Redacción Muy Segura.- Tres semanas después del ciberataque que afectó a los sistemas de refrigeración de alrededor de 700 supermercados en Francia, un sabotaje de características similares ha alcanzado durante la madrugada del 2 de noviembre a decenas de establecimientos de Bélgica, Luxemburgo, Países Bajos, Suecia, Irlanda, Finlandia y Estonia.
Entre los afectados figuran establecimientos de Delhaize, Carrefour, Spar, IKEA, ICA, Coop y SuperValu, además de pequeños comercios y carnicerías.
Según explica Stoïk, compañía europea especializada en ciberseguro y ciberseguridad, los atacantes accedieron a través de internet a controladores de frío conectados a redes insuficientemente protegidas y con contraseñas predeterminadas. Una vez dentro, activaron de forma remota el modo de descongelación y apagaron los compresores.
El resultado fueron subidas de temperatura de entre 15 ºC y 50 ºC, que obligaron a desechar grandes cantidades de alimentos.
Cuando el ciberataque deja de afectar solo a los ordenadores
El incidente pone el foco sobre los denominados ataques ciberfísicos contra tecnología operacional u OT, es decir, sistemas que no gestionan únicamente información, sino que controlan maquinaria y procesos físicos.
A diferencia de un ataque convencional de ransomware, en el que el objetivo suele ser cifrar sistemas o bloquear información para exigir un rescate, en este caso los atacantes toman el control remoto de equipos físicos y utilizan funcionalidades legítimas del propio dispositivo con fines de sabotaje.
«Es uno de los primeros ciberataques a gran escala contra el equipamiento de las tiendas que causa daños físicos, y el punto de entrada no fue un sistema crítico, sino un equipo corriente, accesible desde internet y sin actualizar», explica Juan Ignacio Ramallo, Country Manager de Stoïk en Iberia.
El directivo advierte de que cualquier comercio español que disponga de equipos similares debería revisar su configuración y exposición a internet.
Stoïk ya había identificado alrededor de 3.000 controladores de este tipo expuestos a internet en Francia, aproximadamente la mitad de los detectados globalmente. La repetición de un mismo modelo de dispositivo en cientos de establecimientos multiplica además el alcance potencial del riesgo: una vez localizada una vulnerabilidad o una vía de acceso, puede reproducirse contra muchos equipos similares.
¿Quién controla realmente los sistemas de frío?
El ataque vuelve a poner sobre la mesa uno de los puntos ciegos de la ciberseguridad empresarial: los equipos conectados que tradicionalmente se gestionan como maquinaria y no como sistemas informáticos.
Los controles de refrigeración, climatización, cámaras o determinados dispositivos industriales pueden permanecer durante años fuera del perímetro habitual de ciberseguridad de una organización.
«A menudo, estos equipos se gestionan como maquinaria y no como sistemas informáticos. Se protegen los ordenadores y el correo, pero el frío, la climatización o las cámaras quedan en manos del proveedor de mantenimiento, fuera del radar de quien gestiona la ciberseguridad», señala Diego Montojo, Suscriptor Ciber de Stoïk en Iberia.
Esta situación se agrava cuando el acceso remoto y las credenciales dependen directamente de terceros.
«En muchos casos, quien tiene las llaves del frío no es la tienda, sino su proveedor de mantenimiento. Es él quien tiene las credenciales y el acceso remoto, y la tienda a menudo ni siquiera sabe que su equipo de frío está conectado a internet», advierte.
Los ciberincidentes aumentan en el comercio minorista
Los datos de Stoïk apuntan además a una creciente exposición del sector.
Entre las empresas de comercio minorista protegidas por la compañía, la frecuencia de ciberincidentes habría pasado de 9,5 casos por cada 100 empresas en 2025 a 17,3 en lo que va de 2026, lo que representa un incremento del 82%.
En el conjunto del comercio mayorista y minorista, Stoïk registra además un repunte del 46% entre mayo y septiembre de este año.
