La ciberseguridad del IoT industrial consiste en proteger los equipos conectados que controlan un proceso físico. Los ataques contra reguladores frigoríficos franceses en octubre de 2026 muestran que un simple acceso remoto puede provocar un aumento de temperatura, dañar equipos e interrumpir la actividad. Para una pyme, la prioridad está clara: eliminar la exposición directa a Internet, controlar los accesos y supervisar los ajustes críticos.
¿Qué ocurrió en los supermercados franceses?
Los días 11 y 12 de octubre de 2026, varios accesos remotos comprometidos alteraron los reguladores frigoríficos de cientos de supermercados franceses. Según Associated Press, entre las cadenas afectadas se encontraban Intermarché, Netto, Coopérative U, Carrefour, E.Leclerc y Monoprix. La modificación de los ajustes provocó pérdidas de alimentos y daños materiales.
El CERT-FR identificó el 13 de octubre de 2026 varias familias de equipos comprometidas: Danfoss AK-SM y AK-SC, Copeland XWEB y Dixell XWEB. La alerta CERTFR-2026-ALE-012 indicaba además que las campañas de ataque probablemente seguían activas. La segunda oleada, dirigida contra instalaciones Dixell, demostró sobre todo que el incidente no afectaba a un único fabricante.
Las consecuencias salieron del sistema informático. Se prolongaron ciclos de descongelación y se manipularon consignas de temperatura. Le Monde informó en 2026 de que una cámara frigorífica de un Intermarché había alcanzado los 50 °C después de que un ciclo de descongelación pasara de una hora a ocho horas. Otra tienda comunicó que algunos equipos habían alcanzado los 80 °C.
El 13 de octubre de 2026, el ministro francés de Economía estimó que unos 700 supermercados de un total de 10 000 se habían visto afectados, según Associated Press. Esta cifra sigue siendo una estimación comunicada por una única fuente. La unidad de ciberdelincuencia de la fiscalía de París abrió una investigación sobre los alimentos destruidos, los daños y los posibles riesgos de incendio.
¿Por qué afecta la ciberseguridad del IoT industrial a las pymes?
La ciberseguridad del IoT industrial afecta a cualquier pyme cuyo equipo conectado actúe sobre la refrigeración, la calefacción, la energía, el acceso a las instalaciones o la producción. Un compromiso no se limita al robo de datos: puede modificar un proceso físico, detener la actividad y generar gastos de sustitución o de puesta en conformidad.
IoT significa «Internet de las cosas»: son dispositivos capaces de intercambiar datos a través de una red. OT, por «tecnologías operativas», designa los sistemas que supervisan o controlan máquinas y procesos físicos. Por tanto, un regulador conectado de una cámara frigorífica pertenece tanto al ámbito del IoT como al de la OT.
El error más frecuente no siempre es una vulnerabilidad espectacular. Se trata de una interfaz de administración que se deja accesible desde Internet para facilitar el mantenimiento por parte de un proveedor. Claroty indicó en 2026 que había localizado 2 765 controladores Danfoss AK-SM 800A expuestos en Internet mediante el buscador técnico Censys durante sus investigaciones.
Esta facilidad operativa traslada el riesgo a la empresa explotadora. ¿Quién verifica las actualizaciones? ¿Quién cierra la cuenta de un técnico que ya no trabaja allí? ¿Quién detecta que una consigna ha pasado de −22 °C a un valor aberrante? En los proyectos que llevamos a cabo, a menudo vemos estas responsabilidades repartidas entre informática, mantenimiento y el proveedor, sin un responsable claramente designado.
La dependencia de los proveedores también debe regularse en los contratos. Los requisitos de seguridad pueden extenderse a las pequeñas empresas a través de sus empresas contratantes, como explica nuestro análisis del efecto cascada de NIS2 sobre los subcontratistas.
¿Basta con aplicar un parche de software para proteger un equipo conectado?
Un parche reduce las vulnerabilidades conocidas, pero por sí solo no protege un equipo IoT industrial. La defensa también se basa en evitar la exposición pública, utilizar credenciales individuales, separar la red y supervisar los cambios. El vector exacto de los ataques franceses de octubre de 2026 no estaba confirmado el 13 de octubre de 2026.
