Las heladeras estaban encendidas, pero ya no enfriaban. En la madrugada del 12 de octubre de 2026, empleados de supermercados franceses encontraron cámaras frigoríficas recalentadas, pisos mojados y mercadería que debía terminar en la basura. No hubo que ingresar a los locales ni cortarles la electricidad: bastó con intervenir a distancia los sistemas que regulaban la temperatura. El episodio resume una transformación inquietante: un ciberataque puede destruir bienes materiales sin que sus responsables pisen el lugar.
El golpe alcanzó a grandes cadenas como Intermarché, Carrefour, Monoprix y Coopérative U. Reuters contabilizó al menos 350 establecimientos afectados, mientras que el ministro de Economía francés, Roland Lescure, habló de unos 700 sobre un universo de 10.000 supermercados. En varios locales, los equipos alcanzaron los 50 grados y los atacantes prolongaron los ciclos de descongelamiento. El resultado fueron toneladas de alimentos descartados, cierres temporarios y góndolas vacías.
El costo económico también es considerable. Thierry Cotillard, presidente del grupo Les Mousquetaires, propietario de Intermarché, estimó pérdidas de decenas de millones de euros. En un comercio de Gradignan, según relató su dueño a Le Monde, se desecharon productos por unos 21.000 euros a precio de compra. Pero las cifras no registran todo: también se perdieron horas de trabajo, capacidad de abastecimiento y alimentos producidos mediante cadenas logísticas que demandan energía, agua y transporte.
¿Qué ocurrió detrás de las pantallas? Los atacantes manipularon controladores industriales que permiten supervisar heladeras y cámaras frigoríficas a distancia. Son herramientas útiles: un técnico puede monitorear fallas sin trasladarse a cada sucursal. Sin embargo, cuando sus interfaces quedan accesibles desde Internet y funcionan con versiones antiguas de software, esa comodidad se convierte en una puerta de entrada.
La agencia francesa de ciberseguridad, a través del CERT-FR, identificó numerosas intrusiones en equipos vinculados con Danfoss, Copeland y Dixell. Advirtió que algunas campañas podían seguir activas y recomendó retirar estos dispositivos de la Internet pública, actualizar sus programas y permitir accesos remotos únicamente mediante redes protegidas. Danfoss reconoció que parte de los sistemas afectados había quedado fuera de soporte o utilizaba versiones desactualizadas.
Las advertencias no comenzaron esta semana. Investigadores de la firma Claroty habían documentado vulnerabilidades en controladores de refrigeración, entre ellas mecanismos que podían facilitar accesos no autorizados. Los fabricantes publicaron correcciones. Eso no demuestra que se haya utilizado exactamente alguna de esas fallas en el ataque: el mecanismo preciso todavía no se hizo público. Sí expone un problema persistente: que exista una solución técnica no significa que todos los dispositivos instalados la reciban.
Para Ken Munro, especialista de la empresa británica Pen Test Partners, el episodio pone de manifiesto fallas básicas de higiene cibernética. Su análisis, difundido por Reuters, cuestiona la idea de que un daño espectacular necesariamente requiera un atacante extraordinariamente sofisticado. François Deruty, exdirectivo de la agencia francesa de ciberseguridad y actual ejecutivo de Sekoia, también advirtió a Associated Press sobre equipos que permanecieron sin actualizar y negocios que nunca imaginaron convertirse en blancos informáticos.
Todavía se desconoce quién estuvo detrás. No hubo una reivindicación pública ni una exigencia de rescate, y la Fiscalía de París abrió una investigación. Por eso, atribuir el ataque a un Estado, a una organización criminal o a activistas sería prematuro. El daño es comprobable; la motivación continúa siendo una incógnita.
Hay otra dimensión del desastre: la responsabilidad económica. De acuerdo con una investigación de Reuters publicada el 15 de octubre, las pólizas de ciberseguro suelen excluir daños físicos, como la mercadería arruinada. Especialistas del sector anticipan disputas sobre quién debe afrontar las pérdidas y aconsejan revisar las coberturas para operaciones que dependen de temperaturas controladas. La tecnología conectó los riesgos, pero los contratos no siempre evolucionaron al mismo ritmo.
El caso también obliga a medir las consecuencias sociales. El desperdicio masivo de alimentos contrasta con la necesidad de proteger el abastecimiento y aprovechar los recursos. Lescure aseguró que no existía riesgo general para el suministro alimentario francés, pero reconoció que el hecho afectaba un aspecto central de su seguridad alimentaria. No es lo mismo provocar una escasez nacional que demostrar cuán vulnerable puede ser un eslabón de la distribución.
La enseñanza excede a Francia y a los supermercados. Hospitales, depósitos, industrias y servicios esenciales dependen de dispositivos conectados que controlan procesos físicos. Eso no significa que todos estén igualmente expuestos, sino que la ciberseguridad ya no puede considerarse un asunto exclusivo del área informática. Requiere mantenimiento, actualizaciones, límites al acceso remoto y planes de contingencia capaces de sostener la operación cuando falla la tecnología.
El interrogante de fondo no es si conviene abandonar la digitalización. Es quién se ocupa de sus riesgos cuando deja de ser una promesa de eficiencia y pasa a sostener actividades esenciales. Francia mostró, de manera costosa y visible, que una falla de seguridad puede terminar no en una pantalla bloqueada, sino en comida destruida, trabajadores reorganizando una emergencia y ciudadanos frente a estantes vacíos. La vulnerabilidad digital, a esta altura, también es una vulnerabilidad cotidiana.