En España, aunque por el momento la compañía no tiene constancia de establecimientos afectados por esta oleada concreta, el nivel de exposición sigue siendo significativo. Según sus datos, en 2025 las empresas aseguradas por Stoïk en nuestro país registraron aproximadamente 11 incidentes por cada 100 compañías, por encima de la media de su cartera europea.
La compañía ya venía alertando de la necesidad de combinar seguro, prevención y respuesta ante un escenario en el que los ataques son cada vez más difíciles de circunscribir únicamente a los sistemas informáticos.
Los pequeños comercios, especialmente vulnerables
Aunque los casos de grandes cadenas tienen mayor visibilidad, Stoïk considera que las consecuencias pueden ser especialmente graves para negocios independientes.
«Aunque se hable de grandes cadenas, los más vulnerables son los pequeños comercios como tiendas independientes, carnicerías o fruterías. Con producto perecedero y márgenes ajustados, una sola noche sin frío puede acabar con todo el inventario de una tienda», señala Montojo.
El riesgo tampoco se limita a la distribución alimentaria. El mismo tipo de tecnología puede encontrarse en farmacias, hospitales, restauración o empresas logísticas, donde una alteración de la temperatura puede tener consecuencias económicas y operativas especialmente relevantes.
Siete medidas para reducir la exposición
Ante la situación, Stoïk recomienda como actuación inmediata revisar la exposición remota de los sistemas de refrigeración y, cuando resulte necesario, desconectar temporalmente la monitorización remota y comprobar físicamente las temperaturas hasta que los equipos hayan sido correctamente protegidos.
A partir de ahí, la compañía propone siete medidas:
1. Saber qué está conectado.
Inventariar todos los dispositivos con acceso a internet, incluidos equipos de refrigeración, climatización, cámaras y sistemas de caja. Lo que una empresa desconoce que está conectado difícilmente puede protegerlo.
2. Aislar los equipos de control.
Los controladores de refrigeración y otros sistemas industriales deberían funcionar detrás de un cortafuegos y evitar la exposición directa a internet, especialmente cuando se trata de dispositivos antiguos que ya no pueden actualizarse.
3. Actualizar o sustituir.
Stoïk recomienda mantener actualizado el software y el firmware de los dispositivos que todavía cuentan con soporte y establecer planes de sustitución para aquellos que ya no reciben parches de seguridad.
4. Reforzar los accesos.
Cambiar las contraseñas predeterminadas, activar mecanismos de autenticación reforzada y controlar especialmente los accesos remotos de los proveedores de mantenimiento.
5. Mantener copias que realmente puedan recuperarse.
Las copias de seguridad deben mantenerse aisladas y comprobarse periódicamente para verificar que pueden restaurarse correctamente cuando sea necesario.
6. Vigilar también fuera del horario comercial.
Los ataques suelen producirse durante noches, fines de semana o periodos de menor vigilancia, por lo que la monitorización continua puede convertirse en un elemento decisivo. La formación de la plantilla frente al phishing sigue siendo igualmente relevante.
7. Tener preparado un plan B.
Cada comercio debería saber de antemano quién recibe una alerta cuando falla un equipo, cómo debe reaccionar, dónde puede trasladarse el stock y cómo documentar el incidente.
De proteger datos a proteger la actividad física
La nueva oleada de ataques evidencia que la digitalización de maquinaria y dispositivos cotidianos está ampliando también la superficie de riesgo de las empresas.
Un controlador de temperatura, una cámara o un sistema de climatización pueden parecer elementos alejados de la ciberseguridad tradicional, pero su conexión a internet los convierte potencialmente en puntos de acceso a la actividad de una organización.
El desafío para empresas y comercios pasa así por ampliar el concepto de protección: no basta con asegurar ordenadores, correo electrónico y servidores; es necesario conocer también qué maquinaria está conectada, quién puede acceder a ella y bajo qué condiciones.
En un contexto en el que el daño digital puede traducirse ya en pérdidas físicas y económicas inmediatas, la gestión del riesgo cibernético adquiere una dimensión cada vez más transversal.
