Recursos · Superficie de ataque, Cadena de suministro, Dispositivos conectados, PHP, PAN-OS
Refrigeración, hosting y firewalls: qué comparten los ataques de oct.–nov. de 2026
En cuatro semanas, los atacantes cambiaron la configuración de la refrigeración en supermercados europeos, llegaron a un servicio de sangre a través de su proveedor, borraron la nube de un proveedor de hosting y tomaron el control de firewalls. Qué comparten los casos y qué revisar.
Nuestra opinión
Lo que comparten estos casos no es la web principal de una empresa conocida. Afectaron a controladores de refrigeración accesibles desde internet, a un proveedor de refrigeración, a los servidores de gestión de un proveedor de alojamiento y a firewalls atacados a través de un fallo de PHP; no en todos se ha confirmado cómo entraron los atacantes. Recomendamos que una empresa empiece su revisión de seguridad por lo que expone a internet y de quién depende, no por si parece un objetivo.
IntruForce
Entre el 11 de octubre y el 2 de noviembre de 2026, los atacantes cambiaron la configuración de la refrigeración en cientos de supermercados europeos y en tres depósitos de plasma sanguíneo en Francia. Borraron buena parte de la nube de un proveedor de hosting y tomaron el control de firewalls, los equipos que deben proteger una red.
Son ataques en sectores y países distintos. En cada uno intervino una de tres cosas: un equipo accesible desde internet, un proveedor con acceso o un fallo aún sin corregir.
Ataques a la refrigeración de supermercados: Francia y otros países europeos
En la noche del 11 al 12 de octubre, los atacantes pusieron en modo de descongelación, a distancia, los controladores de refrigeración de supermercados de toda Francia. Algunos equipos llegaron a unos 50 °C y las tiendas tuvieron que tirar alimentos. El ministro de Economía francés cifró los supermercados afectados en unos 700; otras estimaciones son más bajas.
La agencia francesa de ciberseguridad, ANSSI, citó en su alerta controladores de Danfoss y de Copeland (Dixell XWEB). Danfoss declaró a la prensa que la mayoría de los equipos afectados eran modelos antiguos que ya no tienen soporte. No se ha confirmado cómo entraron los atacantes. Se sospecha de software vulnerable y de contraseñas por defecto.
Tres semanas después, en la noche del 1 al 2 de noviembre, un ataque similar afectó a más de 115 tiendas. Estaban en Bélgica, Países Bajos, Suecia, Luxemburgo, Irlanda y Estonia, según BleepingComputer. Entre las cadenas afectadas estaban Delhaize, Carrefour, Intermarché, SuperValu, Coop e ICA. En una tienda de ICA la temperatura programada se cambió a +50 °C, y un sistema de Coop empezó a calentar en lugar de enfriar.
Unit 42, el equipo de investigación de Palo Alto Networks, contó más de 5000 equipos accesibles desde internet de los fabricantes citados en la alerta francesa. Ser accesible no significa ser vulnerable. Tras la alerta, los equipos de este tipo visibles desde internet en Francia bajaron de 1853 a 316.
Servicio de sangre francés (EFS): un incidente en los equipos de su proveedor
El 2 de noviembre, en tres centros del Établissement français du sang (EFS), el servicio de sangre de Francia, la temperatura de los congeladores de plasma se cambió a valores extremadamente altos. Según la prensa, el problema llegó a través del proveedor de los equipos de refrigeración, Coolworld, que atribuyó el incidente a un componente de terceros.
La monitorización de temperatura del EFS detectó los valores anómalos. El personal trasladó o puso a salvo el plasma, y el EFS informó de que no se perdió ningún producto.
Hackeo de Beget: una brecha, muchos clientes
Beget es un proveedor ruso de alojamiento web (hosting) y registrador de dominios. Según su propia estimación, los atacantes llegaron a sus servidores de gestión el 2 de noviembre hacia las 02:00 (hora de Moscú). A las 02:30 lanzaron un programa que borra datos. A las 02:55 Beget desconectó sus servidores de la red.
Beget prevé recuperar la mayoría de las webs en hosting compartido, pero se borraron los datos de los servidores virtuales, del almacenamiento en la nube y de Kubernetes. Beget indicó que también se perdieron las copias binarias de los servidores virtuales, que guardaba el propio Beget; se conservaron algunas copias a nivel de archivos. El 6 de noviembre informó de que estaba reconstruyendo su nube desde cero. La pregunta para cualquier empresa: ¿podría una sola brecha en su proveedor borrar a la vez sus servidores y sus copias de seguridad?
