Ciberataque a supermercados: cómo los hackers elevaron la temperatura de las neveras a 50 °C y expusieron las vulnerabilidades del suministro alimentario europeo

El incidente comenzó en las primeras horas del lunes.

Los expositores de refrigeración y las unidades de almacenamiento de cientos de supermercados franceses recibieron comandos remotos para elevar las temperaturas. Los ciclos de descongelación forzada funcionaron de forma continua durante unas seis horas, derritiendo el stock congelado, echando a perder la carne y elevando las temperaturas de los expositores. En varios lugares, los motores de los compresores se sobrecalentaron y provocaron incendios localizados.

Para el martes, el personal de las tiendas retiraba los productos en mal estado mientras la dirección corporativa evaluaba las pérdidas financieras.

La Fiscalía de París abrió una investigación penal nacional sobre lo que describió como un "large-scale cyberattack affecting the connected refrigerators of several major food retailers across France". El primer ministro Sébastien Lecornu instruyó a las agencias estatales a coordinar una respuesta técnica nacional, mientras que el ministro de Economía, Roland Lescure, calificó la interrupción como un "wake-up call for everyone" para todo el sector de la distribución.

Varios grandes grupos minoristas reportaron impactos, entre ellos Carrefour, Monoprix, Coopérative U, Auchan, E Leclerc y Les Mousquetaires.

Solo para su cadena Intermarché, Les Mousquetaires reportó pérdidas que alcanzaron los “tens of millions of euros” en un solo día en aproximadamente 150 tiendas afectadas, con estimaciones a nivel nacional que sugieren que entre 350 y 700 establecimientos fueron comprometidos. Simultáneamente, el operador neerlandés Ahold Delhaize aisló su red informática durante un “cybersecurity incident” que afectó a su cadena Albert Heijn en los Países Bajos y Bélgica, alterando los pedidos en línea, la entrega a domicilio y las etiquetas de precios digitales.

Las autoridades neerlandesas de ciberseguridad declararon que no había evidencia técnica que vinculara los hechos en Francia con la interrupción en los Países Bajos. Europol confirmó que estaba consultando con investigadores nacionales de los Estados miembros.

A diferencia de los ciberataques convencionales dirigidos a bases de datos corporativas, la intrusión no implicó exfiltración de datos ni extorsión financiera.

Los perpetradores evitaron los objetivos tradicionales para manipular equipos físicos de refrigeración, demostrando cómo la maquinaria industrial puede ser utilizada para la interrupción operativa.

Fuera de servicio

Los minoristas de alimentación de toda Europa han pasado décadas centralizando la gestión de la cadena de suministro para optimizar la eficiencia operativa.

Equipos que van desde expositores hasta sistemas de climatización están conectados habitualmente a portales de gestión remota, lo que permite a contratistas externos de gestión de instalaciones ajustar temperaturas o ejecutar diagnósticos sin visitar tiendas individuales.

Las medidas de seguridad en el hardware periférico, sin embargo, a menudo se quedaron atrás respecto de la conectividad de red.

Las intrusiones francesas comprometieron controladores digitales fabricados por la empresa danesa Danfoss y la estadounidense Copeland, propietaria de la marca Dixell.

Los actores utilizaron protocolos de mantenimiento integrados —en concreto, funciones de descongelación diseñadas para eliminar la acumulación de hielo— y eliminaron los límites operativos de temperatura sin desplegar exploits zero-day personalizados.

Investigadores de seguridad ya habían documentado estos riesgos.

En agosto, la firma de investigación de seguridad Claroty publicó detalles de una falla de omisión de autenticación en los controladores Danfoss AK-SM 800A, señalando mecanismos que "could be abused" para "bypass normal authentication" y alterar remotamente la configuración de temperatura.

Meses después, miles de estas interfaces seguían indexadas en motores de búsqueda públicos.

Instaladores y proveedores de mantenimiento externos habían conectado el hardware directamente a la web abierta sin cortafuegos, VPN empresariales ni actualizaciones de firmware vigentes.

Esta situación refleja un problema estructural más amplio en la ciberseguridad comercial.

Los presupuestos corporativos se asignan con frecuencia a proteger los datos de pago de los clientes y el software empresarial, mientras que el hardware periférico es gestionado por contratistas externos que operan controladores heredados con software al final de su vida útil.

