Una alerta de apenas unos párrafos, publicada por el CERT-FR (Computer Emergency Response Team o Equipo de Respuesta a Emergencias Informáticas de Francia), describe un problema técnico. Pero también deja ver cómo se generan, sin que nadie lo decida, los riesgos que afectan la disponibilidad de las infraestructuras que sostienen las ciudades.
Un boletín que dijo poco
El 12 de octubre de 2026, el CERT-FR publicó un boletín con un título “Incidente de seguridad dirigido a los controladores remotos de las instalaciones de refrigeración”. El texto cabe en una pantalla. Decía que el organismo tenía conocimiento de numerosos compromisos de controladores remotos de refrigeración de las series AK-SM y AK-SC de Danfoss. Un día después, una actualización amplió la lista con otros dos nombres: Copeland xweb y Dixell xweb.
Lo llamativo del documento es lo que omite. El campo de riesgo figura como “no especificado por el fabricante”. No cita un código de vulnerabilidad, no atribuye el incidente a nadie y no cuantifica ningún daño. Lo que ofrece es una frase demasiado simple: “exponer una interfaz de gestión a Internet es, en general, contrario a las buenas prácticas”.
Conviene leer esa frase con atención, porque dice menos sobre un ataque que sobre una forma de construir cosas.
La conveniencia como punto de falla
Un controlador de refrigeración tiene una función simple: mantener una temperatura dentro de un rango. Que se pueda administrar a distancia es una idea razonable. Evita visitas de técnicos, permite ajustes rápidos y deja que un proveedor especializado vigile muchas instalaciones a la vez. Es decir, la conexión remota no es un accidente o una vulnerabilidad: es parte de cómo está organizado el servicio.
Esto es lo que vuelve difícil el problema. Ninguna de las decisiones que llevan a que un dispositivo esté expuesto a Internet es absurda tomada por separado. Alguien quiso comodidad, alguien quiso reducir costos de mantenimiento, alguien aceptó una configuración que funcionaba. La seguridad no siempre se pierde de golpe. A veces se deteriora de a pequeños pasos, cada uno defendible, hasta que el conjunto es otra cosa: un dispositivo que controla algo físico y que puede ser alcanzado desde cualquier lugar de la red.
Cuando el software maneja cosas y no sólo información
Hay una diferencia de fondo entre un sistema que maneja información y uno que maneja materia. Si se compromete una base de datos, el daño es sobre información como datos que se filtran. Si se compromete un controlador de refrigeración, el sistema ya no se limita a registrar dato, modifica un entorno físico.
El informe da una pista de qué les preocupa a quienes hicieron la investigación. Entre las verificaciones que pidieron a los operadores estuvo la de revisar toda la configuración, en especial las franjas de descongelamiento. No dicen que ese sea el mecanismo del incidente y no debe leerse como tal. Pero la recomendación apunta a algo importante: los parámetros que gobiernan el comportamiento físico de un dispositivo son también la superficie de ataque. Quien puede cambiarlos no necesita atacar nada en el sentido convencional de un ciberataque . Le basta con administrar el equipo como lo haría el dueño legítimo, pero con parámetros dañinos.
Este es el modo de falla más complejo de la seguridad de los sistemas físicos: aun si el acceso inicial se obtuvo explotando un error, lo que el atacante hace después es usar funciones legítimas del equipo. Las defensas pensadas para detectar código malicioso o comportamientos anómalos del software pueden no servir, porque lo que ocurre se parece demasiado a una operación normal. Y de ahí se desprende una pregunta de diseño que casi nunca se hace en voz alta: ¿qué debería ser físicamente imposible que hiciera este equipo, sin importar quién se lo pida? Un límite impuesto por el hardware o por un mecanismo independiente de la red no se puede reconfigurar a distancia. Un límite que vive en la misma interfaz expuesta, sí.
El problema del equipo sin parche
El párrafo más severo del boletín es una advertencia. Mantener expuesto a Internet un equipo para el cual ya no existe actualización de seguridad porque llegó al fin de su vida útil lo expone a una probabilidad muy alta de compromiso. Y agrega algo clave: restablecer el equipo a los valores de fábrica no alcanza. Eliminará lo que dejó el atacante, pero la vulnerabilidad seguirá ahí, y el equipo será, con toda probabilidad, comprometido otra vez.
Vale detenerse en esa lógica, porque describe un problema sin solución. El procedimiento de reinicio, que es lo que uno haría instintivamente, no resuelve nada si el defecto sigue vigente. Lo único que cambia la situación es quitar el equipo de Internet o reemplazarlo.
