Refrigeración industrial y cadena de frío: cinco agencias del Gobierno de Estados Unidos publicaron un aviso contra una oleada de ataques que dejó neveras europeas marcando 50 °C con la comida adentro.
Lo firman la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA), la Oficina Federal de Investigación (FBI), el Departamento de Salud y Servicios Humanos (HHS), el de Agricultura (USDA) y el de Transporte (DOT).
Fecha del aviso: 5 de noviembre de 2026
Firmantes: CISA, FBI, HHS, USDA y DOT
Sectores llamados: salud pública, químicos, alimentación y agricultura, y transporte, incluido el refrigerado
Método: controladores en internet forzados a calentar y descongelar sin parar
El aviso lleva fecha del 5 de noviembre; The Hacker News lo devolvió a la conversación este 9 de noviembre. No cuenta los ataques: ordena cómo defenderse de ellos.
La oleada europea ya tuvo su crónica en el reportaje de la epidemia de hackeo; este documento es la lista oficial de deberes para quien opera una cámara frigorífica, un almacén de alimentos o una flota refrigerada.
El objetivo son los controladores electrónicos de temperatura y los controladores comerciales de refrigeración de tiendas de alimentos y almacenes frigoríficos. Cuando el equipo quedó sin parchar o expuesto a internet, alguien altera los ajustes a distancia y fuerza ciclos continuos de calefacción y descongelación: la nevera trabaja al revés, calentando lo que debía mantener frío.
Las vías de entrada que nombra el aviso son tres y ninguna exige un programa sofisticado: saltarse la autenticación del controlador, inyectar código arbitrario y aprovechar configuraciones débiles, como las contraseñas de fábrica que nadie cambió al instalar el equipo. El aviso no nombra productos, ni una vulnerabilidad con código CVE, ni a los responsables de la oleada.
Lo que un controlador tomado puede provocar
Con el control del termostato, el daño escala rápido. El cambio de temperatura trae cuatro efectos en cadena, detalla el aviso: acorta la vida útil del sistema, crea riesgo de incendio, destruye el inventario guardado y termina dañando a los consumidores que coman productos conservados en condiciones inseguras.
A eso se suma un efecto menos visible y muy práctico: los operadores pierden la visibilidad de las temperaturas reales. La pantalla sigue mostrando frío mientras la mercancía ya se perdió.
Brett Leatherman, director de operaciones de la rama cibernética del FBI, lo planteó sin rodeos: los sistemas de refrigeración y cadena de frío «están siendo atacados en sectores de infraestructura crítica de todo el mundo, poniendo en riesgo el inventario y los equipos».
El alcance que le dan las cinco agencias es global, no una oleada europea.
Detrás del aviso está la oleada europea. En las últimas semanas, atacantes manipularon los sistemas de refrigeración de cientos de supermercados: subieron las temperaturas hasta 50 °C o forzaron el modo de descongelación, y la comida se echó a perder. Los países alcanzados suman doce: Alemania, Bélgica, Estonia, Finlandia, Francia, Irlanda, Italia, Luxemburgo, Países Bajos, Portugal, Reino Unido y Suecia.
Entre los afectados, un nombre sube la apuesta: el banco de sangre francés (Établissement français du sang) confirmó que un incidente contra un proveedor de equipos de refrigeración subió los ajustes de temperatura y descongelación a niveles «extremadamente altos» en tres instalaciones donde se guarda plasma sanguíneo.
Las ocho medidas que ordena el aviso
La respuesta oficial cabe en ocho medidas, alineadas con los Objetivos de Desempeño de Ciberseguridad que mantienen CISA y el Instituto Nacional de Estándares y Tecnología (NIST). Las dos primeras cierran la puerta usada en Europa: sacar los controladores de la exposición pública y aislar los equipos de tecnología operativa (OT) en una red local virtual (VLAN) dedicada, separada de la red de oficinas.
Después van las llaves y la vida del equipo: cambiar las contraseñas por defecto, imponer contraseñas fuertes y activar la autenticación multifactor resistente al phishing; aplicar los parches de firmware y retirar y reemplazar los equipos heredados al fin de su vida útil; y mantener listas de permitidos de dispositivos y direcciones IP, para que solo los autorizados puedan tocar un ajuste.
Cierran las medidas de vigilancia y contención: copias de seguridad externas y fuera de línea, probadas; registros activados y revisados buscando actividad rara; y límites razonables de consigna en los equipos que dependen del controlador, con alertas ante cualquier desviación.
Si un controlador cae en manos ajenas, la máquina que cuelga de él no debería poder dispararse a 50 °C por su cuenta.
Censys, plataforma que mide la exposición de sistemas industriales en internet, registró el repliegue: las instancias visibles de Danfoss StoreView bajaron de 3.004 a 708 entre el 9 de octubre y el 5 de noviembre, y las de Copeland/Dixell XWEB, de 3.708 a 2.420. Norteamérica concentra cerca del 38 % de la exposición mundial de sistemas de control industrial.
Danfoss AK-SM y AK-SC y los Copeland/Dixell XWEB, en cambio, salen nombrados en la alerta CERTFR-2026-ALE-012 del CERT-FR francés, no en el aviso, que no nombra marcas. Esa separación importa: el aviso ordena la defensa sin señalar productos.
El descenso de StoreView —de 3.004 equipos visibles a 708 en menos de un mes— muestra que la medida más barata es la que más rápido cierra el hueco: sacar el controlador de la internet pública no cuesta licencias. Quedan 2.420 sistemas XWEB visibles para cualquiera que los busque, y ninguna agencia ha puesto nombre al grupo que movió los termostatos de Europa.
Fuente: CISA
