El ciberataque a supermercados en Francia ha dejado inservibles los sistemas de frío de unos 700 establecimientos. No hubo robo de datos ni petición de rescate: los atacantes entraron en los controladores que administran neveras y congeladores, forzaron el desescarche y mantuvieron los equipos a unos 50 grados centígrados hasta que el producto perecedero se perdió y, en varios casos, la instalación eléctrica se incendió.
Las autoridades francesas confirman el vector. El objetivo no fueron los compresores, sino los controladores conectados a internet que permiten a un técnico gestionar de forma remota el conjunto de la instalación frigorífica de una tienda. El ataque fue simultáneo en toda la red afectada, y por eso el hallazgo llegó cuando la mercancía ya era irrecuperable.
Claves de la operación
- El punto débil no era la nevera. Los equipos físicos seguían funcionando; lo que cayó fue el sistema de administración remota que controla el frío de todo el establecimiento.
- Un golpe sin factura cerrada. Unos 700 supermercados con género perdido, daños eléctricos en varios casos y ninguna cifra oficial de pérdidas publicada por las cadenas.
- Tres modelos y un mismo patrón. Los controladores señalados son de la danesa Danfoss y de Dixell y su matriz estadounidense Copeland, con vulnerabilidades críticas recogidas en avisos públicos de seguridad.
El eslabón que nadie audita: la gestión remota del frío
Los avisos públicos de seguridad describen el mismo problema en los tres modelos: vulnerabilidades críticas que permiten iniciar sesión de forma remota con privilegios de administrador. No hace falta un exploit exótico ni un grupo con recursos estatales. Basta con conocer el dispositivo, su firmware y la fecha.
El caso de Danfoss resulta el más ilustrativo. Sus controladores usaban hasta hace poco una credencial que cambiaba cada día, generada a partir de la fecha por un algoritmo incluido en el propio firmware, que está disponible en abierto. Quien dedique unas horas a analizar ese código puede reproducir la contraseña en cualquier equipo que no haya recibido una actualización reciente. El detalle que convierte el fallo en sistémico es otro: las contraseñas diarias son idénticas en modelos desplegados en cientos o miles de tiendas. La llave estaba a la vista.
Con esa llave, el atacante no necesita recorrer tienda por tienda. Activa los desescarches de forma masiva, la temperatura se dispara, el género se pierde y el riesgo eléctrico aparece. En eso se diferencia un incidente molesto de un siniestro con daños materiales.
La factura se reparte en tres partidas: producto tirado, reparaciones eléctricas y días de caja perdidos mientras se recupera la cadena de frío. Ninguna de las cadenas afectadas ha cuantificado todavía el golpe. La magnitud del episodio se mide por el número de tiendas, no por la sofisticación del ataque. No hizo falta más.
El fallo no estuvo en el frío, sino en quien podía ordenarlo a distancia: una credencial predecible basta para apagar el lineal de 700 tiendas a la vez.
Danfoss, Dixell y Copeland: quién responde por el parche
La pregunta incómoda no es técnica, sino contractual. Los controladores llegan a la tienda a través de integradores, instaladores y contratos de mantenimiento, y esa cadena diluye la responsabilidad de actualizar el firmware. El fabricante danés mantiene guías de seguridad para sus equipos, pero la actualización depende de que alguien con acceso a la instalación la ejecute.
El parque instalado juega en contra. Un sistema de frío comercial se amortiza en ciclos largos, y muchos controladores siguen operativos más de una década después de su fabricación. Son equipos que rara vez entran en los planes de renovación tecnológica de una cadena de alimentación, porque no forman parte del negocio digital y no aparecen en la cuenta de resultados hasta que fallan. La seguridad de los dispositivos conectados industriales sigue siendo el capítulo peor financiado de la ciberseguridad corporativa.
Cuentas pendientes.
La factura que nadie quiere firmar: NIS2, seguros y parques instalados
La directiva europea NIS2 incluye la producción, transformación y distribución de alimentos entre los sectores obligados a elevar su nivel de ciberseguridad, y extiende esa exigencia a la cadena de suministro. Es decir, a los proveedores de controladores y a los mantenimientos contratados. En España, esa obligación alcanza a cadenas con miles de tiendas y a los operadores logísticos que las abastecen, un perímetro que hasta ahora se miraba con menos atención que el pago electrónico o la fidelización del cliente. Más contexto sobre este tipo de dispositivos en la entrada de Wikipedia sobre el internet de las cosas.
Aquí aparece el paralelismo con el mercado español. Las grandes cadenas de distribución y las empresas de servicios digitales del IBEX 35 —Telefónica Tech e Indra entre ellas— llevan años vendiendo ciberseguridad industrial como negocio de crecimiento. El episodio francés les da el mejor argumento comercial posible y, a la vez, expone lo que aún no está resuelto: la mayoría de los ataques a entornos operativos no se detecta con antivirus, sino con inventario. Saber qué dispositivos hay conectados, con qué credenciales, y quién puede tocarlos.
Las aseguradoras ya están moviéndose en esa dirección. Las pólizas de daños y de interrupción de negocio empiezan a exigir controles mínimos sobre sistemas operativos y a excluir siniestros derivados de credenciales por defecto. Es la vía más eficaz de todas: cuando el seguro deja de cubrir un fallo evitable, la inversión en seguridad deja de discutirse.
Sobre el alcance y el coste real del incidente, mantenemos la prudencia. Los datos disponibles hablan de unos 700 supermercados y de pérdidas millonarias, sin desglose oficial por cadena ni por región. El próximo hito no será una campaña de parches, sino la respuesta de Danfoss, Dixell y Copeland con calendarios de actualización y la forma en que las cadenas afectadas documentan el incidente ante el regulador. Si la actualización vuelve a depender de que un técnico visite mil tiendas, el problema no estará resuelto: estará esperando la próxima fecha.
