Bastó la contraseña de fábrica: frigoríficos Copeland se calentaron hasta 150 °C tras un hackeo

Los atacantes obtuvieron el control de 31 unidades de refrigeración y en pocos minutos modificaron cientos de ajustes, incluyendo la temperatura y las señales de alarma. Para el acceso no fue necesario ni un programa malicioso ni una vulnerabilidad compleja. Bastó la contraseña de administrador de fábrica.

El incidente ocurrió el 2 de noviembre de 2026 en un establecimiento comercial sin nombre. El controlador Copeland XWEB Pro con firmware 1.9.0 estaba accesible directamente desde internet. A través de dispositivos como este el personal supervisa las vitrinas, los congeladores y las cámaras frigoríficas, y también cambia los modos de funcionamiento de forma remota. Anteriormente los controladores Copeland ya habían aparecido en ataques contra supermercados.

Según el registro de eventos, alrededor de las 03:10 personas desconocidas iniciaron sesión en el sistema con privilegios Administrator. Primero revisaron los parámetros de 31 dispositivos, y luego, en seis minutos, realizaron 588 cambios en la configuración de 26 unidades. La velocidad alcanzó aproximadamente 98 operaciones por minuto, lo que parece más acciones automatizadas que ajustes manuales.

A las 03:36 apareció una segunda sesión administrativa desde otra dirección IP. Tras comprobar los parámetros, los atacantes modificaron otros 155 ajustes en cinco cámaras frigoríficas. En total, los investigadores contabilizaron 743 registros de parámetros en 31 dispositivos. Sin embargo, el registro no permite determinar si una sola persona o varios individuos gestionaron ambas sesiones.

En algunas unidades la temperatura programada se elevó hasta 110 e incluso 150 °C, y los umbrales de activación de las alarmas se cambiaron a valores extremos. En el registro también aparecieron comandos para bloquear los teclados, desactivar las alarmas sonoras y iniciar el descongelado. Parte de las acciones pudo impedir que el personal detectara la avería a tiempo.

Sin embargo, el registro de un comando no implica que el equipo lo ejecutara necesariamente. Un intento de desactivar una alarma terminó en error, y las temperaturas reales son desconocidas para los investigadores. No se pudo confirmar ni el daño a los productos ni la duración de la alteración del régimen de temperatura. Para evaluar el perjuicio se necesitan lecturas de los sensores y una inspección del equipo.

El controlador funcionaba con un firmware obsoleto. Anteriormente Claroty había descubierto 23 vulnerabilidades en Copeland XWEB Pro, y el fabricante publicó correcciones. Entre los fallos peligrosos está CVE-2026-21718, que permite eludir la autenticación, y CVE-2026-24663, relacionada con la inyección de comandos. Pero no fue necesario explotarlas: las credenciales de fábrica seguían siendo válidas.

El incidente coincidió con una ola de ataques a frigoríficos de supermercados europeos. En octubre resultaron afectados unos 700 comercios franceses, y a principios de noviembre incidentes similares afectaron a otros países. Sin embargo, los autores de la investigación de Ransom-ISAC no encontraron pruebas de conexión entre el hackeo en cuestión y otros ataques ni con los grupos NoName057(16) y Z-Pentest.

Los especialistas recomiendan cambiar de inmediato las contraseñas predeterminadas, retirar las interfaces de los controladores de la exposición pública en internet y actualizar los firmwares conforme a las instrucciones del fabricante. Para el mantenimiento remoto, es preferible usar una pasarela protegida con autenticación multifactor, y comprobar la temperatura con sensores independientes. Incluso un frigorífico en buen estado puede convertirse en peligroso si terceros controlan sus configuraciones.