Hackearon Refrigeradores de Supermercados en Europa: Qué Aprender para tus Equipos Conectados

El 1 y el 2 de noviembre de 2026, tiendas de seis países europeos amanecieron con refrigeradores apagados, en modo de descongelamiento o con la temperatura fijada en +50 °C. Según BleepingComputer, fueron más de 115 tiendas en Bélgica, Países Bajos, Suecia, Luxemburgo, Irlanda y Estonia. Un mes antes, la agencia francesa de ciberseguridad había alertado de compromisos masivos de controladores de refrigeración conectados a internet.

Parece una noticia de supermercados y no lo es. Es la historia de cualquier equipo que alguien conectó a internet para administrarlo a distancia y después nadie volvió a revisar. En una empresa mexicana ese equipo suele ser el grabador de las cámaras, el panel de control de acceso, el aire acondicionado del site o el servidor al que entra el proveedor del sistema contable.

Resumen ejecutivo

• Los atacantes entraron por la interfaz de administración de los controladores, expuesta a internet, y cambiaron temperaturas a distancia.
• La primera recomendación oficial fue quitar esos equipos de internet; actualizar o reiniciar no basta si siguen expuestos.
• Grabadores de video, controles de acceso y equipos de clima son el mismo tipo de riesgo: computadoras pequeñas que nadie vigila.
• El acceso remoto de un proveedor se da por VPN o plataforma con usuario propio, con MFA, con horario y con registro. Nunca con un puerto abierto.
• Haz un inventario de lo que tu empresa tiene conectado y de quién puede entrar desde fuera. Es el primer paso y casi nadie lo tiene.

¿Qué pasó exactamente?

Atacantes entraron a distancia a los controladores que gobiernan los refrigeradores y congeladores de las tiendas, y cambiaron la temperatura, apagaron equipos o activaron el descongelamiento. El proveedor de refrigeración de varios sitios dijo que usaron la misma vulnerabilidad que en los ataques de octubre en Francia.

Los técnicos empezaron a desconectar instalaciones alrededor de la 1 de la mañana y algunas tiendas usaron camiones refrigerados para salvar mercancía. En una tienda de Suecia, la temperatura quedó fijada en +50 °C y no se podía cambiar desde el propio equipo, así que hubo que tirar los congelados. El daño no fue informático: fue mercancía perdida, tiendas a medio operar y personal atendiendo una emergencia de madrugada.

¿Cómo entraron?

Por la interfaz de administración, accesible desde internet. El 12 de octubre el CERT-FR, la agencia francesa de respuesta a incidentes, documentó compromisos de controladores de refrigeración de varios fabricantes expuestos en direcciones IP públicas. Su primera recomendación fue retirarlos de internet. Actualizar el firmware o reiniciar no basta mientras sigan expuestos.

La alerta CERTFR-2026-ALE-012 agrega tres puntos que aplican a cualquier equipo conectado. Uno: exponer una interfaz de administración en internet va contra las buenas prácticas, punto. Dos: filtrar en el firewall las direcciones del proveedor sirve como medida de urgencia, no como solución permanente. Tres: un equipo que ya no recibe actualizaciones y sigue expuesto tiene una probabilidad muy alta de volver a ser comprometido, aunque lo restaures de fábrica.

¿Qué tiene que ver con mis cámaras y mi control de acceso?

Mucho. Un grabador de video, un panel de control de acceso o el controlador del aire acondicionado son el mismo tipo de equipo: una computadora pequeña que alguien abrió a internet para verla desde el celular o para que el proveedor dé soporte. Si nadie la actualiza ni sabe quién entra, está en la misma situación que esos refrigeradores.

Lo vemos en nuestra propia mesa de servicio. De los 279 tickets que atendimos entre abril y octubre de 2026, 41 fueron de cámaras: instalación, revisiones, grabadores y videoporteros. Y en dos casos, el proveedor del software de un cliente pidió acceso remoto a su servidor para dar de alta un usuario. Son peticiones normales; el riesgo está en cómo se resuelven.

Equipo	Por qué se conecta a internet	Qué puede pasar si queda expuesto	Qué revisar
Grabador de cámaras (DVR o NVR)	Ver video desde el celular	Ver, apagar o borrar grabaciones; usarlo como entrada a tu red	Acceso por VPN o por la nube del fabricante, no por puerto abierto; contraseña cambiada; firmware al día
Control de acceso	Dar altas y bajas a distancia	Abrir puertas, crear credenciales, borrar la bitácora	Red separada; quién lo administra; bitácora revisada
Clima, refrigeración o UPS	Monitoreo del proveedor	Apagar equipo, dañar mercancía o tumbar el site	Acceso del proveedor por VPN y con horario; qué dice el contrato
Servidor con el sistema contable	Soporte del proveedor de software	Robo de datos y entrada a toda la red	Acceso temporal con cuenta propia del proveedor, que se cierra al terminar

Si te preguntas qué tan lejos queda esto de las cámaras que ya tienes, empieza por cámaras IP contra analógicas y la guía de videovigilancia empresarial.

¿Cómo le doy acceso remoto a un proveedor sin abrirle la puerta a nadie?

Con cuatro reglas: el acceso pasa por una VPN o una plataforma de acceso remoto con usuario propio del proveedor, nunca por un puerto abierto en el router; usa verificación en dos pasos; tiene horario o se activa solo cuando se pide; y queda registrado quién entró y qué cambió. Al terminar el contrato, se da de baja.

La última regla es la que más se olvida. Un proveedor que dejó de dar servicio hace dos años y todavía tiene usuario en tu grabador o en tu servidor es una puerta abierta que nadie vigila. Trátalo como a un empleado que se va: lo explicamos en el checklist de altas y bajas de personal, y la verificación en dos pasos en MFA y gestión de contraseñas.

¿Qué reviso esta semana?

Cinco cosas, en este orden. Ninguna requiere comprar equipo; requieren que alguien de tu empresa o tu proveedor dedique unas horas:

1. Inventario: cada equipo conectado, dónde está, quién lo administra y cómo se entra desde fuera.
2. Puertos abiertos: revisa en el router o el firewall las reglas que abren puertos hacia adentro. Cada una debe tener dueño y razón; si no la tiene, se cierra.
3. Contraseñas de fábrica: ningún grabador, panel o controlador con la contraseña con la que llegó.
4. Equipos sin soporte: si el fabricante ya no publica actualizaciones, ese equipo no debe verse desde internet.
5. Plan manual: qué hace tu personal si un equipo deja de responder o hace algo raro de madrugada, y a quién llama.

Mi postura: el problema no es conectar equipos, es que nadie sea dueño del acceso. El equipo que alguien abrió para "verlo desde el celular" y que ya nadie recuerda es exactamente el que se encuentra quien escanea internet buscando puertas.

Si quieres saber qué tiene tu empresa conectado y quién puede entrar, haz el diagnóstico de seguridad o agenda una revisión de tus equipos conectados en scram.com.mx. Para la parte informática, lee la guía de ciberseguridad para empresas, y para la física, el comparativo de control de acceso.