Las agencias federales estadounidenses han emitido una advertencia conjunta de ciberseguridad tras una serie de ataques que demostraron cómo los hackers pueden manipular remotamente equipos de refrigeración comercial. La amenaza va más allá de los supermercados, llegando a hospitales, proveedores de alimentos, empresas de transporte y otras organizaciones que dependen de temperaturas controladas.
El advisory documento , publicado el 5 de noviembre de 2026, fue emitido por el FBI y la Agencia de Ciberseguridad e Infraestructura (CISA), junto con los Departamentos de Salud y Servicios Humanos, Agricultura y Transporte. Las autoridades advirtieron que los atacantes están explotando las debilidades de seguridad en los controladores de refrigeración industrial y los sistemas de monitorización de la cadena de frío.
Estos dispositivos permiten a las empresas monitorizar temperaturas, gestionar ciclos de refrigeración y ajustar equipos de forma remota. Sin embargo, los controladores expuestos directamente a internet, con software obsoleto o con autenticación débil pueden ofrecer a los atacantes oportunidades para interferir con su funcionamiento.
Según las agencias, los actores maliciosos pueden explotar vulnerabilidades de evasión de autenticación, fallos en la inyección de código y configuraciones inseguras para cambiar la temperatura o activar ciclos continuos de descongelación. Algunos ataques también pueden interferir con la monitorización de temperatura, dificultando que los operadores identifiquen condiciones peligrosas.
Las consecuencias pueden ir más allá del inventario dañado. Funcionarios federales advirtieron que los sistemas de refrigeración comprometidos podrían sufrir daños en el equipo, reducir la vida útil operativa y aumentar los riesgos de incendio. En instalaciones sanitarias y farmacéuticas, temperaturas de almacenamiento inadecuadas también podrían amenazar la seguridad de productos sensibles a la temperatura.
La advertencia sigue a dos oleadas de ciberataques contra supermercados europeos. Durante octubre, se informó que hackers comprometieron equipos de refrigeración en unas 250 a 350 tiendas en Francia, cambiando remotamente la configuración de refrigeración y obligando a las empresas a desechar productos.
Nuevos ataques a principios de noviembre afectaron a más de 115 tiendas en seis países europeos. Se informó que algunas unidades de refrigeración estaban configuradas para alcanzar temperaturas de 50°C (122°F), mientras que otras se vieron forzadas a modo de descongelación o dejaron de funcionar normalmente.
La amenaza también llegó a instalaciones médicas. El 3 de noviembre, el servicio nacional de sangre de Francia, Établissement Français du Sang (EFS), confirmó que se habían apuntado a equipos de refrigeración en tres ubicaciones. Las alarmas de monitorización alertaron a los empleados, que aseguraron los suministros afectados antes de que se perdieran productos sanguíneos o muestras.
El FBI y la CISA enfatizaron que las organizaciones no deben asumir que los equipos de refrigeración son seguros simplemente porque operan fuera de los sistemas informáticos corporativos convencionales. Los controladores industriales conectados a Internet pueden presentar riesgos de seguridad cuando no se mantienen o protegen adecuadamente.
Las agencias recomiendan eliminar los controladores de refrigeración del acceso público directo a internet, asegurar las conexiones remotas necesarias tras cortafuegos, cambiar las contraseñas predeterminadas e instalar las actualizaciones de seguridad disponibles. También aconsejan separar la tecnología operativa de las redes empresariales y configurar límites de temperatura seguros y alertas de monitorización efectivas.