EN 30 SEGUNDOS
- ¿Qué ha pasado? Un ciberataque a infraestructura crítica manipuló los sistemas de refrigeración de tres instalaciones de plasma del Establecimiento Francés de Sangre (EFS), con intentos de elevar la temperatura de -30 ºC a 110 ºC durante la madrugada del lunes al martes.
- ¿Quién está detrás? Ningún grupo ha reivindicado la intrusión. La agencia ANSSI y el Ministerio de Sanidad francés investigan. El Kremlin niega las acusaciones que apuntan a Rusia sin pruebas públicas.
- ¿Qué impacto tiene? El EFS sostiene que no se perdió ningún producto. La oleada de sabotajes a la refrigeración comercial afectó en octubre a unos 700 supermercados franceses y esta semana a decenas en Bélgica, Suecia, Luxemburgo, Irlanda y Estonia.
Un ciberataque a infraestructura crítica ha alcanzado los termostatos de tres instalaciones de plasma del Establecimiento Francés de Sangre (EFS). Los atacantes intentaron llevar la refrigeración de los -30 ºC habituales hasta los 110 ºC, muy por encima del punto de ebullición del agua. El servicio nacional de sangre confirmó el miércoles el incidente y aseguró que no se perdió ninguna bolsa.
La intrusión se produjo en la madrugada del lunes al martes. Un técnico de guardia detectó que las temperaturas subían dentro de las cámaras y activó el protocolo. Los sistemas de monitorización y alarma funcionaron: el personal pudo identificar la anomalía, asegurar el material y trasladarlo a otros centros antes de que quedara inutilizado. ‘No se ha identificado ninguna consecuencia sanitaria y no se ha perdido ningún producto sanguíneo’, señaló el organismo, que añadió que la recolección y la distribución continuaron sin interrupción.
El vector no fue el EFS, sino su proveedor. Los atacantes comprometieron los sistemas de monitorización y control que opera una empresa externa de refrigeración, lo que les permitió manipular de forma remota los ajustes de temperatura y de desescarche de las tres cámaras. Dentro había bolsas de plasma destinadas a transfusión y a producción farmacéutica. Varias unidades se apagaron como precaución.
De los -30 ºC a los 110 ºC: el termostato como objetivo
La cifra tiene su propia lógica interna. Ciento diez grados está muy por encima del punto de ebullición del agua: no es un sabotaje para estropear un producto, es un sabotaje para destruirlo por completo. El plasma sanguíneo se conserva a -30 ºC y cualquier excursión térmica sostenida lo inutiliza. Con una sola instrucción remota se puede anular el trabajo de semanas de donaciones.
El proveedor Coolworld confirmó que el ataque afectó a sus sistemas y atribuyó el fallo a una vulnerabilidad en un componente suministrado por otra compañía. Solo un número limitado de sus unidades quedó comprometido, según su versión. La lectura es incómoda para todo el sector: la seguridad de un banco de sangre depende hoy de la seguridad de la cadena de proveedores de su proveedor.
La cadena de frío ya no se protege con alarmas, sino con contratos: el eslabón que nadie audita es el que abre la puerta.
La Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI) y el Ministerio de Sanidad francés investigan el incidente, mientras el EFS ha reforzado la monitorización de temperatura en sus instalaciones. Ninguna formación ha reivindicado el ataque y las autoridades no han establecido un vínculo formal con la oleada que castiga la refrigeración comercial europea desde hace semanas.
De los supermercados a los bancos de sangre: la ola que ya cuesta 250 millones
En octubre, los saboteadores digitales interrumpieron los equipos de frío de alrededor de 700 supermercados franceses, entre ellos Carrefour, Intermarché y Coopérative U. Los comercios tuvieron que desechar grandes cantidades de alimentos, y de producto fresco sin posibilidad de reventa. Esta semana, una nueva tanda de incidentes sospechosos ha alcanzado decenas de establecimientos en Bélgica, Suecia, Luxemburgo, Irlanda y Estonia. En algunos supermercados suecos los termostatos se elevaron hasta los 50 ºC. El patrón se repite: activación remota de los ciclos de desescarche.
