El ciberataque a supermercados europeos ya tiene factura: decenas de millones de euros perdidos en un solo día en Francia.
La noche del 11 al 12 de octubre, alguien tomó el control de los sistemas de refrigeración de cientos de establecimientos. Las cámaras y los congeladores alcanzaron los 50 °C, el producto se echó a perder y varios locales registraron incendios. Tres semanas después, el 2 de noviembre, el patrón se repitió en Suecia, Bélgica, Luxemburgo y Estonia, con casos también en Irlanda, Países Bajos, Finlandia, Alemania, Portugal, Rumanía e Italia.
Claves de la operación
- Más de 350 supermercados afectados solo en Francia. Intermarché y Netto suman 180 tiendas, Coopérative U al menos 100 y Carrefour 80, con daños que el sector cifra en decenas de millones por jornada.
- El fallo está en el software de frío, no en la tienda. La agencia francesa ANSSI sitúa el origen en los sistemas AK-SC y AK-SM de la danesa Danfoss, con firmware desactualizado y miles de controladores aún accesibles desde internet.
- Sin rescate y sin autoría conocida. Bélgica admite que puede no identificarse nunca al culpable, mientras la fiscalía de París investiga y el marco NIS2 aprieta la responsabilidad sobre los operadores de alimentación.
Del mantenimiento remoto al sabotaje: la nevera como puerta de entrada
El hilo conductor no es un fallo de las cámaras, sino del software que las gobierna. Según la agencia nacional de ciberseguridad francesa, el ataque explotó los sistemas de gestión de refrigeración AK-SC y AK-SM del fabricante Danfoss. La compañía danesa reconoció que las unidades afectadas ejecutaban un firmware desactualizado, la primera grieta de una cadena que llevaba meses avisando.
En agosto, la firma de seguridad Claroty publicó una investigación sobre un controlador del mismo fabricante que permitía a un intruso saltarse el inicio de sesión. Danfoss actualizó el software, pero sus equipos volvieron a aparecer en la oleada del 2 de noviembre. Miles de controladores siguen accesibles desde internet, según Patrick Lamplmair, director de tecnología de la firma Tributech.
El modus operandi fue de una simplicidad incómoda: forzar un ciclo de descongelación continuo y alargar el desescarche de una hora a ocho para retrasar las alarmas. Los evaporadores quedaron en modo deshielo y el sistema hizo el resto. No hay dato que robar ni rescate que negociar, y ahí está su eficacia: unos pocos comandos vacían el stock de una tienda de la noche a la mañana. Los sistemas de refrigeración de los supermercados llevan años conectados para que el mantenimiento se ejecute en remoto, y esa comodidad es exactamente el agujero.
Un frigorífico conectado no guarda secretos: guarda comida. Por eso el sabotaje industrial ya no necesita pedir rescate, solo encontrar la puerta abierta.
Quién paga el stock perdido: el seguro, el fabricante y el margen
La contabilidad del desastre se reparte mal. Thierry Cotillard, consejero delegado de Intermarché, situó las pérdidas en decenas de millones de euros en todo el país en una sola jornada. La fiscalía de París abrió una investigación y el primer ministro, Sébastien Lecornu, reclamó la intervención de la agencia nacional de ciberseguridad. La factura inmediata la paga el comerciante; la estructural, el fabricante.
El recuento de tiendas engordó con los días. Ahold Delhaize y Colruyt confirmaron frigoríficos afectados en decenas de establecimientos de Bélgica y Luxemburgo; las suecas ICA y Coop reconocieron fallos en sus propias tiendas, con siete casos en el de Coop, y Carrefour Bélgica habla de 15 locales de más de 700. Fuentes del sector apuntan además a episodios en Alemania, Portugal, Rumanía e Italia.
Lo que el frío industrial revela del resto de la infraestructura crítica
La investigación de Forescout pone número al problema: 12.976 servicios de refrigeración expuestos a internet en 6.017 direcciones IP públicas repartidas por 99 países. El mismo tipo de controlador gobierna neveras de hospitales, cámaras de almacenamiento farmacéutico, plantas de procesamiento de alimentos y almacenes logísticos. El sabotaje de un supermercado es la versión visible de un riesgo mucho más amplio.
Bélgica asume que puede no llegarse a identificar a los autores. Katrien Eggers, portavoz de su centro nacional de ciberseguridad, lo admitió ante la prensa y añadió su propia preocupación: la IA abarata la explotación de debilidades ajenas. Richard Horne, director del NCSC británico, espera para 2028 un ransomware asistido por IA contra infraestructura crítica y cita la calefacción y la refrigeración entre los procesos físicos de los que depende la sociedad.
En España la exposición no es distinta en concepto. La cadena de frío farmacéutica y alimentaria que mueven operadores cotizados como Logista se apoya en plataformas de monitorización remota contratadas a terceros, la misma arquitectura que en Bélgica permitió a un instalador cambiar evaporadores a modo deshielo. Y el mantenimiento se externaliza: Sabcobel era el proveedor que gestionaba las unidades manipuladas. Ahí está el punto débil del modelo, en un eslabón que nadie audita porque no genera ingresos. El mercado ha interiorizado la ciberseguridad del correo y del ERP, pero sigue sin poner precio a la del suelo de la tienda.
El hito que importa no es la próxima oleada, sino lo que venga después: la investigación de la fiscalía de París, la respuesta del fabricante ante sus clientes y las primeras auditorías de cumplimiento bajo el paraguas de NIS2 sobre la distribución alimentaria, con calendario que apunta a 2027.
