El ciberataque a los supermercados de Francia dejó a cerca de 700 tiendas sin control sobre sus equipos de frío. En la noche del 11 al 12 de octubre, las cámaras y los congeladores de cadenas como Système U, Intermarché y E.Leclerc se pusieron a descongelar por su cuenta.
El balance fue el de un apagón invisible: pérdidas importantes de alimentos, lineales vaciados y una veintena de conatos de incendio en equipos que llevaban horas trabajando fuera de rango. Nadie entró en esas tiendas. Nadie forzó una puerta. Bastó con que alguien, a mucha distancia, decidiera que el frío dejara de obedecer.
El lunes 12 de octubre, el ministro de Asuntos Exteriores, Jean-Noël Barrot, confirmó en público lo que hasta entonces era una hipótesis: ‘la responsabilidad de este ataque corresponde al Cuerpo de los Guardianes de la Revolución’. Lo calificó como un ataque de ‘una magnitud y agresividad sin precedentes’ y como el primer ciberataque de sabotaje a gran escala en territorio francés.
Ese mismo día, la Fiscalía de París anunció la apertura de una investigación judicial contra el jefe de Shahid Kaveh, la unidad de ciberoperaciones ofensivas vinculada al Centro Electrónico y Cibernético de los Guardianes de la Revolución, y contra sus dos adjuntos. Los cargos incluyen acceso fraudulento a sistemas informáticos y daños por medios peligrosos para las personas, agravados por cometerse al servicio de una potencia extranjera, más asociación de malhechores.
La fiscal Laure Beccuau detalló las tres huellas que sostienen la atribución: un modo de operar característico de esa unidad, el uso del farsi y direcciones IP de equipos situados en Irán. Poco vistoso, pero así se construye un caso.
Una nevera industrial no se cae de un golpe: se la convence de que descongele para siempre, y el resto lo hace el reloj.
Cómo se apaga una cadena de frío sin entrar en la tienda
Los piratas no tocaron la nevera. Tocaron la interfaz web que la gobierna. Accedieron a distancia a los sistemas de regulación frigorífica de Danfoss y después a los de Dixell y Copeland, tres fabricantes con equipo instalado en medio mundo. Desde ahí lanzaron ciclos de descongelación anómalos y sin límite de tiempo, y desactivaron las alarmas de las sondas que debían saltar al superarse cierta temperatura.
Traduzcamos para quien no vive entre compresores. Un equipo de frío industrial no enfría sin parar: enfría, alcanza su consigna y descongela a intervalos programados para que el hielo no bloquee el evaporador. Ese ciclo tiene un reloj y una alarma. Si le quitas los dos, la máquina trabaja contra sí misma hasta que el producto se pierde y el motor se calienta de más. De ahí los conatos de incendio.
Lo interesante del episodio no es el golpe, sino la lección de cocina que esconde. La seguridad de tu compra semanal descansa sobre una cadena invisible de sensores y avisos. Cuando esa cadena falla, el yogur y el pollo son los últimos en enterarse.
Las tres claves para entender el ataque
- Blanco blando, daño alto: el objetivo no fue un banco ni un ministerio, sino la regulación térmica de un supermercado. Infraestructura barata de atacar y carísima de reponer.
- Salto a la categoría diplomática: los cargos se agravan cuando el ataque sirve a un Estado extranjero, y eso convierte un delito informático en un conflicto entre países.
- Método replicable: en las semanas siguientes aparecieron ataques similares contra instalaciones frigoríficas de supermercados de otros países europeos y contra tres centros del Establecimiento Francés de la Sangre.
Sanciones, doctrina y una respuesta que no se contará
El embajador iraní fue convocado el martes 13 de octubre en el Ministerio de Exteriores. Barrot avanzó que París impulsará sanciones a escala europea contra los responsables, con prohibición de entrada en la UE y congelación de activos. También dejó abierta la puerta a medidas que no se harán públicas, dentro de una doctrina de ciberdefensa que contempla responder en el propio terreno cibernético.
El objetivo declarado es castigar a los autores y disuadir a quien piense en repetirlo. Irán suele negar su implicación en operaciones informáticas maliciosas, y su misión ante la ONU no respondió a las preguntas de Reuters.
Conviene no correr. Vincent Strubel, director de la ANSSI, advierte de que, aunque el método es parecido, nada permite afirmar todavía que los ataques posteriores sean del mismo atacante. El sabotaje llega, además, con las relaciones ya muy deterioradas: tras la liberación de varios ciudadanos franceses y el distanciamiento de París respecto a la ofensiva estadounidense, el verano trajo la detención y expulsión de dos diplomáticos franceses en Irán y la respuesta simétrica de Francia.
Qué significa para tu compra
Si te pilla cerca de una tienda afectada, ojo con los refrigerados. La regla de las dos horas es la más extendida en seguridad alimentaria: un producto que ha pasado ese tiempo por encima de su temperatura de conservación deja de ser fiable, huela como huela. Las recomendaciones de la AESAN insisten en dos puntos sencillos: no recongelar lo que ya se descongeló y respetar la temperatura que marca la etiqueta.
En casa funciona el mismo principio que en la trastienda del súper. No recongeles. No llenes la nevera hasta bloquear la rejilla del fondo, porque el aire tiene que circular. Y si te toca hacer limpieza después de un fallo eléctrico largo, huele antes de probar: la nariz detecta la proteína descompuesta mucho antes que el paladar.
Hay una lectura más de fondo, de compra diaria. Los lineales de refrigerado de proximidad dependen del mismo tipo de controlador industrial que las grandes superficies. La diferencia rara vez está en la marca del compresor, sino en si alguien mira la alarma cuando suena a las tres de la mañana.
Este es el primer sabotaje cibernético de gran escala en suelo francés y, con un modo de operar tan fácil de copiar, probablemente no será el último. La próxima vez que abras la puerta de una cámara y el frío te golpee la cara, acuérdate de que detrás de ese aire hay una interfaz, un reloj y una alarma. A nadie le importa el frío hasta que deja de estar.
