Ciberataques dejan sin refrigeración a cientos de supermercados en Francia

Cientos de supermercados en Francia sufrieron ciberataques en la noche del domingo. Según Bloomberg, sus sistemas de refrigeración se apagaron y las tiendas tuvieron que tirar los alimentos estropeados. Es una de esas raras historias de ciberseguridad en las que las consecuencias no se miden en registros filtrados, sino en toneladas de carne, lácteos y congelados en los contenedores de basura.

Qué se sabe hasta ahora

Hay muy pocos detalles públicos. El comunicado inicial cabe en una sola frase y todo lo demás sigue siendo una pregunta sin respuesta. Esto es lo que está confirmado:

• Escala: «cientos» de puntos de venta en Francia.
• Momento: la noche del domingo, cuando hay un mínimo de personal en las tiendas y la respuesta a las alarmas es más lenta.
• Objetivo: los sistemas de refrigeración, y no solo la infraestructura de cajas u oficinas.
• Consecuencia: parte de los alimentos se estropeó y fue desechada.
• No se ha revelado: el nombre de la cadena o cadenas, el grupo responsable, el motivo, la vía de entrada ni el importe del daño.

Ni siquiera está claro si se trata de una sola cadena. Esas «cientos de tiendas» pueden pertenecer a un mismo minorista, a varias marcas o depender de un único contratista de mantenimiento. De esa respuesta depende todo lo demás.

Por qué el frío se convirtió en objetivo

Los equipos de refrigeración de un supermercado moderno hace tiempo que no son aparatos autónomos. Se conectan a los sistemas de monitorización y gestión del edificio, envían telemetría, reciben consignas de temperatura y, con frecuencia, una empresa externa los mantiene a distancia. Para el operador, esto supone ahorrar en desplazamientos de técnicos y protegerse contra la pérdida de producto. Para el atacante, es una puerta de entrada a un proceso físico.

La lógica es sencilla. Apagar las cajas es molesto y la tienda pierde ingresos, pero la mercancía queda intacta. Detener la refrigeración, en cambio, activa un temporizador: en los alimentos frescos, la ventana de seguridad se mide en horas. La presión sobre la víctima crece más rápido que con un cifrado de archivos convencional. El propietario se ve obligado a decidir si paga el rescate o destruye el género antes de que los especialistas en respuesta a incidentes puedan hacerse una idea de lo ocurrido.

Ya hay un precedente. En julio de 2021, una intrusión en el software del proveedor Kaseya paralizó a la cadena sueca Coop: unas 800 tiendas cerraron porque dejaron de funcionar las cajas. Entonces no se atacó al minorista directamente, sino al contratista que le prestaba servicio. Si el caso francés funciona de forma parecida, la principal vulnerabilidad estaría en la cadena de suministro y no en el perímetro de cada tienda. Pero esto es una hipótesis, no un hecho establecido.

Qué deben revisar los minoristas y los operadores de infraestructura

Mientras la investigación no concluya, conviene sacar conclusiones con cautela, pero las medidas básicas no dependen de ella.

1. Inventario del equipamiento conectado. Hace falta una lista de todo lo que controla la temperatura y una respuesta clara a quién puede gestionarlo y desde dónde.

2. Segmentación de la red. Los controladores de los sistemas de refrigeración no deben estar en el mismo segmento que las cajas, el correo corporativo y el Wi-Fi para clientes.

3. Control de contratistas. El acceso remoto de las empresas de servicio debe usar autenticación multifactor, tener límite de tiempo y quedar registrado.

4. Modo autónomo. El controlador debe mantener una temperatura segura sin conexión con la nube ni con el centro de control, y no ejecutar órdenes peligrosas procedentes del exterior sin confirmación.

5. Plan manual. El personal necesita instrucciones para una avería: quién comprueba la temperatura y a qué hora, adónde se traslada la mercancía y con qué valores hay que descartarla.

6. Seguro y simulacros. La póliza debe cubrir la pérdida de mercancía por un ciberataque, y el escenario «la refrigeración se apagó por la noche» hay que ensayarlo en la práctica.

La historia sigue abierta. Por ahora, nadie ha identificado ni la cadena, ni la causa, ni el daño final. Pero el formato ya está claro: un incidente informático dejó de ser una cuestión de datos y pasó a ser una cuestión de integridad física de la mercancía.