Esta matización evita una atribución precipitada. Ciertamente, existían vulnerabilidades en determinados equipos Danfoss, pero ninguna fuente disponible el 13 de octubre de 2026 permitía afirmar que se hubieran utilizado durante esta campaña. También podían haber intervenido una interfaz expuesta, una contraseña comprometida u otra debilidad.
En 2023, Synacktiv documentó en el Danfoss AK-SM 800A anterior al firmware 3.3 vulnerabilidades que permitían extraer una huella de contraseña y, combinando las vulnerabilidades con un acceso autenticado, ejecutar comandos de forma remota. El firmware es el software interno del equipo.
En 2025, las vulnerabilidades CVE-2025-41450, CVE-2025-41451 y CVE-2025-41452 afectaron a los controladores Danfoss AK-SM 8xxA. Según Claroty en 2026, el firmware Danfoss 4.3.1 corregía, entre otros problemas, las vulnerabilidades de inyección de comandos y de control de configuración. No obstante, instalar un parche en producción exige realizar una copia de seguridad, efectuar pruebas y disponer de una posibilidad de reversión; nuestra guía sobre el patch management sin interrupción de la producción detalla esta disciplina.
| Equipo o familia | Hallazgo documentado | Acción prioritaire |
|---|---|---|
| Danfoss AK-SM 800A | Vulnerabilidades documentadas en 2023 antes de la versión 3.3 | Verificar la versión y eliminar el acceso directo a Internet |
| Danfoss AK-SM 8xxA | Tres CVE publicadas en 2025; parches incluidos en la versión 4.3.1 | Evaluar la actualización a la versión 4.3.1 o a una versión posterior validada |
| Danfoss AK-SM y AK-SC | Compromisos comunicados por el CERT-FR el 13 de octubre de 2026 | Comprobar todos los parámetros y los ciclos de descongelación |
| Copeland XWEB y Dixell XWEB | Equipos añadidos a la alerta del CERT-FR en 2026 | Cerrar la exposición pública y restablecer el acceso mediante una red protegida |
Sinceramente, actualizar los equipos mientras se mantiene una consola de administración abierta al público deja una puerta innecesaria. La documentación de Danfoss de 2026 recomienda, además, colocar los dispositivos detrás de un cortafuegos, con un acceso remoto seguro. En el caso de los programas comercializados, las responsabilidades también evolucionan con la Cyber Resilience Act y sus obligaciones en 2026.
¿Qué medidas deben aplicarse con prioridad a un parque de IoT industrial?
Un plan de ciberseguridad del IoT industrial comienza con el inventario y, a continuación, cierra las interfaces públicas antes de segmentar las redes y corregir los equipos. En 2026, el CERT-FR también recomienda verificar cada ajuste, sustituir las contraseñas predeterminadas y restaurar la administración únicamente mediante una red protegida o una VPN segura.
Una VPN, o red privada virtual, crea un canal cifrado hacia la red de la empresa. No debe convertirse en un acceso colectivo permanente. Cada proveedor recibe una cuenta limitada, habilitada durante su intervención y asociada a registros que permitan saber quién se ha conectado y qué acciones ha realizado.
Este es el orden de actuación más eficaz para reducir rápidamente el riesgo:
- Inventariar los activos. Anote el fabricante, el modelo, el número de serie, la versión del firmware, la dirección de red, el responsable interno y el proveedor asociado.
- Cerrar la exposición a Internet. Retire las interfaces de administración públicas y bloquee los puertos que no sean necesarios para el funcionamiento empresarial.
- Revisar los accesos. Elimine las contraseñas predeterminadas, cree cuentas nominativas y limite los permisos a la tarea prevista.
- Segmentar las redes. Separe la red ofimática de TI de la red operativa de OT para que un equipo comprometido no pueda conectarse directamente a los autómatas.
- Actualizar con método. Realice una copia de seguridad de la configuración, verifique la compatibilidad, pruebe el parche y prevea una reversión a la versión anterior.
- Supervisar de forma independiente. Active una alarma ante una modificación inusual de la temperatura, del calendario de descongelación o de la configuración de red.
Las recomendaciones OT publicadas por la CISA entre 2025 y 2026 hacen hincapié en el inventario de los equipos y los firmwares, la prioridad otorgada a los activos críticos, la separación entre IT y OT y el acceso de los proveedores a través de un servidor intermediario supervisado o una VPN. Un servidor intermediario, a veces denominado bastión, centraliza y registra las conexiones de administración.
