Los ciberataques a la refrigeración comercial han dejado de ser una hipótesis de laboratorio: ENISA confirma una campaña coordinada contra sistemas de frío en varios Estados miembros.
Del desescarche al destrozo: la anatomía del sabotaje en Francia
La secuencia importa, y mucho. Los primeros incidentes se registraron a lo largo de octubre. La nueva oleada llegó el 1 y el 2 de noviembre. Y el pasado 4 de noviembre, ENISA, la Comisión Europea a través de la DG CNECT, el Centro Europeo de Ciberdelincuencia de Europol (EC3), la red de CSIRT nacionales y EU-CyCLONe publicaron un comunicado conjunto que, en el idioma del oficio, equivale a una declaración de crisis: piden ‘acción inmediata para mitigar la exposición en los sistemas afectados’.
Lo que ocurrió en Francia es la parte visible del iceberg. Los atacantes no se llevaron datos. No cifraron discos. No pidieron rescate, al menos no de forma pública. Manipularon consignas de controladores de frío hasta forzar el desescarche continuo. Traducido a la nevera de cualquier supermercado: el sistema dejó de enfriar y empezó a calentar. Algunos equipos, según los informes que circulan entre los CSIRT europeos, alcanzaron los 50 grados centígrados. El resultado fueron montañas de producto fresco y congelado irrecuperable.
El alcance conocido: alrededor de 300 tiendas de Intermarché y Netto, y menos de un centenar de puntos de Coopérative U. Otros minoristas han reportado incidencias sin cifra pública. La fiscalía de París, según las informaciones difundidas por BFMTV, no habla solo de pérdidas económicas: investiga también incendios vinculados a los equipos saboteados. Un controlador que se salta las protecciones térmicas no es un problema informático. Es un problema de seguridad física.
El vector tiene nombre y fabricante. Los equipos atacados eran controladores de refrigeración de la danesa Danfoss, en muchos casos al final de su vida útil y sin actualizaciones de seguridad. Otros corrían firmware obsoleto. Investigadores independientes ya habían documentado debilidades en algunos de esos modelos, incluida la posibilidad de saltarse la autenticación del controlador. Las autoridades no han confirmado si ese fallo concreto fue el explotado. Y ahí, le advierto, conviene no correr.
Nadie entra en una nevera industrial para robar un helado. Se entra para demostrar que un país puede quedarse sin comida sin que nadie dispare un tiro.
Por qué importa más el controlador de una nevera que el cortafuegos de la sede
Llevo años insistiendo en lo mismo. El eslabón débil de la ciberseguridad industrial nunca ha sido el departamento de informática: ha sido el armario de la trastienda. Los sistemas de control industrial (ICS) y de tecnología de operaciones (OT) gestionan procesos físicos, se han conectado a las redes corporativas por comodidad y se configuran en remoto porque sale más barato. La diferencia es que, cuando un servidor de correo cae, se pierden horas. Cuando cae un compresor, se pierde la cadena de frío de una región entera.
No es la primera vez. En febrero de 2021, un intruso elevó los niveles de hidróxido de sodio en en la planta potabilizadora de Oldsmar, en Florida, y alguien lo vio a tiempo. En 2017, Triton atacó los sistemas instrumentados de seguridad de una petroquímica saudí con la intención explícita de provocar una explosión. En 2016, Industroyer tumbó la red eléctrica ucraniana. Y en 2010, Stuxnet demostró al mundo que un gusano podía destruir centrifugadoras. La lección de todos ellos es la misma: el sabotaje industrial busca el proceso, no el dato.
Hay un detalle que suele pasar desapercibido y que a mí me parece el más relevante. El 11 de septiembre de 2026 entraron en vigor las obligaciones de reporte del Reglamento de Ciberresiliencia (CRA): los fabricantes de productos con elementos digitales deben notificar incidentes graves y vulnerabilidades explotadas a través de la plataforma única de notificación. Los requisitos principales, los de diseño seguro y soporte durante todo el ciclo de vida, no se aplicarán hasta el 11 de diciembre de 2027. Ese hueco de quince meses es donde vive su nevera.