Aquí aparece un problema de incentivos que la industria conoce bien y no ha resuelto. Cuando un producto deja de recibir correcciones, el fabricante queda, en la práctica, liberado de su responsabilidad. El riesgo se traslada a quien lo tiene instalado, que muchas veces no sabe qué versión corre, ni si está en soporte, ni siquiera si el equipo es accesible de alguna manera. Es un caso típico de irresponsabilidad: quien podría reducir el riesgo no lo hace y el usuario no tiene cómo evaluarlo. Mientras los costos de la falla recaigan sobre alguien distinto de quien decide el diseño y el ciclo de vida del producto, no hay motivación económica para que el problema se corrija desde el origen.
Lo que las recomendaciones admiten sin decirlo
Las medidas que propone el CERT-FR son las que cualquier profesional de Ciberseguridad recitaría de memoria. Si el equipo está comprometido hay que desconectarlo de Internet, verificar su configuración, restablecer el acceso solo por VPN segura o red protegida, actualizar el firmware, subir el nivel de seguridad al modo estricto y cambiar las contraseñas por defecto.
Leída al revés, esta lista funciona como un diagnóstico del estado previo. Si hay que recordar que se cambien las contraseñas por defecto, es porque en muchos equipos no se habían cambiado. Si hay que pedir que se quite la exposición directa a Internet, es porque esta existía. Nada de esto requiere un conocimiento nuevo. Esa es la parte más reveladora: la seguridad de estos sistemas rara vez falla por ignorancia técnica. Falla por una cuestión de propiedad. Nadie se siente responsable de la seguridad del equipo que “simplemente funciona”.
Hay un detalle que merece atención. Como medida de urgencia, el informe sugiere filtrar en un firewall las direcciones IP de origen de los proveedores de refrigeración y, acto seguido, aclara que esa solución no debe considerarse duradera. Es una advertencia honesta y refleja una realidad: el control por dirección IP es mejor que nada, pero es una barrera frágil. Sirve para ganar tiempo, no para solucionar el problema.
La asimetría que no se ve
Defender demanda acertar siempre, en todos los equipos, en todas las instalaciones, durante años. Atacar solo exige encontrar un equipo mal configurado. El informe lo sugiere sin formularlo cuando habla de “gran cantidad de equipos comprometidos”, por lo que no se trata de un caso aislado, sino de un patrón que se repite porque la condición que lo permite, la exposición a Internet de una interfaz de gestión es común.
Y la advertencia final del texto cierra el círculo: es probable que las campañas contra estos equipos continúen. No hay un momento de “fin del incidente” en el que se pueda bajar la guardia, porque el defecto sigue disponible para quien lo quiera aprovechar.
Aquí la analogía útil no es la de una batalla sino la de una enfermedad endémica. Mientras haya equipos expuestos y sin actualizar, habrá nuevos casos. La respuesta no puede consistir solo en atender cada brote. Se deben cambiar las condiciones que lo hacen posible: qué se vende, cómo se conecta, quién responde cuando el soporte termina.
Lo que no sabemos, y por qué importa decirlo
El informe no atribuye el incidente a ningún actor, no identifica una falla específica y no describe el alcance. Esa reticencia no es una debilidad del documento. Es una práctica propia de la respuesta a incidentes: se publica lo que se sabe cuándo todavía puede servir para actuar, y se deja el resto para después. La versión inicial salió el 12 de octubre y actualizada el 13 y el 16 de octubre. Es decir, el texto se estaba corrigiendo y creciendo mientras el problema seguía abierto.
Esa es quizá la imagen más fiel de cómo se defiende hoy la infraestructura informática: con avisos escritos de manera desprolija, que dicen lo suficiente para que alguien desconecte un equipo de Internet antes de que sea tarde. Funciona. Pero un sistema que depende de eso para no fallar es un sistema del que nadie se ocupó de proveerle Cibersguridad.
Lo que tenemos que tener en cuenta es que este incidente en Francia es sólo una pequeña muestra de los riesgos que existen en todos los tipos de infraestructuras conectadas a Internet que, de manera directa o indirecta, pueden afectar a las personas.
Leer más
- Los ciberataques avanzan con inteligencia artificial, pero las empresas siguen respondiendo a velocidad humana
- Ciberataques con inteligencia artificial: un hacker usó agentes de IA y US$ 5.000 para atacar más de 100 empresas
- Ciberataque en Francia: manipularon los frigoríficos de cientos de supermercados y se perdieron alimentos
