El lunes por la mañana, Luke subió la persiana de su carnicería al sur de Amberes y se encontró las cámaras a 18 grados. Nadie había forzado la puerta ni había tocado la caja registradora: alguien había apagado el frío desde una pantalla en mitad de la madrugada. Unos 15.000 euros de carne directos a la basura. Con ese detalle arranca el último análisis de Marc Vidal, que dedica diecisiete minutos a una pregunta incómoda: ¿de verdad el único culpable es el hacker?
El frío que se apagó desde una pantalla ajena
La escena no fue un caso aislado. A lo largo de esa misma noche, decenas de comercios de siete países europeos —Bélgica, Suecia, Irlanda, Países Bajos, Luxemburgo, Finlandia y Estonia— amanecieron con neveras y congeladores fuera de rango. En la lista había de todo: hipermercados de cadena y carnicerías de barrio. Vidal recuerda que tres semanas antes el ensayo general se había celebrado en unos 700 supermercados franceses y que en uno de los locales alguien dejó fijada una consigna de 50 grados. Helados convertidos en sopa, carne con olor, alarmas que nadie miraba.
Carrefour Bélgica admitió que el incidente afectó a 15 tiendas, todas reabiertas esa misma noche. La cifra, señala el creador de contenido, se diluye con facilidad entre los miles de establecimientos que la compañía tiene en el país. Para el pequeño comercio la aritmética es otra: lo perdido es todo lo que había.
La cajita gris que gobierna el frío
El hilo del que tira Vidal no es informático, es físico. Existe un mundo de máquinas que mueven cosas y no solo datos: la tecnología operativa. Al cerrar una tienda, un controlador gobierna vitrinas, cámaras, congeladores y alarmas. Buena parte de esos cerebros los fabrica Danfoss, empresa danesa cuyos controladores Danfoss aparecen en el centro del relato. La gestión remota es una idea excelente: el técnico revisa decenas de locales sin coger el coche y el dueño se ahorra desplazamientos. El problema es el de siempre. Si el técnico puede entrar desde su casa, cualquiera que encuentre esa misma puerta también puede.
Según el análisis, los atacantes no se limitaron a subir la temperatura. En varios casos forzaron el desescarche, el ciclo en el que la máquina deja de enfriar unos minutos para fundir el hielo acumulado. Unos minutos son rutina. Durante horas, es la perdición de todo lo que hay dentro. La imagen que usa Vidal es la de la llave debajo del felpudo: funciona de maravilla hasta que alguien que no es el fontanero levanta la alfombra.
Con el hacker en portada se beneficia casi todo el mundo: la cadena deja de ser responsable en una sola noche y el fabricante aprovecha para vender equipos nuevos.
— Marc Vidal
Cuatro años de avisos y tres días de pánico
Vidal sostiene que la fragilidad no es nueva y aporta el calendario. En 2022, según un boletín que la propia Danfoss publicó después, fueron atacados 16 supermercados rusos que usaban la controladora HSM 800; ese mismo año cayeron 40 tiendas en Israel y ninguna de ellas estaba detrás de un cortafuegos. El fabricante dejó sus recomendaciones por escrito y, siempre según el vídeo, casi nada cambió. En agosto de ese ejercicio empezaron a fallar congeladores en economatos de bases militares estadounidenses: uno en Arizona entró en desescarche, calentó su contenido y el Pentágono lo investigó como un posible ciberataque. El creador lo plantea con retranca: si el ejército más caro del mundo tiene que indagar si le calentaron el congelador desde fuera, cuesta creer que el súper del barrio esté mejor cerrado.
El detalle más incómodo es la cronología de los parches. Ese controlador dejó de recibir actualizaciones de seguridad en mayo de 2021; desde entonces, cada equipo instalado fue una cerradura que ya nadie reparaba. Y sin embargo siguieron conectados a internet, enfriando, cinco años más. Vidal cita el recuento de la firma Censys: la víspera del ataque había en Francia 1.825 paneles accesibles desde la red; tres días después quedaban 537. Un 71% menos. La mayoría no se arreglaron, simplemente se desenchufaron. Cuatro años de avisos y bastó el miedo para hacer en 72 horas lo que no era caro ni difícil.
