El ciberataque a las neveras de supermercados llega a media Europa

En la madrugada del domingo al lunes alguien entró a distancia en los sistemas que controlan el frío de decenas de supermercados europeos y los puso en modo descongelación. No los apagó: activó el desescarche, que es justo el ciclo que calienta el evaporador para quitarle el hielo. En una tienda ICA de Sjöbo, en el sur de Suecia, las neveras acabaron programadas a 50 grados. Por la mañana tocaba tirar comida.

Según AFP, hay afectados en al menos nueve países: Bélgica, Estonia, Finlandia, Irlanda, Italia, Luxemburgo, Países Bajos, Portugal y Suecia. Es la segunda oleada en tres semanas, después de que el 12 de octubre cientos de supermercados franceses tuvieran que vaciar sus cámaras por lo mismo. Nadie lo ha reivindicado.

Quién ha caído y cuánto

Bélgica es el país más tocado. Delhaize habla de unas 40 tiendas entre Bélgica y Luxemburgo, Carrefour de 15 de sus 700 locales belgas, y también hay incidencias en el Ikea de Mons. La fiscalía federal belga ya investiga. En Irlanda, Musgrave reconoce 13 SuperValu afectados; en Portugal, el grupo Mosqueteiros confirma siete Intermarché; en Italia, cuatro Coop de Sicilia y una tienda en la Toscana, donde uno de los gestores sitúa el ataque a las cuatro de la madrugada. ICA ha elevado su cifra a 23 tiendas en Suecia, ocho de las cuales tuvieron que deshacerse de producto refrigerado y congelado, según contó a el medio especializado Cybersecurity Dive.

La Comisión Europea no se ha andado con rodeos. El comisario de Agricultura, Christophe Hansen, lo ha calificado de «intento deliberado de perturbar nuestra cadena de suministro alimentario». EFE fue actualizando el recuento de países durante todo el lunes, y su cuenta del sector agroalimentario, @Efeagro, ya apuntaba a media tarde que el método era el mismo que el del ataque francés.

No hacía falta malware

Lo que más me inquieta del caso es lo poco sofisticado que parece. Rafe Pilling, de Sophos, lo resumía en The Guardian como ponerse guantes de goma y toquetear los interruptores. No hay malware, no hay rescate que pedir, no queda arma en la escena. Los atacantes entran en paneles de gestión publicados en internet y cambian parámetros que cualquier técnico de mantenimiento podría cambiar.

Y de esos paneles hay muchos. En agosto, Claroty publicó dos fallos en los controladores Danfoss AK-SM 800A (CVE-2025-41450 y CVE-2025-41451) que permitían saltarse la autenticación y ejecutar código en remoto. Censys contaba esta semana cerca de 1.000 sistemas Danfoss StoreView expuestos en todo el mundo. Copeland, otro fabricante, ha confirmado que parte de sus controladores xweb también han sido objetivo.

Las propias cadenas dan pistas de por dónde se ha colado el agua. ICA insiste en que sus tiendas afectadas tenían el equipo conectado fuera de su red central, a través de un proveedor externo. Coop Suecia dice que sus seis locales tocados iban por una conexión 4G y no por el sistema 5G renovado, y por eso estaban «más expuestos». Sabcobel, que se encarga de las instalaciones de Delhaize, había empezado a reforzarlas tras lo de Francia y reconoce que no le dio tiempo a todo.

Es la historia de siempre del internet de las cosas, versión industrial. Un mueble frigorífico de supermercado dura quince o veinte años y el firmware de su controlador se actualiza cuando alguien se acuerda. Parar la cámara para parchear obliga a mover género, y eso a ninguna tienda le hace gracia.

¿Y en España?

De momento no consta ningún supermercado español afectado. Fuentes del sector consultadas por EFE dicen que aquí es «poco habitual» externalizar el control remoto del frío, lo cual ayuda. Pero que no nos haya tocado no significa que no estemos expuestos.

El ingeniero informático David Fernández (@naroh) se puso el lunes por la noche a rastrear y publicó un mapa con equipos de refrigeración españoles localizables desde internet, avisando, con buen criterio, de que eso no quiere decir que sean vulnerables. El analista Marcelino Madrigal llegó a una cifra parecida: unos 300 equipos visibles, con Andalucía (41), Madrid (39) y Cataluña (35) a la cabeza, según laSexta. «Expuesto no es igual a vulnerable; para ver eso debería intentar acceder y no quiero que me detengan», explicaba en declaraciones recogidas por Infobae.

El INCIBE, por su parte, admite que por «lo reciente del suceso y la falta de trazabilidad» todavía no puede determinar ni el vector de entrada ni el alcance en España. Traducido: nadie sabe aún si alguno de esos 300 tiene la puerta abierta.

Lo que haría yo con uno de estos equipos

Aquí no hay mucho misterio, y la receta coincide con la que dio el CERT-FR francés tras el primer ataque:

• Sacar los paneles de control de la internet pública y entrar solo por VPN o una conexión cifrada.
• Actualizar el firmware de los controladores que aún tienen soporte y jubilar los que no.
• Cambiar las contraseñas por defecto y revisar los parámetros de desescarche y las alarmas de temperatura.

Lo de las alarmas es lo que más me sorprende que falle. Una cámara de congelados que sube a temperaturas de verano en pocas horas debería disparar un aviso al móvil de alguien. Si el sistema que han tocado los atacantes es el mismo que tiene que avisar, mal asunto.

Hasta hace nada, sabotear la cadena alimentaria desde un portátil era cosa de simulacros. Ya no. Mi apuesta es que en las próximas semanas veremos a más de una cadena española revisando con lupa quién tiene acceso remoto a sus cámaras, y a algún fabricante anunciando a toda prisa un plan para sustituir controladores antiguos. El grupo de trabajo que ha montado Bruselas ya se ha reunido; habrá que ver si de ahí sale una recomendación obligatoria o se queda en otro comunicado.