Ahold Delhaize puso cifras el miércoles. El grupo neerlandés advirtió de que las disrupciones podrían recortar sus ventas del cuarto trimestre en hasta 250 millones de euros y su resultado operativo en hasta 100 millones. No es un incidente de seguridad: es un incidente de cuenta de resultados. Y ahí está la parte que debería inquietar en Madrid, Bruselas y París por igual.
Sobre la autoría, el cuadro sigue abierto. Politico y la BBC apuntaron a Moscú sin aportar pruebas y sin respaldo de responsables públicos ni de expertos del sector. El portavoz del Kremlin, Dmitri Peskov, calificó las acusaciones de ‘absolutamente absurdas’ y reprochó a los países europeos haber convertido la culpa en un reflejo automático. Analizamos esa puja con prudencia: señalar al adversario equivocado en ciberseguridad cuesta tanto como no señalar a nadie.
Equilibrio de Poder
En el eje Washington-Moscú-Bruselas, el episodio encaja en el guion de la guerra híbrida: objetivos civiles, coste de ejecución ridículo, negación plausible y un efecto psicológico desproporcionado. Bruselas lleva dos años legislando en esa dirección —la directiva NIS2, el reglamento de ciberresiliencia, cuya aplicación plena llega en diciembre de 2027, y el paquete sobre resiliencia de entidades críticas—, pero la norma choca siempre con el mismo muro: la responsabilidad se reparte entre el operador, el integrador y el fabricante del componente, y en ese hueco se cuela el atacante. Washington observa el fenómeno con distancia: su doctrina de defensa de la retaguardia prioriza puertos, energía y agua, no la cadena de frío hospitalaria. El precedente más cercano es el apagón provocado en la red eléctrica ucraniana en diciembre de 2015, cuando un grupo vinculado a Moscú demostró que un operador remoto podía dejar a oscuras a 225.000 abonados. Lo de ahora es la versión barata de aquel manual.
Para España el aviso es directo y no admite traducción. Los centros de transfusión autonómicos, los bancos de tejidos y la cadena de frío alimentaria dependen de contratas de mantenimiento externalizadas, muchas de ellas con acceso remoto a los cuadros de control. El CCN-CERT y el INCIBE tienen capacidad de respuesta, y el marco español de protección de infraestructuras críticas designa a los operadores estratégicos, pero la vigilancia se ha concentrado históricamente en el suministro eléctrico y en el agua. La pregunta operativa es sencilla y nadie la ha respondido aún en público: cuántos de nuestros bancos de sangre comparten proveedor de refrigeración con un supermercado. Si el proveedor cae, cae el cliente.
Hay un punto débil en cualquier lectura triunfalista, y conviene señalarlo. El ataque a los bancos de sangre franceses fracasó en su objetivo material: las alarmas funcionaron y el plasma se salvó. Eso no valida el sistema, solo demuestra que esta vez había un técnico despierto a las tres de la madrugada. La asimetría real no está en la tecnología, sino en la economía del ataque: una factura de 250 millones frente a un coste de ejecución que cabe en una conexión doméstica. Y sobrevuela la tentación política de atribuir a Moscú cada termostato descontrolado, un atajo que erosiona la credibilidad de las acusaciones que sí están fundamentadas.
La próxima ventana crítica no es un misil. Es el cierre del ejercicio: los grandes minoristas europeos publican resultados del cuarto trimestre entre enero y febrero, y ahí se verá la factura real de la oleada. Si el patrón se mantiene hasta Navidad, la conversación dejará de ser sobre ciberseguridad y pasará a ser sobre abastecimiento. Dejémoslo en un ‘ya veremos’.
