Un supermercado puede perder millones de euros sin que los atacantes roben un solo dato de sus clientes ni bloqueen sus cajas registradoras. En Francia, un ciberataque ha demostrado que basta con tomar el control de los sistemas que mantienen refrigerados los alimentos para provocar un problema operativo de gran escala.
El incidente, registrado durante la noche del 11 al 12 de octubre, ha afectado a cientos de establecimientos de distintas cadenas de distribución francesas. Los atacantes manipularon los controles de los equipos de refrigeración y provocaron que las temperaturas de algunas unidades aumentaran hasta los 50 °C, según las informaciones publicadas por Reuters. El resultado fue la pérdida de mercancía fresca y congelada que los establecimientos tuvieron que retirar por motivos de seguridad alimentaria.
El impacto económico podría ascender a decenas de millones de euros en todo el país en una sola jornada, según declaró Thierry Cotillard, director ejecutivo de Les Mousquetaires, el grupo propietario de Intermarché, a la cadena francesa BFM TV. Se trata de una estimación inicial, no de un balance definitivo de daños.
Intermarché, Coopérative U y otras cadenas, entre las afectadas
La magnitud del incidente se aprecia en el número de establecimientos afectados. Entre 150 y 200 tiendas de Intermarché y cerca de 100 supermercados de Coopérative U figuran entre los establecimientos alcanzados por el ataque, según los datos comunicados por ambas compañías a la agencia AFP.
También se ha informado de incidencias en otras enseñas, entre ellas Carrefour, Monoprix y E.Leclerc, aunque no todas han confirmado públicamente el alcance de los daños. La investigación deberá determinar el número definitivo de establecimientos afectados y las pérdidas asociadas a la destrucción de alimentos.
Dominique Schelcher, director ejecutivo de Coopérative U, calificó el ataque de «extremadamente grave y sin precedentes» en un mensaje publicado en X. Las empresas han tenido que movilizar equipos técnicos para recuperar el funcionamiento de sus instalaciones y evaluar qué productos podían conservarse.
La factura no se limita al valor de los alimentos desechados. El incidente también puede implicar costes de revisión de los sistemas, intervención de técnicos especializados, interrupciones operativas y procedimientos de gestión de los productos afectados. El alcance de cada uno de estos conceptos todavía está pendiente de evaluación.
El problema de fondo: sistemas antiguos conectados a internet
El ataque ha puesto el foco en los sistemas de gestión de refrigeración de la compañía danesa Danfoss, cuyo software permite supervisar y controlar equipos a distancia. Esta tecnología facilita la gestión de las instalaciones de un supermercado, pero también puede convertirse en un punto de entrada si los sistemas no cuentan con las protecciones adecuadas.
Danfoss ha señalado que los equipos afectados corresponden a modelos antiguos cuyo software de seguridad ya no podía actualizarse para hacer frente a un riesgo identificado previamente. La obsolescencia tecnológica, por tanto, aparece como uno de los elementos centrales del incidente, aunque la investigación deberá esclarecer exactamente cómo se produjo la intrusión.
El caso ilustra un problema empresarial que va más allá de la protección de ordenadores, bases de datos o información confidencial. La digitalización de las operaciones permite controlar a distancia instalaciones físicas esenciales para la actividad comercial. Pero esa misma conectividad amplía la superficie de exposición de las empresas cuando los equipos no reciben actualizaciones o dejan de contar con soporte de seguridad.
En el comercio alimentario, donde la cadena de frío resulta indispensable para conservar los productos, un fallo de este tipo puede convertir una vulnerabilidad informática en una pérdida directa de inventario y de ingresos.
La ciberseguridad también es una cuestión de rentabilidad
Para las cadenas de distribución, el incidente plantea una cuestión de inversión: cuánto cuesta sustituir equipos obsoletos frente al riesgo de mantenerlos en funcionamiento. Renovar sistemas industriales puede exigir desembolsos relevantes y trabajos de adaptación, pero un ataque que afecte simultáneamente a numerosos establecimientos puede multiplicar las consecuencias económicas de posponer esas decisiones.
La investigación abierta en Francia deberá aclarar las responsabilidades, el alcance de la vulnerabilidad y las circunstancias concretas del ataque. También queda por determinar qué parte de las pérdidas podría estar cubierta por los seguros. Intermarché ha advertido de posibles dificultades en este ámbito, al señalar que las pólizas podrían no cubrir este tipo de incidentes.
El episodio deja una lección para el sector: la ciberseguridad ya no es únicamente una cuestión de proteger información o evitar interrupciones digitales. También forma parte de la gestión del riesgo operativo, de la protección de los activos físicos y de la continuidad del negocio.
En un supermercado, el coste de una brecha de seguridad puede acabar en los contenedores de alimentos que ya no se pueden vender.
