.

Cuando sea necesario acceder desde el exterior, deberíamos utilizar canales privados y puntos de entrada controlados.

Además, conviene distinguir entre los sistemas que supervisan una instalación y aquellos que pueden modificar su funcionamiento.

No todos los usuarios necesitan las mismas capacidades.

Consultar la temperatura de una cámara frigorífica no debería proporcionar automáticamente permisos para alterar sus parámetros de funcionamiento.

Y las operaciones críticas deberían contar con controles adicionales cuando el sistema lo permita.

¿Quién tiene acceso a nuestra infraestructura?

Hay otro aspecto que merece especial atención.

Cuando un fabricante o una empresa de mantenimiento proporciona servicios de administración remota, estamos incorporando un tercero a nuestra arquitectura de seguridad.

Eso puede ser perfectamente necesario.

Pero debemos conocer exactamente qué capacidades tiene.

• ¿Puede consultar únicamente información?
• ¿Puede modificar configuraciones?
• ¿Puede actualizar firmware?
• ¿Puede actuar simultáneamente sobre cientos de instalaciones?
• ¿Sus accesos están limitados a determinados equipos?
• ¿Podemos revocarlos inmediatamente?
• ¿Existe un registro verificable de las operaciones realizadas?

No se trata de desconfiar indiscriminadamente de los proveedores.

Se trata de aplicar el mismo rigor a sus accesos que aplicaríamos a los de nuestros propios administradores.

El acceso de un tercero debería ser una autorización controlada, no una puerta permanente cuyo funcionamiento desconocemos.

Gestión centralizada no significa gestión expuesta a Internet

Aquí conviene aclarar una confusión bastante habitual.

Una cosa es administrar centralizadamente cientos de dispositivos.

Otra muy distinta es que esos dispositivos deban estar directamente expuestos a Internet.

Y una tercera cuestión es que la plataforma de administración pertenezca a un fabricante externo.

Son tres decisiones arquitectónicas independientes.

Podemos tener una plataforma centralizada alojada en nuestras propias instalaciones.

Podemos administrar dispositivos distribuidos mediante conectividad privada.

Y podemos permitir que determinados proveedores accedan a ellos mediante mecanismos de autorización específicos.

No existe ninguna necesidad técnica universal de convertir cada dispositivo industrial en un servicio públicamente accesible.

Cuando además dependemos de un tercero

Esta cuestión tiene un interesante paralelismo con otro problema que hemos analizado en Merática.

En «Cambium Networks: cuando compras un equipo, pero no controlas su futuro» hablamos de las consecuencias de depender de la infraestructura de gestión de un fabricante para administrar equipos instalados en nuestra propia red.

Los dos casos son diferentes.

En Cambium hablamos principalmente de autonomía y continuidad tecnológica.

En los supermercados franceses hablamos de seguridad, exposición y control de accesos.

Pero ambos conducen a una pregunta parecida:

¿Hasta qué punto queremos que el control de nuestra infraestructura dependa de sistemas que no controlamos nosotros mismos?

No se trata de rechazar cualquier acceso de terceros.

Se trata de que ese acceso exista porque nosotros hemos decidido concederlo, podamos controlarlo y podamos retirarlo.

Y de que nuestros propios equipos no dependan innecesariamente de una infraestructura externa para continuar siendo administrables.

La actualización del firmware también es seguridad industrial

Existe otro elemento importante en este tipo de incidentes.

Los equipos industriales pueden permanecer instalados durante muchos años.

Su funcionamiento puede ser perfectamente correcto.

Y, precisamente porque funcionan, nadie considera prioritario actualizarlos.

Pero las vulnerabilidades no desaparecen porque un equipo continúe realizando correctamente su trabajo.

En ocasiones ocurre lo contrario.

Cuanto más tiempo permanece un dispositivo sin mantenimiento, mayor puede ser la distancia entre sus mecanismos de seguridad y las amenazas actuales.

Por eso necesitamos inventarios actualizados, procedimientos de mantenimiento y políticas de actualización que contemplen también los sistemas industriales.

Naturalmente, actualizar un controlador industrial no siempre es tan sencillo como actualizar un ordenador.

Puede requerir pruebas, ventanas de mantenimiento y coordinación con el fabricante.

Pero esa complejidad no debería justificar que los equipos permanezcan indefinidamente desactualizados.

La seguridad debe estar en la arquitectura

Podemos instalar firewalls excelentes.

Podemos contratar sistemas de detección de amenazas.

Podemos disponer de plataformas avanzadas de monitorización.

Pero si dejamos una interfaz administrativa vulnerable directamente accesible desde Internet, estamos introduciendo un riesgo que podríamos haber evitado desde el diseño.

La seguridad no debería depender exclusivamente de que nadie descubra un dispositivo vulnerable.

Debería construirse mediante capas de protección:

• Segmentación.
• Control de accesos.
• Actualización.
• Supervisión.
• Reducción de la superficie de exposición.
• Registro de los accesos administrativos.
• Mecanismos seguros de acceso remoto.

En sistemas industriales, además, es fundamental considerar qué ocurre cuando fallan las comunicaciones o se pierde el sistema de supervisión.

Los procesos críticos deberían disponer de mecanismos de protección y funcionamiento seguro independientes de la conectividad externa, siempre que su diseño lo permita.

Porque la prioridad no es únicamente mantener la disponibilidad del sistema informático.

Es preservar la seguridad y la continuidad del proceso físico.

Conclusión: no todo necesita estar conectado a Internet

El incidente de los supermercados franceses debería hacernos reflexionar sobre la facilidad con la que estamos conectando dispositivos a redes externas.

La conectividad aporta ventajas enormes.

Pero también introduce responsabilidades.

Un controlador industrial no debería estar expuesto a Internet simplemente porque resulte cómodo para su mantenimiento.

Una empresa externa no debería disponer de acceso permanente a nuestras instalaciones sin controles adecuados.

Y un dispositivo que interviene en un proceso físico debería contar con una arquitectura de seguridad acorde con las consecuencias de su posible compromiso.

No estoy defendiendo volver a instalaciones completamente aisladas.

Estoy defendiendo algo mucho más sencillo:

Conectar únicamente lo necesario, permitir exclusivamente los accesos imprescindibles y mantener el control sobre nuestra propia infraestructura.

Porque cuando un ciberataque consigue destruir alimentos manipulando remotamente unos controladores, el problema ya no es solamente informático.

Es un problema de diseño, seguridad y responsabilidad sobre los sistemas que utilizamos.

Y quizá deberíamos empezar a preguntarnos, antes de conectar cualquier nuevo dispositivo:

¿Necesita realmente estar accesible desde Internet?