El ciberataque a supermercados franceses ha dejado neveras a 50 °C, incendios puntuales y pérdidas millonarias en cuatro cadenas de alimentación.
Claves de la operación
- Cuatro cadenas afectadas en una sola noche. Intermarché, Carrefour, Monoprix y Coopérative U vieron alterados los parámetros de sus equipos de frío entre el 11 y el 12 de octubre.
- Danfoss reconoce software sin actualizar. Parte de los controladores afectados operaba con versiones antiguas, una brecha que Claroty había documentado meses antes.
- La Fiscalía de París investiga la autoría. En noviembre se han repetido ataques contra sistemas de refrigeración en otros países europeos sin vínculo confirmado.
La noche en que el termostato se convirtió en puerta de entrada
Los atacantes no reventaron la caja registradora ni la web de pedidos. Entraron por la plataforma que permite fijar la temperatura de las cámaras frigoríficas en remoto y modificaron los parámetros de funcionamiento. Cuatro cadenas galas perdieron el control de su cadena de frío en pocas horas: Intermarché, Carrefour, Monoprix, y Coopérative U. El episodio ocurrió en la noche del 11 al 12 de octubre y afectó a cientos de establecimientos, según la información que Reuters difundió en su momento.
El resultado fue una anomalía física imposible de disimular. Varias instalaciones alcanzaron los 50 grados centígrados y se mantuvieron así durante horas, muy por encima de cualquier umbral sanitario. La retirada de alimento se impuso como única salida viable y las cadenas calculan pérdidas de varios millones de euros, una cifra que todavía no ha sido auditada tienda por tienda.
Hubo más. En algunos locales se registraron pequeños incendios derivados del funcionamiento forzado de los compresores. Los equipos técnicos trabajan desde entonces en recuperar instalaciones que no fallaron por desgaste, sino por una instrucción externa. El frío no avisa cuando alguien decide apagarlo desde un servidor.
El foco se ha puesto en Danfoss, el fabricante danés que suministra buena parte de la tecnología implicada. La compañía ha admitido que algunos de los equipos afectados funcionaban con programas antiguos o con versiones que no estaban actualizadas. El fabricante traslada así parte de la responsabilidad al mantenimiento del cliente, una defensa habitual en el sector y que ahora deberá examinar la justicia francesa.
El aviso existía. Los investigadores de Claroty habían identificado vulnerabilidades en controladores de refrigeración meses antes del suceso y demostraron que miles de dispositivos de este tipo eran accesibles desde internet. La investigación técnica sigue sin determinar el fallo exacto que abrió la puerta, lo que mantiene abierta la hipótesis de una configuración deficiente combinada con credenciales débiles.
Una nevera conectada es un ordenador con compresor: si nadie parchea su software, el ataque no llega por la nube, llega por el termostato.
Del incidente puntual al riesgo sistémico del comercio minorista
El fenómeno ha dejado de ser un caso aislado. A principios de noviembre se registraron nuevos ataques contra sistemas de refrigeración en otros países europeos y, de momento, no se ha demostrado una autoría común. La hipótesis de trabajo apunta a actores que explotan una superficie expuesta conocida más que a una campaña coordinada contra la distribución alimentaria.
En paralelo, la Fiscalía de París ha abierto una investigación para identificar a los responsables. Las cadenas afectadas negocian con aseguradoras y proveedores mientras reconstruyen la trazabilidad de cada lote retirado, un proceso tan caro como la pérdida directa del producto.
Conviene dimensionar lo que está en juego. Un supermercado mediano pierde varios miles de euros por cada hora de cadena de frío interrumpida, y una sola jornada sin control puede deteriorar la reputación de una enseña en materia de seguridad alimentaria. El coste real no es la factura eléctrica, es la confianza del cliente.
Danfoss, Claroty y el punto ciego que el sector arrastra desde Target
No es la primera vez que el frío sirve de puerta trasera. El asalto a Target en 2013 entró por las credenciales de un proveedor de climatización que tenía acceso remoto a los sistemas del minorista estadounidense. Trece años después, la lección sigue pendiente en buena parte del sector: los edificios se conectan más rápido de lo que se protegen.
En España, las grandes cadenas de alimentación operan también con plataformas de monitorización remota de frío, aunque no consta ningún incidente equiparable. Firmas como Dia, con menor músculo tecnológico que sus competidores franceses, afrontan el mismo reto con márgenes más ajustados. La pregunta no es si el termostato está conectado, sino quién responde cuando alguien lo mueve.
El marco regulatorio empieza a moverse. El Reglamento europeo de Ciberresiliencia ya obliga a los fabricantes a notificar vulnerabilidades explotadas desde septiembre de 2026 y desplegará todas sus exigencias en diciembre de 2027. La norma convierte la seguridad del dispositivo en requisito de comercialización, no en un extra opcional. Para Danfoss y sus competidores, eso significa rediseñar la relación con el cliente que mantiene el equipo.
Queda por ver cómo se reparte la factura. La investigación francesa marcará el primer precedente serio sobre responsabilidad en cadena cuando el fallo nace en un sistema heredado. Seguimos de cerca la conclusión del expediente y la respuesta de las aseguradoras, porque ahí se decidirá si el próximo ataque a una nevera sale caro al fabricante o al supermercado.
