En la madrugada del 12 de octubre de 2026, cientos de supermercados en Francia amanecieron con sus refrigeradores y congeladores funcionando a 50°C. No fue una falla eléctrica. Un ataque informático tomó el control remoto de los sistemas que regulan el frío y los forzó a un ciclo de descongelamiento permanente. Cadenas como Intermarché, Carrefour, E.Leclerc y Coopérative U debieron destruir grandes cantidades de alimentos, y en algunos locales se produjeron incendios. Tres semanas después, el 2 de noviembre, una segunda ola alcanzó a supermercados de Bélgica, Luxemburgo, Irlanda, Países Bajos, Suecia, Finlandia y Estonia. Hasta hoy, nadie ha reivindicado el ataque ni ha pedido rescate.

El problema no estaba en los refrigeradores, sino en los equipos que los administran a distancia. Los supermercados usan controladores centrales, de fabricantes como Danfoss y Copeland, que permiten vigilar temperaturas y ajustar parámetros desde cualquier lugar. Muchos de ellos estaban conectados directamente a internet, eran fáciles de ubicar con buscadores especializados y correspondían a modelos que el fabricante dejó de actualizar hace años, o a versiones de software antiguas. Algunas de sus vulnerabilidades eran públicas desde 2025, entre ellas una que permitía ingresar con una contraseña predecible, calculada a partir de la fecha del día. A ello se suma un factor contractual, pues en varios casos el acceso remoto estaba en manos de proveedores externos de mantención. Las autoridades aún no confirman la vía exacta de entrada.

Lo más llamativo es que, en base a la información pública que se conoce hasta ahora, prevenir lo que ocurrió no requería tecnología sofisticada. Bastaba con no dejar los paneles de administración abiertos a internet y permitir el acceso solo por canales protegidos, como una VPN. También con reemplazar los equipos sin soporte del fabricante, instalar las actualizaciones disponibles, que existían antes del ataque, y exigir a los proveedores reglas claras sobre cómo y desde dónde acceden. Por último, habría ayudado contar con alarmas de temperatura independientes del sistema atacado.

Esa falta de límites se repetía en otros frentes, y cerrarlos tampoco exigía grandes inversiones. Un tope a la duración del descongelamiento que no pudiera modificarse a distancia habría impedido usar esa función como "arma", y una alerta ante cambios de configuración masivos o fuera de horario habría avisado del ataque sin esperar a que subiera la temperatura. Lo mismo vale para el acceso, que podría blindarse con algunas medidas, como cambiar las contraseñas que vienen de fábrica y no repetirlas entre locales, revisar periódicamente qué equipos quedan visibles desde internet y, cuando un tercero administra los equipos a distancia, permitir que se conecte solo desde sus direcciones IP autorizadas. Esta última medida tiene una ventaja adicional: al terminar el contrato basta con retirar la autorización para cortar el acceso, sin depender de que el proveedor desactive sus cuentas. Y, para que nada de esto quede en el aire, una persona de la organización debe ser responsable de decidir cuándo se desconecta un equipo que dejó de tener soporte.

En el caso de los supermercados, los atacantes no usaron un virus, sino que aprovecharon una función normal del equipo, el descongelamiento, llevada a un extremo que nadie había limitado.

La lección excede al comercio. Cámaras de seguridad, sistemas de climatización, ascensores, bombas o maquinaria industrial conectados a internet presentan el mismo riesgo. Toda empresa debería saber qué equipos tiene conectados, quién puede operarlos y si siguen recibiendo actualizaciones. En Chile, la Ley Marco de Ciberseguridad (Ley N° 21.663) impone a los prestadores de servicios esenciales y a los operadores de importancia vital deberes de gestión de riesgos que, en la práctica, obligan a revisar también la relación con sus proveedores, además de reportar los incidentes a la ANCI en plazos contados en horas. Revisar hoy el inventario de equipos conectados y los contratos con proveedores tecnológicos es una medida de bajo costo frente a un daño que, como se vio en Francia, puede alcanzar decenas de millones de euros en un solo día.

‍