Como observó Ken Munro, socio de la firma de seguridad británica Pen Test Partners: "This is about basic cyber hygiene. Get it wrong and you get a smelly mess of defrosted food." Munro añadió que no había "no business need for the fridge controllers to be accessible on the public internet", señalando que "it doesn’t take much for one blind spot in a business to lead to tonnes of trashed food."

En lugar de sufrir una filtración de datos estándar, los minoristas se enfrentaron a deterioro físico, tiempo de inactividad operativa y daños en los equipos.

Sin rescate, sin reclamación

Los investigadores señalaron que la ausencia de un motivo claro o de una demanda de rescate sigue siendo un enigma central.

La mayoría de las intrusiones cibernéticas comerciales siguen patrones establecidos: sindicatos criminales cifran redes sensibles para exigir pagos en criptomonedas, o actores estatales realizan recopilación de inteligencia a largo plazo. En este caso, no se solicitó rescate, no se estableció ningún portal de extorsión y ningún grupo reclamó responsabilidad.

El análisis de seguridad identificó miles de controladores similares operando abiertamente en línea en España, Portugal, Polonia, Alemania y Bélgica.

Debido a que el exploit requería una complejidad técnica limitada, el abanico de actores potenciales sigue siendo amplio, abarcando desde entidades patrocinadas por Estados que prueban la resiliencia de infraestructuras hasta actores que buscan la interrupción.

Félix Aimé, investigador principal de amenazas de la firma francesa de ciberseguridad Sekoia, comentó que "an operation intended to destabilize certain economic activities, or infrastructure could also be considered", aunque señaló que los perpetradores no parecían haber utilizado código malicioso en los controladores.

El suceso encaja con preocupaciones más amplias sobre las amenazas híbridas en toda Europa.

En septiembre, el presidente francés Emmanuel Macron advirtió a los líderes políticos que la "Russian hybrid threat facing Europeans and France" se había intensificado en las últimas semanas, lo que exigía planes de protección reforzados para infraestructuras críticas.

Aunque la planificación de defensa se centra con frecuencia en redes eléctricas, cables submarinos o instalaciones de tratamiento de agua, el incidente en Francia indica que las redes comerciales privadas pueden servir como vectores de interrupción pública.

Márgenes estrechos, reservas más estrechas

Las redes físicas de suministro de alimentos operan con modelos logísticos ajustados.

Investigaciones del Instituto Clingendael y la Universidad Erasmus indican que las redes europeas modernas de supermercados dependen de la logística justo a tiempo, con tiendas y centros de distribución que mantienen aproximadamente seis días de suministro de alimentos.

Cuando los sistemas centrales de refrigeración fallan simultáneamente en múltiples ubicaciones, las reservas de inventario locales no pueden absorber la pérdida, creando cuellos de botella logísticos inmediatos.

La reacción oficial reflejó la gravedad del riesgo operativo.

Dominique Schelcher, director ejecutivo de Coopérative U, enfatizó: "Targeting equipment essential to the preservation of fresh products and to the food supply of the French people is of extreme gravity and is unprecedented." El comisario europeo de Agricultura, Christophe Hansen, se hizo eco de esas evaluaciones en redes sociales, escribiendo que la seguridad alimentaria requiere mayor atención en todos los niveles porque "the weaponisation of food has become a reality."

Para los minoristas, los impactos financieros se extienden más allá del inventario desechado e incluyen saneamiento de emergencia, reparaciones de equipos, reclamaciones de responsabilidad y pérdida de ventas. Los fabricantes de equipos enfrentan un mayor escrutinio respecto de la operación continua de hardware heredado e imposible de parchear en entornos comerciales sin actualizaciones de seguridad obligatorias.

En respuesta, Danfoss reconoció que muchas unidades afectadas habían "reached end of life and no longer receive software or security updates" o estaban "running outdated firmware", subrayando que había "long advised customers to keep supported systems updated with the latest firmware and to migrate legacy systems to current-generation solutions."

Copeland identificó de manera similar la vulnerabilidad en una "discontinued, end-of-life generation of controllers", confirmando que estaba trabajando con los clientes afectados para mitigar los riesgos en curso.

Las autoridades reguladoras han tratado históricamente los equipos de las tiendas comerciales como propiedad privada fuera del alcance de la política de seguridad nacional.

Esa distinción está bajo revisión.

Se espera que agencias estatales como ANSSI busquen mandatos más amplios para hacer cumplir parámetros básicos de seguridad en las redes comerciales de IoT, exigiendo a los operadores privados gestionar el hardware periférico con estándares comparables a los de la infraestructura crítica.