Tres semanas después del ciberataque que afectó a los sistemas de refrigeración de unos 700 supermercados en Francia, un sabotaje de idénticas características ha golpeado en la madrugada del lunes 2 de noviembre a decenas de establecimientos en Bélgica, Luxemburgo, Países Bajos, Suecia, Irlanda, Finlandia y Estonia. Entre los afectados figuran tiendas de Delhaize, Carrefour, Spar, IKEA, ICA, Coop y SuperValu, además de pequeños comercios y carnicerías. De nuevo, los atacantes accedieron a través de internet a los controladores de frío (equipos del proveedor Danfoss conectados a redes no protegidas y con contraseñas predeterminadas) para activar el modo de descongelación y apagar los compresores, provocando subidas de entre 15 °C y 50 °C que obligaron a desechar toneladas de alimentos.

Desde Stoïk, compañía europea de ciberseguro y ciberseguridad, señalan que este suceso se enmarca en el auge de los ataques ciberfísicos contra la llamada tecnología operacional (OT), aquella que no gestiona datos sino máquinas. A diferencia de un ataque habitual en el que se cifran ordenadores para pedir un rescate, aquí los atacantes toman el control remoto de los reguladores térmicos y utilizan una función normal del propio equipo con fines de sabotaje.

«Es uno de los primeros ciberataques a gran escala contra el equipamiento de las tiendas que causa daños físicos, y el punto de entrada no fue un sistema crítico, sino un equipo corriente, accesible desde internet y sin actualizar. Por eso es tan importante que cualquier comercio en España que tenga equipos así los revise lo antes posible«, explica Juan Ignacio Ramallo, Country Manager de Stoïk en Iberia. Según el análisis de la compañía, que ya había identificado unos 3.000 controladores de este tipo expuestos a internet en Francia (aproximadamente la mitad de los detectados en todo el mundo, mientras que el resto se reparte por Europa), el daño se extiende por repetición, ya que, al tratarse del mismo modelo instalado en cientos de establecimientos, si se encuentra la forma de entrar en uno, se puede entrar en todos.

¿Quién tiene las llaves del frío en los comercios?

Más allá de la antigüedad de unos equipos que pueden funcionar durante quince o veinte años sin recibir ya parches de seguridad del fabricante, el incidente deja al descubierto un punto ciego en la gestión diaria de los comercios. «A menudo, estos equipos se gestionan como maquinaria y no como sistemas informáticos. Se protegen los ordenadores y el correo, pero el frío, la climatización o las cámaras quedan en manos del proveedor de mantenimiento, fuera del radar de quien gestiona la ciberseguridad«, advierte Diego Montojo, Suscriptor Ciber de Stoïk en Iberia. «En muchos casos, quien tiene las llaves del frío no es la tienda, sino su proveedor de mantenimiento. Es él quien tiene las credenciales y el acceso remoto, y la tienda a menudo ni siquiera sabe que su equipo de frío está conectado a internet«.

Los datos propios de Stoïk confirman que el sector está cada vez más expuesto. En el comercio minorista, la frecuencia de ciberincidentes entre las empresas protegidas por la compañía ha pasado de 9,5 por cada 100 empresas en 2025 a 17,3 en lo que va de 2026, un 82% más (con un repunte del 46% en el conjunto del comercio mayorista y minorista solo entre mayo y septiembre de este año). En el caso de España, aunque por ahora no hay constancia de ningún supermercado afectado por este ataque, la exposición es relevante, puesto que en 2025 las empresas aseguradas por Stoïk en el país registraron unos 11 incidentes por cada 100 compañías, por encima de la media de su cartera europea.

«Aunque se hable de grandes cadenas, los más vulnerables son los pequeños comercios como tiendas independientes, carnicerías o fruterías. Con producto perecedero y márgenes ajustados, una sola noche sin frío puede acabar con todo el inventario de una tienda. Además, el mismo tipo de equipo se usa en farmacias, hospitales, restauración o logística, donde las consecuencias pueden ser igual de graves«, añade Montojo.

Los pasos a seguir por parte de los comercios

Ante la urgencia inmediata, Stoïk recomienda desconectar la monitorización remota de los sistemas de refrigeración y que una persona compruebe las temperaturas en tienda hasta que los equipos estén protegidos. A partir de ahí, la compañía propone un plan de actuación en siete pasos.

• Saber qué hay conectado. Conviene inventariar todos los dispositivos con acceso a internet, incluidos frigoríficos, climatización, cámaras y sistemas de caja, y reducir al mínimo su exposición. Lo que no está en el inventario no se puede proteger.
• Aislar los equipos de control. Los controladores de refrigeración y otros sistemas industriales deben operar detrás de un cortafuegos y nunca con acceso directo desde internet. Esto es especialmente importante en los equipos antiguos que ya no se pueden actualizar.
• Actualizar o sustituir. Hay que mantener al día el software y el firmware de los equipos que aún tienen soporte y planificar el reemplazo de los que ya no reciben parches de seguridad, porque son la puerta de entrada más sencilla.
• Reforzar el acceso. Es imprescindible cambiar las contraseñas por defecto y activar la autenticación de doble factor. Además, el acceso de los proveedores de mantenimiento debería canalizarse a través de un único punto de entrada seguro y monitorizado.
• Tener copias que funcionen. Las copias de seguridad deben mantenerse offline y probarse periódicamente para comprobar que realmente se pueden restaurar.
• Vigilar cuando nadie mira. Los ataques suelen lanzarse de noche y en fin de semana, por lo que la vigilancia 24/7 de los sistemas, propia o externalizada, es clave. A su vez, conviene formar a la plantilla para detectar el phishing.
• Preparar el plan B. Cada negocio debería saber de antemano quién recibe la alerta cuando falla un equipo, adónde se traslada el stock y cómo se registra lo ocurrido.