El hackeo de congeladores de supermercados en Francia muestra por qué

La noche en que los congeladores se convirtieron en hornos

Francia despertó ante una pesadilla que ninguno de sus expertos en ciberseguridad ni en seguridad alimentaria había previsto. Entre la noche del 11 y la madrugada del 12 de octubre, un único ataque cibernético coordinado obligó a los sistemas de refrigeración y congelación de docenas de grandes cadenas de supermercados de todo el país a funcionar más allá de sus límites, y algunas tiendas reportaron temperaturas internas que alcanzaron los 80 °C. El resultado fue catastrófico: al menos 300 establecimientos resultaron afectados, millones de productos tuvieron que desecharse y algunos operadores estimaron pérdidas por cientos de millones de euros.

Lo que hace a este ataque tan alarmante no es solo la magnitud, sino el mecanismo. Los medios franceses identificaron como objetivo la función de descongelación incorporada en las unidades comerciales de refrigeración conectadas en red. El propósito de esa función es simple y evidente: elevar periódicamente la temperatura de un equipo de almacenamiento en frío para derretir la escarcha acumulada y mantener la eficiencia de la refrigeración. Pero cuando esa función es accesible a través de una red —y cuando nadie está vigilando—, puede dejarse activada al máximo de forma indefinida. Si se mantiene funcionando el tiempo suficiente, la temperatura interna de un congelador comercial grande puede pasar de -20 °C a 50 °C o más en una sola noche. Y lo que hay dentro, comidas congeladas, helados, carne cruda, medicamentos almacenados en cámaras frigoríficas de supermercado, se vuelve instantáneamente inservible.

Un portavoz del establecimiento declaró a los periodistas: «A 80 grados esta noche, por desgracia, tuvimos que eliminar todos los productos refrigerados y congelados. Jamás imaginamos que esto pudiera ocurrir en nuestro supermercado».

El arma real fue un software abandonado

Pero el detalle más perturbador surgió solo después de que el pánico inicial decayera. Las investigaciones francesas revelaron que el software que controla esas redes de refrigeración era una versión obsoleta que el fabricante ya había dejado de vender. Es probable que el sistema siguiera recibiendo actualizaciones de seguridad —o tal vez no. En cualquier caso, ese software nunca había sido diseñado teniendo en mente un acceso remoto hostil. Una orden de descongelación era un comando operacional legítimo, no un vector de intrusión. Los atacantes simplemente lo enviaron de todas formas.

Esta es la crisis silenciosa de la infraestructura crítica en el siglo XXI: las cosas que mantienen nuestra comida fría, nuestro agua limpia y nuestras redes eléctricas estables están cada vez más conectadas a Internet, y el software que las ejecuta suele ser antiguo, poco mantenido, y se vende a compradores que asumen que «conectividad en red» significa «comodidad» en lugar de «exposición».

La cadena francesa de supermercados no eligió un software inseguro. Optó por la única versión del sistema de un fabricante que aún satisfacía sus necesidades en el momento de la compra, y luego el fabricante pasó a otra cosa. Esa desconexión entre dependencia operacional y soporte comercial es donde habita el riesgo en la cadena de suministro.

Por qué Japón debería estar ya sudando frío

La cobertura periodística japonesa ha sido urgente por una razón. La misma arquitectura subyace a la cadena de frío de los supermercados en Japón. Los grandes minoristas —Seven & i, AEON, Ito Yokado— dependen de sistemas de refrigeración conectados en red suministrados por empresas como Nissui, Daikin y Mitsubishi Heavy Industries. Una filial del Grupo Nissui experimentó un incidente separado pero relevante el 7 de octubre, cuando un operador contratado sufrió un acceso no autorizado que interrumpió la logística de entrada y salida de ciertos productos alimenticios congelados. A la hora de cerrar esta edición, aún no se había confirmado la recuperación completa.

La Asociación Japonesa de Fabricantes de Aparatos Eléctricos (JEITA) ha documentado un aumento marcado de incidentes relacionados con IoT desde 2024. Cámaras han sido secuestradas de forma remota para prácticas voyeuristas. Cerraduras eléctricas de puertas se han abierto sin autorización. Routers domésticos han sido comprometidos y reutilizados para campañas de fraude y secuestro de datos. Los ataques no son teóricos: son titulares cotidianos, y se están acelerando.

