Los ciberataques al frío pasan de los supermercados a los bancos de sangre

Uno de los incidentes de ciberseguridad más graves de un año de por sí duro sigue causando estragos.

La campaña de ciberataques contra la cadena de frío europea se extiende a nueve países en tres semanas, ha comprometido las reservas de plasma del banco de sangre nacional de Francia y tiene 195 sistemas con las mismas características directamente expuestos en España.

S2GRUPO ha identificado 195 interfaces de supervisión frigorífica accesibles desde Internet en España: 80 Danfoss StoreView y 115 sistemas XWEB de Copeland/Dixell. Se trata de los mismos equipos comprometidos en los nueve países afectados, y que en España se concentran en Madrid (53), Barcelona (19), Palma (6), Valencia (6), Murcia (6) y Burgos (5). El hecho de que varios aparezcan agrupados bajo un mismo integrador implica que, si sus sistemas quedan comprometidos, el atacante podría acceder a múltiples instalaciones de forma simultánea.

El 3 y el 4 de noviembre, el grupo Z-Pentest Alliance, junto con NoName057(16), difundieron un mensaje en el que relacionan los ataques de Francia y de la segunda oleada con su actividad contra controladores Danfoss y Dixell XWEB expuestos a Internet. Este mensaje no constituye una reivindicación formal: no afirma la autoría, reconoce que nadie ha reclamado los ataques y no aporta pruebas verificables. La firma SentinelOne ha publicado una evaluación que lo considera una línea de investigación creíble, pero insuficiente para establecer atribución.

Lo que sí está documentado de forma independiente es el historial de estos grupos: desde enero de 2026 se les atribuyen múltiples ataques reivindicados contra sistemas industriales en España y otros países de Europa.

"A pesar de que no hay atribución confirmada para los ataques de octubre y noviembre, existe un historial documentado de actividad contra infraestructura industrial española que debería activar conversaciones que hoy no están ocurriendo”, comenta José Miguel Rosell, CEO y cofundador de S2GRUPO. “Las 195 interfaces identificadas en España presentan la misma superficie de exposición explotada en nueve países. El riesgo no es teórico, y España no es simplemente un objetivo potencial. Que grupos con presuntos vínculos prorrusos documenten en sus propios canales ataques previos contra instalaciones en España convierte esta campaña en algo que va más allá de la ciberseguridad industrial”.

Dos niveles de ataque, un mismo punto de entrada

El análisis de los incidentes en nueve países revela, según el informe técnico de S2GRUPO, dos modalidades diferenciadas:

Nivel 1 — Modificación de consignas. El atacante eleva los umbrales de temperatura sin activar ninguna función especial. No requiere conocimiento del proceso frigorífico. Cualquier actor con acceso al panel puede ejecutarlo. Con la información disponible hasta el momento es probablemente lo que ocurrió en el caso del Établissement Français du Sang.

Nivel 2 — Activación del desescarche. El atacante activa el modo que invierte el ciclo frigorífico para generar calor de forma activa. Esto requiere entender el proceso industrial para causar el mayor daño en el menor tiempo. Algo documentado en los supermercados de Francia, Bélgica y otros países, donde los congeladores de -18°C alcanzaron los +50°C.

"Elevar la consigna de temperatura está al alcance de cualquier actor con acceso a un panel expuesto en Internet, sin que sepa nada de refrigeración. Activar el desescarche requiere de un nivel de conocimiento mayor del proceso industrial”, apunta Óscar Navarro, responsable de Ciberseguridad Industrial en S2GRUPO. “Esta campaña ha demostrado que ambos perfiles están activos en Europa, y quienes ejecutan la activación del desescarche no son oportunistas, sino actores que entienden los procesos y buscan el máximo impacto".

El caso EFS: plasma sanguíneo, confirmado oficialmente

La misma noche del 1 al 2 de noviembre, el Établissement Français du Sang sufrió la manipulación de las cámaras frías de tres centros donde se almacenaban plasma para transfusiones, plasma para fabricación de medicamentos y muestras de donantes.

Los atacantes no accedieron directamente al EFS. Utilizaron el acceso de su proveedor de frío, Coolworld. La acción se limitó al Nivel 1: elevaron las consignas de temperatura, sin activar el desescarche. Las alarmas detectaron la anomalía, los productos se trasladaron de forma preventiva y no hubo pérdidas. El EFS, el Ministerio de Sanidad francés y la ANSSI investigan el incidente.

Los vectores de entrada: de hipótesis a hechos confirmados

Las autoridades de tres países han confirmado esta semana los mecanismos de entrada utilizados en los ataques:

•       Contraseñas por defecto y conexiones sin proteger (Danfoss, en Países Bajos)

•       Acceso a través del proveedor externo (CNCS, en Portugal; Axfood, en Suecia)

•       Interfaces obsoletas con autenticación deficiente expuestas a Internet (Gobierno italiano, en Italia)

Tres vías distintas y un solo problema de fondo: sistemas de control industrial conectados a Internet sin las medidas mínimas de seguridad, gestionados por terceros que tampoco las aplicaban.

Óscar Navarro lo pone de manifiesto: "Durante semanas hablamos de hipótesis sobre cómo entraron los atacantes, y esta semana ya hemos visto confirmaciones oficiales en tres países, que apuntan a falta de cambio de contraseñas, supervisión de accesos de proveedores o desconexión de interfaces. No es sofisticación técnica lo que ha permitido comprometer la cadena de frío de nueve países europeos, sino el incumplimiento sistemático de medidas básicas documentadas y conocidas".

La segunda oleada: ocho países en una noche

A los cinco países atacados inicialmente (Bélgica, Luxemburgo, Suecia, Irlanda y Estonia) se sumaron en la noche del 1 al 2 de noviembre tres nuevos escenarios:

•       Países Bajos: al menos 17 empresas. Danfoss confirma sus equipos entre los comprometidos: contraseñas por defecto y sin conexión protegida.

•       Italia: más de 20 supermercados en Sicilia y casos en Emilia-Romaña, Toscana, Abruzos y Cerdeña. El Gobierno reunió de urgencia a la Agencia de Ciberseguridad Nacional (ACN).

•       Portugal: siete Intermarché afectados, tres con pérdida total de mercancía. El CNCS confirma acceso no autorizado a través del proveedor externo.