¿Cómo supervisar los equipos sin depender del sistema atacado?
La supervisión de un equipo IoT industrial debe mantenerse independiente de su consola de administración. Una sonda de red o una alarma física independiente puede señalar un tráfico inusual, una consigna incoherente o una modificación de la configuración. Las recomendaciones de seguridad industrial de la CISA publicadas entre 2022 y 2026 respaldan este principio de control independiente.
Si un atacante controla el regulador y la pantalla que muestra su estado, el operador puede recibir información engañosa o demasiado tardía. Una sonda de temperatura independiente, conectada a un canal de alerta distinto, permite comparar la temperatura real con la consigna registrada. En una cámara frigorífica, esta redundancia protege directamente los productos.
Los umbrales deben adaptarse a la actividad. Una conexión nocturna inusual, varios parámetros modificados en pocos segundos o un ciclo de descongelación notablemente prolongado justifican una alerta. Le Monde informó en 2026 de que un proveedor había observado dos o tres parámetros Dixell modificados por segundo, lo que sugería una acción automatizada sin demostrar el mecanismo de intrusión.
Por parte de la agencia, también hay que comprobar el funcionamiento del canal de alerta: destinatario ausente, buzón de correo electrónico saturado, notificación bloqueada o número de teléfono no actualizado. Un sensor que detecta correctamente el incidente, pero no avisa a nadie, no reduce el tiempo de exposición.
¿Cómo preparar un plan de respuesta ante un ataque contra un dispositivo IoT?
Un plan de respuesta para IoT debe especificar quién aísla el equipo, quién verifica el proceso físico y quién autoriza la puesta en servicio. La prioridad consiste en proteger a las personas y las instalaciones, conservar los registros, controlar todos los parámetros y restaurar una configuración conocida. Restablecer simplemente la contraseña no es suficiente.
En una instalación frigorífica, el equipo técnico debe poder cambiar a un modo local seguro si el fabricante lo permite, registrar las temperaturas con un dispositivo independiente y fotografiar los ajustes antes de realizar cualquier modificación. Los registros de conexión, las configuraciones exportadas y los horarios de las alarmas ayudarán posteriormente al proveedor, a la aseguradora o a los investigadores.
La reconexión solo debe producirse después de eliminar la exposición pública, renovar las credenciales y revisar los ajustes, incluidos los calendarios de descongelación. El CERT-FR recomendaba precisamente estos controles el 13 de octubre de 2026. La reanudación debe ser progresiva y contar con una supervisión reforzada.
Por tanto, la ciberseguridad del IoT industrial no es una compra aislada, sino una organización coordinada entre la dirección, el departamento de informática, el mantenimiento y los proveedores. Definir las responsabilidades, los accesos y los procedimientos antes del incidente evita gran parte de las sorpresas desagradables. A menudo es en esta fase cuando una perspectiva externa permite ahorrar tiempo.
Preguntas frecuentes sobre la seguridad de los equipos IoT industriales
¿Cómo saber si un equipo industrial está expuesto en Internet?
Una auditoría de red y el examen de las reglas del cortafuegos permiten identificar las interfaces accesibles públicamente. El inventario también debe registrar las redirecciones de ports, los servicios de administración remota y los accesos instalados por los proveedores.
¿Basta una VPN para proteger el mantenimiento remoto?
Una VPN protege el canal de conexión, pero debe complementarse con cuentas nominativas, permisos limitados, registro de actividad y una duración de acceso restringida. Una cuenta VPN compartida o permanente sigue comportando un riesgo elevado.
¿Hay que desconectar inmediatamente un sistema automatizado comprometido?
La desconexión de un autómata comprometido depende del riesgo físico y del proceso controlado. El operador debe proteger a las personas y las instalaciones, y después aislar la red según un procedimiento preparado con el mantenedor para evitar una parada peligrosa.
¿Quién debe gestionar las actualizaciones de los dispositivos conectados profesionales?
La responsabilidad de las actualizaciones debe asignarse por escrito a la empresa, al encargado del mantenimiento o al fabricante, según el contrato. No obstante, una persona responsable interna debe verificar las versiones instaladas, los avisos de seguridad y la realización efectiva de las operaciones.