A quién le conviene un villano sin cara
Aquí el vídeo deja la técnica y entra en los incentivos. Vidal no cree necesario imaginar a una élite que genera el caos para exigir después el orden. Le basta con comprobar quién gana. Las cadenas pasan de responsables a víctimas en una noche y nadie les pregunta por qué tenían un controlador sin parches enchufado a la red. El fabricante llama a esos equipos ‘legacy’, que según él es la forma fina de decir viejos, y recomienda migrar a su nueva generación: es decir, comprar. Las aseguradoras tienen un problema menos, porque las pólizas corrientes no cubren la comida que se pudre; Intermarché reconoció que la suya no pagaba nada. Y si se concluye que detrás hay un Estado, algunos contratos pueden agarrarse a la cláusula de guerra y no abonar nada.
Los gobiernos, apunta, son la parte que más le preocupa. El comisario europeo de Agricultura, Christophe Hansen, habló de un intento deliberado de perturbar el suministro de alimentos y el mismo día reconoció que la seguridad alimentaria no está en riesgo. ‘Todavía’, subraya Vidal. Su lectura es que la perturbación del suministro suena mucho más fuerte que ‘controladores sin parches’, llena portadas durante días y, de paso, permite pedir más regulación mientras se habla mucho menos de lo demás.
La ley que llega en 2027 y el papeleo del carnicero
El creador echa en falta una norma que ya existe sobre el papel. La Ley de Ciberresiliencia europea obliga a los fabricantes a mantener la seguridad de lo que venden, pero sus obligaciones principales no se despliegan hasta diciembre de 2027. Para lo ya instalado, apenas exige avisar cuando alguien explota un fallo, que es exactamente lo que ha ocurrido. Vidal se pregunta cómo se puede hablar de soberanía digital durante una década sin preguntar una sola vez quién mantiene lo que ahora mismo está enchufado.
Mientras tanto, la factura aterriza en el mostrador. Luke ya cumple con el plan de autocontrol sanitario, anota temperaturas para el inspector, traza el origen de cada pieza, etiqueta alérgenos y pelea con la factura electrónica. Lo que le espera, augura Vidal, es más burocracia: auditorías, informes y, si me apuras, alguna agencia nueva con logo y director general.
Qué significa esto para el lector
Más allá de la anécdota, el episodio describe un punto ciego de la digitalización que nadie mira: la capa que conecta el mundo físico con la red. La nevera de tu supermercado de confianza depende de una caja gris instalada en un cuarto al que solo entra quien limpia. Esa caja lleva cinco años sin recibir parches y, muy probablemente, nadie en la cadena sabría decir quién tiene acceso remoto a ella. La resiliencia de la cadena de suministro no es mejor que el controlador más antiguo que siga encendido.
Para el lector hay tres consecuencias prácticas. La primera, de compra: cuando elijas dónde comprar, recuerda que la trazabilidad sanitaria que exige la ley no dice nada sobre la seguridad informática del local. La segunda, de gestión: si tienes un negocio con maquinaria conectada, pregunta a tu proveedor de mantenimiento quién puede entrar a distancia y con qué contraseña. La tercera, política: tras cada susto colectivo tendemos a pedir más vigilancia y más control sobre quién se conecta a qué, y ese peaje en libertad lo solemos solicitar nosotros mismos, como advierte Vidal. La alternativa sería exigir mantenimiento, inventario de equipos expuestos y responsabilidad contractual. Es menos épico, pero se nota menos en el bolsillo del carnicero.
Y no es un problema exclusivamente europeo: el propio creador avisa de que hay cajitas grises de la misma familia al otro lado del Atlántico. Quien tenga una tienda en Latinoamérica haría bien en revisar su cuarto de máquinas antes de que lo revise alguien más.
Al final, la pregunta que deja Vidal flotando no es quién apagó el frío, si no quién decidió durante años que no hacía falta encender ninguna alarma. Luke volverá a llenar su cámara mañana, anotará la temperatura en la hoja del inspector y no se fiará del sistema. Mientras Bruselas busca un villano sin cara en una habitación lejana, en cada barrio hay una puerta abierta con el aviso por escrito. ¿Cuántas cajitas grises como esa siguen ahí, conectadas, esperando a que alguien levante el felpudo?
Puedes ver el análisis completo en el vídeo original de Marc Vidal en YouTube.