Firewalls PAN-OS atacados a través de PHP2Shell
PHP2Shell es el nombre de CVE-2026-109618 y CVE-2026-109619, dos fallos críticos del propio PHP corregidos el 21 de octubre de 2026. Ya explicamos qué son y cómo encontrar sus sitios en PHP.
Para el 26 de octubre, la empresa de investigación Dreamgroup informó de al menos 25 firewalls y servidores de gestión PAN-OS de Palo Alto Networks bajo control de los atacantes. Combinaron PHP2Shell con un fallo del núcleo de Linux, CVE-2026-46300, para obtener el control total. CERT-EU, el equipo de ciberseguridad de las instituciones de la UE, señala que la cifra es de Dreamgroup, no de una agencia pública. Como en un caso anterior de PAN-OS, lo decisivo fue una interfaz de gestión accesible desde internet.
¿Y la IA?
En los casos de la refrigeración, el EFS y Beget, nada de lo publicado indica que se usara IA. En el caso de PAN-OS, Dreamgroup encontró herramientas de IA en el servidor de los atacantes y cree que el código de sus scripts se desarrolló con ayuda de IA, pero no tiene pruebas directas de que la IA escribiera el exploit.
Otro caso está mejor documentado. El 21 de octubre, Microsoft informó de que el grupo Storm-0940 usó ARTEX, un conjunto de agentes de IA de código abierto creado para pruebas de intrusión, para automatizar ataques a cuentas en la nube. Intentó iniciar sesión en más de 2250 tenants de Microsoft 365, las cuentas en la nube de las organizaciones. Una sola campaña de prueba masiva de contraseñas hizo más de 151 000 intentos fallidos y ninguno tuvo éxito. La automatización aumentó la velocidad y la escala de los intentos; los métodos fueron los de siempre.
Cuatro lecciones de estos casos
- Un equipo que rara vez figura en el inventario de TI, como un controlador de refrigeración, tenía una página de gestión accesible desde internet.
- Un proveedor tenía acceso a los sistemas de la víctima, y ese acceso fue la vía de entrada.
- Las copias de seguridad estaban en el mismo proveedor que los servidores, así que una brecha alcanzó a ambos.
- Un fallo en un componente muy extendido, PHP, llegó a equipos de seguridad; su corrección en un equipo así depende del fabricante y de que el propietario la instale.
- Lo que ayudó en el EFS: una monitorización de temperatura que detectó los valores anómalos y un personal que actuó a tiempo.
Los controladores de refrigeración y del edificio, un servidor de pruebas antiguo o un equipo que instaló un contratista pueden faltar en la lista de lo que su empresa expone a internet. Ayuda comparar lo que cree que expone con lo que realmente está expuesto.
El seguimiento se limita a lo accesible desde internet en las direcciones asociadas a su empresa. No audita los sistemas internos de sus proveedores ni cómo guarda su hosting las copias de seguridad, y no corrige nada. Muestra a su equipo qué revisar primero.
Cinco preguntas para su responsable de informática o TI
- ¿Qué equipos de nuestras instalaciones se pueden gestionar por internet: refrigeración, climatización o aire acondicionado, cámaras, control de accesos? ¿Quién los instaló y quién tiene las contraseñas?
- ¿Qué proveedores pueden conectarse a nuestros sistemas a distancia y en cuánto tiempo podemos cortar ese acceso si atacan a uno de ellos?
- ¿Guardamos las copias de seguridad en el mismo proveedor que los servidores? ¿Podría una sola brecha borrar ambos?
- ¿Cuáles de nuestros sistemas accesibles desde internet usan PHP o tienen una página de gestión de firewall, y tienen ya versiones corregidas?
- Si alguien cambiara una configuración crítica, ¿nos avisaría una alarma independiente?
Fuentes (en inglés)
- Unit 42: ataques a sistemas de refrigeración en Europa, Palo Alto Networks, 6 de noviembre de 2026.
- CERT-EU Cyber Brief 26-11: incidentes de octubre de 2026, incluido PHP2Shell en PAN-OS.