El ciberataque a supermercados que fundió las neveras de 700 tiendas en Francia destapa el punto ciego del sector: los equipos conectados que nadie audita. El riesgo alcanza al pago en tienda y a la cadena de frío.
Cómo una nevera conectada tumbó 700 supermercados
Eran las cinco de la mañana del 12 de octubre cuando el teléfono de Julien Freret empezó a sonar. Un panadero le avisaba de que algo iba muy mal con la refrigeración. Al llegar al Intermarché que dirige desde hace dos años en La Haye, en Normandía, los termómetros de las cámaras marcaban unos 50 grados. Y seguían subiendo.
Reiniciaron los equipos. Nada. Llamaron a los técnicos. Tampoco. El balance fue un contenedor y medio de comida perdida, valorada en unas 84.000 libras. No hubo fallo de motor ni pico de tensión: alguien había tomado el control.
Los atacantes explotaron una brecha en los controladores conectados de las neveras y las forzaron a un ciclo de desescalado continuo, de modo que calentaban sin parar hasta fundir los ventiladores. Las autoridades francesas confirmaron después que unos 700 supermercados —entre ellos locales de Carrefour, Intermarché, Netto, Coopérative U y Monoprix— sufrieron el mismo golpe. Algunos acabaron con incendios y las pérdidas se estiman en decenas de millones de euros.
El consejero delegado de Coopérative U, Dominique Schelcher, lo calificó de ataque ‘sin precedentes, extremadamente grave e inaceptable’. Los primeros recuentos del sector sitúan el alcance en seis países y lo señalan como el primer ciberataque con efecto real sobre la cadena alimentaria de un país. El daño no fue al dato, fue al stock.
Una nevera conectada con contraseña débil puede costar más que un año entero de auditorías: el fallo no es técnico, es de gobernanza.
El punto ciego está en la tecnología operativa
Los departamentos de seguridad llevan años priorizando los sistemas informáticos clásicos, los que guardan datos de clientes y cobros. Es lógico: ahí están las multas y la reputación. La tecnología operativa —neveras, etiquetas electrónicas de precio, pantallas de publicidad, climatización— se ha tratado como si fuera mobiliario. Y ya no lo es.
‘La OT se ha pasado por alto durante años’, explica Charles Radclyffe, consejero delegado de EA Global AI. Un sistema capaz de destruir el género refrigerado de una tienda entera suele quedar fuera del registro de riesgos del consejo porque se clasifica como instalaciones, no como informática. La profesora Asma Adnane, de la Universidad de Loughborough, lo resume igual: es un asunto de gobernanza, no solo técnico.
El responsable de la agencia francesa ANSSI, Vincent Strubel, compareció ante el Senado para desmontar la teoría del exploit sofisticado. No hubo vulnerabilidad avanzada: ‘fueron fallos básicos de seguridad’, dijo, empezando por la exposición directa de los equipos a internet y contraseñas débiles. Las páginas de acceso se encontraban con una búsqueda corriente, sin red privada ni protección añadida.
Buena parte del parque conectado corre la misma suerte. Tres investigadores demostraron este verano en Heidelberg que podían tomar el control de las etiquetas electrónicas de precio de dos grandes proveedores europeos. En Reino Unido, un análisis de UK Cyber Defence detectó que las puertas de entrada a los sistemas de más de 800 neveras de comercios británicos son accesibles desde internet para quien sepa dónde mirar.
El NCSC británico ya ha trasladado al sector una lista de deberes:
- Un inventario actualizado de todos los equipos conectados, su software y quién tiene acceso remoto.
- Seguridad exigida en la compra: el proveedor debe demostrar que el dispositivo nace protegido.
- Monitorización de la red y capacidad de aislar los equipos si algo falla.
- Retirada segura de los aparatos viejos, que a menudo siguen enchufados y sin parchear.
Ninguna de estas medidas es ciencia aeroespacial. Y, sin embargo, la mayoría de las cadenas mantiene inventarios incompletos de lo que tiene enchufado: son tareas de mantenimiento que nadie puso por escrito ni en los contratos ni en el presupuesto.
📊 La comparativa de un vistazo
| Incidente | Alcance | Coste estimado |
|---|---|---|
| Neveras en Francia (octubre) | Unos 700 supermercados | Decenas de millones de euros |
| Ataque a M&S (2025) | Parón de la operación online | 136 millones de libras |
| Ataque a Co-op (2025) | Cierre de sistemas | 285 millones de libras en ventas |
Qué cambia para tu compra: el pago, el frío y el suministro
Conviene separar dos cosas. En este incidente no consta que los atacantes accedieran a datos de pago ni a cuentas de clientes; el vector fueron los equipos de frío. Pero la lección toca las dos vertientes del negocio: si el control de la tienda está expuesto, el terminal de cobro y la etiqueta de precio tampoco viven en un refugio aparte.
Para el comprador, el riesgo inmediato es la cadena de frío. Un producto que pasa horas fuera de temperatura no se puede vender y el comercio está obligado a retirarlo. Aquí la referencia es la Agencia Española de Seguridad Alimentaria y Nutrición, que coordina las alertas cuando hay un fallo de este tipo. Si compraste algo y dudas, el ticket manda: la garantía legal cubre tres años y el producto defectuoso se devuelve en el punto de venta.
Hay una tercera derivada que se nota en el ticket: el suministro. Con 700 tiendas reponiendo a la vez y decenas de millones en pérdidas, el sector revisa contratos de mantenimiento, seguros y auditorías. No es una subida inmediata ni automática, pero es la parte que acaba llegando al lineal.
El análisis: la auditoría que nadie pagó y que ahora pagas tú
Esto no nace de la nada. El ataque a Marks & Spencer que arrancó en la Pascua de 2025 costó 136 millones de libras en respuesta directa, y el de Co-op, días después, se llevó 285 millones en ventas. Ambos empujaron a las cadenas a blindar pagos y datos. Nadie miró el termostato.
El resultado es una asimetría conocida: se ha invertido donde había sanción regulatoria, no donde había riesgo operativo. Y el riesgo operativo hoy es una nevera con conexión, una etiqueta que cambia precios en tiempo real y una pantalla que se actualiza en remoto. Con la guinda de la inteligencia artificial: la propia Anthropic advirtió este año de que modelos pequeños podrían replicarse en dispositivos comerciales conectados en cuestión de meses.
Lo honesto es reconocer que el comprador poco puede auditar aquí. No hay etiqueta que avise de si el controlador de la cámara frigorífica lleva contraseña por defecto. Lo que sí está en su mano es guardar el ticket, reclamar cuando un producto fresco no llega en condiciones y pedir la hoja de reclamaciones si la respuesta del establecimiento no es clara.
El precio que importa aquí no es el del kilo. Es el de la factura que nadie quiso pagar antes.
🛒 El Veredicto de Compra
- Guarda el ticket: es la prueba para devolver un producto fresco en mal estado y recuperar el importe en el punto de venta.
- Revisa la cadena de frío: si el envase o la temperatura no cuadran, reclama; la garantía legal cubre tres años desde la compra.
- Comprueba el precio del lineal: una etiqueta electrónica mal gestionada puede marcar un importe distinto al del ticket; contrástalo antes de pagar.
