Cosmikal recibe el Premio Ejecutivos 2026 al Fabricante Revelación en Ciberseguridad

Ciberataque a supermercados europeos: qué se sabe y cómo se pudo evitar

16 de octubre de 2026

La noche del 11 al 12 de octubre de 2026, cientos de supermercados franceses vieron cómo sus cámaras frigoríficas se calentaban sin que nadie en tienda lo hubiera ordenado. Según Les Mousquetaires, propietario de Intermarché, las cámaras de unas 150 de sus tiendas estuvieron a 50 °C durante seis horas (Reuters).

No fue un ataque contra datos, sino contra el mundo físico, y, según lo publicado, pudo llegar a través de algo tan cotidiano como el acceso remoto a un equipo de mantenimiento.

¿Qué ha pasado en los supermercados?

Francia. El ministro de Economía, Roland Lescure, cifró en unos 700 los supermercados afectados. Carrefour confirmó 80 tiendas y Monoprix el 5 %; las tiendas afectadas de Intermarché y Netto van de 150 a 300 según la fuente (Reuters, TIME, AP). La Fiscalía de París investiga, incluidos los posibles incendios. Nadie ha reivindicado el ataque (FreshPlaza) y, según AP, no parece haber habido petición de rescate.
Respuesta oficial. El primer ministro encargó la investigación a ANSSI, la agencia francesa de ciberseguridad, y Francia coordina la respuesta con otros países europeos. Su equipo de respuesta, el CERT-FR, publicó el 12 de octubre la alerta CERTFR-2026-ALE-012 sobre numerosos compromisos de controladores remotos de refrigeración y el 13 la amplió a otros equipos.
Países Bajos, caso aparte. Ahold Delhaize apagó sistemas de forma preventiva tras un incidente de ciberseguridad y dijo que no hay motivo para vincularlo con Francia. Ningún vínculo se ha confirmado (FreshPlaza).

¿Cómo lo hicieron?

La vía de entrada no está confirmada oficialmente. Esto es lo que apuntan las fuentes:

Un panel accesible desde internet. Los paneles que gestionan todos los frigoríficos y congeladores de una tienda suelen poder alcanzarse por internet para que las empresas de mantenimiento los ajusten a distancia. El CERT-FR recuerda que exponer una interfaz de gestión en internet es contrario a las buenas prácticas, y Francia concentra casi el 60 % de los controladores de ese fabricante expuestos en el mundo, según U.K. Cyber Defence (TIME).
Equipos antiguos o sin actualizar. El fabricante afirmó que las unidades afectadas funcionaban con firmware desactualizado y que la mayoría eran productos antiguos sin actualizaciones de software ni de seguridad. En agosto, la firma Claroty había publicado fallos en uno de sus modelos que el fabricante ya había corregido (Reuters). Los investigadores aún no han hecho pública la forma de acceso de los atacantes (TIME).
Una función legítima usada con fines maliciosos. Según BFM-TV, los atacantes forzaron un ciclo de desescarche continuo con consigna de 50 °C y, según Le Monde, alargaron el ciclo de una a ocho horas en algunos congeladores y cámaras para retrasar las alarmas. Christopher Whyte, de Virginia Commonwealth University, dijo a AP que un ataque así no es demasiado difícil y que lo más probable es que los controles estuvieran abiertos a la red del supermercado.

Los atacantes no rompieron la refrigeración: usaron una función normal del sistema, el desescarche, a través de su consola de gestión.

¿Cuál ha es el coste de un ataque así?

Económico. Thierry Cotillard, presidente de Intermarché, estimó pérdidas de decenas de millones de euros en toda Francia en un solo día. Dos supermercados de Alsacia declararon 270.000 euros de pérdidas (BFM-TV, vía TIME). Intermarché advirtió a la AFP de que algunas pólizas de seguro no cubren necesariamente este tipo de incidente, y el CERT-FR recomienda verificar las condiciones del seguro antes de cortar la conexión de datos con la empresa frigorista.

Reputacional. Lescure aseguró que no hay riesgo para el suministro de alimentos, pero que el ataque afecta al núcleo de la seguridad alimentaria del país y ha sido un aviso para todos. Dominique Schelcher, de Coopérative U, lo calificó de inédito y de extrema gravedad. Los grupos tiraron todo el producto afectado para eliminar cualquier riesgo sanitario, y la federación del comercio francés pidió plena transparencia al proveedor del software (Reuters).

Operativo y energético. Hubo pasillos de congelados cerrados y la Fiscalía investiga incendios en algunas cámaras (AP). Ninguna de las fuentes consultadas ha publicado cifras de coste energético sobre la nueva puesta en marcha de las máquinas ni del sobrecoste de reposición de alimentos. En Países Bajos, caso aparte, el apagado preventivo de sistemas de Ahold Delhaize detuvo centros de distribución de Albert Heijn y dejó falta de fruta y verdura en tiendas; los clientes que ya habían pagado serán compensados (FreshPlaza).

Por qué importa fuera de Francia

Ken Munro, de Pen Test Partners, lo calificó ante Reuters de ciberhigiene básica (Euronews). El CERT-FR avisa de que probablemente siguen en curso campañas de ataque contra estos equipos y de que mantener expuesto un equipo sin parches de seguridad lo deja con muy alta probabilidad de compromiso. Un equipo físico conectado, con acceso remoto de terceros, es un activo crítico y debe protegerse como tal.

Cómo habría ayudado Endurance

Cosmikal es un fabricante español de ciberseguridad y Endurance, nuestra solución de Remote Shielded Workspace (RSW), integra funcionalidades PAM, VDI, IAM y DLP para proteger el acceso a los activos críticos. Si los gestores de refrigeración se hubieran operado a través de Endurance:

El Activo no se publica en internet. El acceso se realiza dentro del espacio blindado de RSW: no hay consola expuesta que localizar.
RSW aísla el Activo, no el endpoint. Hay un salto de aire entre el equipo del técnico y el Activo. Aunque el equipo del mantenedor estuviera comprometido, no afectaría a la conexión ni al Activo.
El mantenedor externo entra con las mismas reglas que cualquiera. Endurance aplica las políticas de la compañía a cualquier solicitante: identidad verificada, mínimo privilegio, ventanas de acceso y trazabilidad. Un desescarche fuera de horario puede restringirse, aprobarse o pero siempre quedará registrado.
Los accesos por navegador quedan gobernados igual que cualquier otro protocolo.

Se reduce de forma drástica la probabilidad de que la vía más señalada (consola expuesta con acceso remoto de terceros) sea explotable, en línea con la recomendación del CERT-FR de recuperar el acceso solo mediante una red protegida o una VPN segura.

Lo que ninguna plataforma resuelve sola. La vía de entrada no está confirmada oficialmente. Un firmware sin soporte sigue siendo un riesgo, un atacante ya dentro de la red local exige segmentación y detección propias, y el inventario de equipos conectados sigue siendo el primer paso.

Cinco acciones para prevenir estos ataques

Localiza qué responde desde internet en tus IP públicas y cruza el resultado con el inventario del mantenedor.
Retira la exposición directa de toda consola de gestión.
Define en los contratos de mantenimiento cómo accede el tercero, con qué identidad, en qué horario y con qué registro.
Separa la red de los equipos físicos de la de oficina.
Añade sondas de temperatura independientes del gestor central: avisan aunque este falle o sea manipulado.