El ataque saltó de la pantalla a la cadena de frío
Cientos de supermercados franceses amanecieron el lunes 12 de octubre con cámaras, vitrinas y congeladores fuera de su rango seguro. Los atacantes habían modificado a distancia los sistemas que coordinan la refrigeración y forzado ciclos de descongelación durante varias horas. El resultado no fue una web caída ni un archivo cifrado: alimentos frescos y congelados tuvieron que retirarse y algunos establecimientos informaron de daños e incendios que la investigación deberá vincular con precisión al ataque.
Intermarché, Coopérative U y E.Leclerc confirmaron el incidente a AFP. Reuters añadió cifras comunicadas por Carrefour, Monoprix y Les Mousquetaires, pero el recuento seguía cambiando durante las primeras horas. La descripción más prudente es que hubo cientos de tiendas afectadas. La Fiscalía de París abrió una investigación de oficio para identificar a las víctimas y relacionar la intrusión con las pérdidas de alimentos y los daños comunicados.
Una función normal se convirtió en el mecanismo de daño
Los controladores de frío permiten que técnicos y proveedores supervisen instalaciones completas sin desplazarse a cada tienda. Esa capacidad remota es útil para ajustar temperaturas, responder a alarmas y programar el deshielo que evita la acumulación de escarcha. En este caso, la misma función fue manipulada para prolongar el calentamiento en lugar de recuperar el frío.
Reuters informó de temperaturas de hasta 50 grados y de unas seis horas de afectación en alrededor de 150 establecimientos de Intermarché. Le Monde describió cambios tanto en la temperatura objetivo como en la duración del ciclo de descongelación. Esos detalles proceden de tiendas y fuentes de la investigación; no permiten afirmar todavía que todos los locales recibieran exactamente la misma orden ni que el daño fuera idéntico en cada cadena.
CERT-FR apunta a equipos Danfoss expuestos en internet
La alerta técnica publicada el 12 de octubre por CERT-FR confirma numerosas intrusiones en equipos Danfoss de las series AK-SM y AK-SC. La autoridad francesa considera contrario a las buenas prácticas exponer directamente a internet la interfaz de administración y pide desconectarla o limitar el acceso a direcciones de confianza. Si existe sospecha de compromiso, recomienda restablecer el equipo, aplicar las actualizaciones disponibles, rotar credenciales, revisar cuentas y reconfigurarlo.
Danfoss explicó a AFP y Reuters que la mayoría de los sistemas afectados eran productos antiguos que ya no reciben actualizaciones, mientras que otros equipos todavía compatibles utilizaban firmware obsoleto. La compañía mantiene un aviso previo para la serie AK-SM 8xxA anterior a la versión 4.2 por un fallo de autenticación, pero ni CERT-FR ni la investigación pública han atribuido este ataque a esa vulnerabilidad concreta. Relacionar automáticamente ambas cosas sería ir más allá de la evidencia disponible.
La búsqueda se disparó en España durante la noche
Google Trends España mostraba a las 08:04, hora peninsular, la consulta 'ciberataque' con más de 20.000 búsquedas, un crecimiento del 1.000 %, inicio hacía 14 horas y estado activo. Entre las consultas relacionadas aparecía 'ciberataque supermercados francia'. La señal figuraba en el panel de todas las categorías; dentro de Tecnología solo aparecía 'samsung', con 500+ búsquedas, una subida del 100 % y una duración de dos horas.
La cobertura se extendió además por AFP, Reuters, Le Monde, RTVE, EL PAÍS, La Vanguardia y Cadena SER, entre otros medios. La combinación de Trends y cobertura cruzada indica atención pública, no el número de personas afectadas ni los clics recibidos por ninguna noticia. No hay datos públicos de clics reales y no se han estimado.
Qué significa para España sin adelantar la investigación
Un analista de Sekoia citado por Reuters afirmó que también había actividad en España, Portugal, Polonia, Alemania y Bélgica. Esa afirmación no venía acompañada de un recuento español ni de una confirmación pública de operadores o autoridades nacionales durante esta observación. Francia sí indicó que coordinaba el caso con otros países europeos porque podían existir más instalaciones expuestas.
La consecuencia práctica para empresas españolas no es asumir que han sido atacadas, sino comprobar si dependen de los mismos controladores, si sus interfaces son accesibles desde internet y si el equipo continúa recibiendo soporte. En sistemas que controlan temperatura, energía, puertas o maquinaria, separar la red de operación, limitar el mantenimiento remoto y ensayar un modo manual no es solo una medida informática: protege la continuidad física del servicio.
Lo que todavía no se sabe
La identidad y el objetivo de los atacantes siguen sin confirmarse. Tampoco se ha publicado la vía exacta de entrada, una cifra nacional definitiva de tiendas o una relación técnica completa entre cada sistema afectado y los daños. Los avisos sobre vulnerabilidades conocidas aportan contexto, pero no prueban por sí solos cuál fue explotada.
Ahold Delhaize comunicó de forma simultánea otro incidente de ciberseguridad que afectó a servicios digitales en Países Bajos y otros mercados. La empresa dijo que no había motivos para vincularlo con el sabotaje de la refrigeración francesa. El siguiente dato decisivo será una actualización conjunta de ANSSI, CERT-FR, Danfoss o la Fiscalía que aclare el vector de ataque, el alcance europeo y las medidas exigidas a instalaciones todavía conectadas.