La NIS2 tampoco tapa el agujero del todo. Su ámbito alcanza a operadores de infraestructuras críticas y a determinados sectores, pero la distribución minorista de tamaño medio queda en un limbo incómodo. En Francia, los afectados son cadenas grandes. Nadie sabe cuántos almacenes regionales, cuántas cámaras frigoríficas de matadero o cuántas plataformas logísticas operan todavía con un controlador de 2014 y una contraseña por defecto.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque contra infraestructura crítica de proceso, en la categoría de sabotaje a sistemas de control industrial. No hay ransomware firmado ni exigencia pública de rescate, lo que apunta a una operación de acceso remoto con objetivos de daño más que de extorsión, o a una manipulación de parámetros que pudo empezar como prueba de concepto. La atribución, a día de hoy, está abierta. Nadie con acceso al comunicado conjunto ha puesto nombre a un actor estatal.
Agencias implicadas: en el lado defensivo, ENISA, la DG CNECT, el EC3 de Europol, la red de CSIRT nacionales y EU-CyCLONe, con la ANSSI francesa en primera línea técnica y los equipos daneses mirando de reojo a sus fabricantes. En el lado atacante, sin atribución pública: solo hipótesis. Quienes miran desde fuera son, como siempre, las agencias de inteligencia exteriores que leen el incidente como banco de pruebas. Si un actor ha demostrado capacidad para mover consignas industriales a escala europea, el CCN-CERT tiene un escenario nuevo que anotar en su catálogo.
Nivel de clasificación estimado: a juzgar por la naturaleza del material, las fichas técnicas de los CSIRT nacionales sobre los controladores concretos y sus intervalos de exposición merecen nivel Reservado o Confidencial; los datos de afectados por cadena, sin duda. El comunicado público es la parte higiénica de un iceberg que se está gestionando en canales cerrados.
Permítame un precedente que encaja de lleno. Cuando en 2023 y 2024 el grupo Volt Typhoon, atribuido a China, se instaló en redes de agua y energía estadounidenses, la inteligencia norteamericana no habló de robo de datos: habló de preposicionamiento para sabotaje en caso de conflicto. La diferencia con la refrigeración europea es el grado de sofisticación, no la lógica. Trabajo con una hipótesis que no puedo demostrar y por eso la enuncio como tal: alguien está cartografiando la cadena alimentaria europea desde su punto más blando.
Lo escribí hace años en El quinto elemento y no me cansaré de repetirlo: en España hay 8.000 infraestructuras críticas y atacables a través de internet. Muchas de ellas no aparecen en ningún inventario oficial porque nadie las ha pensado como tales. La cámara de un hipermercado de Sevilla también es infraestructura crítica cuando el suministro de la provincia depende de ella.
Lo que el CRA no cerrará hasta 2027
Aquí está la contradicción que nadie quiere discutir en Bruselas. La UE legisla para los productos que se fabricarán, pero la plaga está en los productos que ya se instalaron. Un controlador de refrigeración con doce años a cuestas, montado en un supermercado que ni siquiera sabe que tiene una IP, no se arregla con un reglamento cuyos requisitos principales llegan en diciembre de 2027.
La pregunta operativa que los CSIRT están compartiendo estos días es otra: cuántos controladores siguen expuestos a internet con credenciales débiles. La respuesta, en cualquier buscador de dispositivos conectados, es siempre la misma. Demasiados.
Hay un dato que me consta y que conviene fijar: la propia ENISA ha publicado una recopilación de avisos técnicos de los CSIRT nacionales para que las empresas identifiquen el riesgo y apliquen contramedidas. No es un documento clasificado ni un informe de atribución. Es un manual de primeros auxilios para una herida que seguirá abierta. Quien tenga neveras y no lo haya leído, ya sabe por dónde empezar. Y quien tenga una nevera conectada a la red corporativa, más le vale asumir que el próximo aviso no será el último.