Investigadores del Instituto Nacional de Tecnologías de la Información y las Comunicaciones registraron más de 70.100 millones de ciberataques relacionados con comunicaciones solo en 2025, con una tendencia clara hacia dispositivos IoT domésticos y comerciales como puntos de entrada. La suposición de que un refrigerador es «solo un refrigerador» es precisamente cómo los atacantes logran colarse.

Qué separa a Japón de Francia en este momento

Japón aún no ha sufrido un ataque a la cadena de frío a la escala del de Francia. Eso se debe en gran parte a que los sistemas comerciales de refrigeración en Japón suelen ser gestionados por equipos de TI internos, administradores de instalaciones regionales y relaciones duraderas con los proveedores que datan de antes de la era del IoT. Muchas unidades aún operan en redes locales cerradas en lugar de conexiones a Internet público: una arquitectura más lenta y torpe, pero también más defendible.

Sin embargo, esa ventaja se erosiona con rapidez. CEATEC 2026, la mayor feria de tecnologías digitales de Japón, abrió sus puertas el 13 de octubre con amplias simulaciones interactivas que demostraban cómo una sola decisión de seguridad defectuosa —una contraseña predeterminada sin cambiar, credenciales compartidas entre servicios, un router sin parches— puede multiplicar las pérdidas corporativas por órdenes de magnitud. Las exhibiciones no eran abstractas. Utilizaban escenarios reales, modelos financieros reales e cronologías reales.

«En el próximo uno o dos años, hemos visto casos en los que dispositivos IoT son atacados y los clientesresultan perjudicados —porteros videónicos, lavadoras, aires acondicionados, refrigeradores, todos conectándose a la red», afirmó Masaaki Yamamoto, investigador principal de JEITA. «La comodidad es real. La amenaza ya está en nuestras salas de estar».

Las tres medidas que importan

Los consejos de los expertos en ciberseguridad franceses y japoneses se solapan casi exactamente, y ambos son frustrantemente simples:

Primero, utilice contraseñas únicas y complejas para cada sistema conectado en red, y no reutilice credenciales entre servicios. Una sola contraseña comprometida puede desbloquear toda una red de refrigeración si esa contraseña aparece en cualquier otro lugar. Cambiar las dos o tres últimas caracteres de una contraseña reutilizada a través de docenas de cuentas puede reducir dramáticamente el radio de explosión.

Segundo, trate el software desactualizado como un riesgo conocido, no como una molestia. El ataque francés explotó una versión del software de gestión de refrigeración que el fabricante ya no vendía. Si su sistema ya no recibe soporte, no está «funcionando bien». Está esperando a que alguien encuentre el comando correcto.

Tercero, segmente sus redes. Las unidades comerciales de refrigeración nunca deberían compartir una red con terminales de pago, Wi-Fi para empleados o puntos de acceso para invitados. Un solo dispositivo comprometido no debería convertirse en una puerta de entrada a todos los demás dispositivos del edificio.

Qué sigue

El ataque a los supermercados franceses se convertirá en un estudio de caso en los cursos de seguridad de la cadena de suministro en menos de un año. Los minoristas japoneses ya están revisando sus contratos de refrigeración. La verdadera pregunta es si encontrarán el coraje político y comercial para reemplazar sistemas que funcionan, pero solo porque nadie ha enviado aún el comando adecuado.

Los atacantes no necesitaban malware sofisticado. Necesitaban un botón de descongelación y una conexión a Internet. Todo lo demás era configuración.

Las cadenas de frío no son solo infraestructura logística. Son infraestructura de salud pública. Cuando los supermercados de París perdieron millones de dólares en alimentos durante la noche, el costo visible fue financiero. El costo invisible fue la confianza, el saber que el sistema que mantiene su cena congelada a la temperatura adecuada está a un solo clic de teclado de un extraño del colapso.

Las cadenas de suministro de Japón son igualmente frágiles. El hardware es de primer nivel mundial. El software, a menudo, no lo es. Y los atacantes ya están probando las mismas suposiciones que Francia acaba de aprender de la peor manera.