Varios supermercados de cuatro países europeos sufrieron ciberataques que elevaron hasta 50 °C la temperatura de algunos sistemas de refrigeración. En Francia, incidentes separados afectaron a equipos para conservar sangre, operaciones aéreas y cadenas de televisión. Los hechos pusieron en riesgo alimentos y suministros médicos, además de interrumpir servicios; por ahora, no se ha identificado públicamente a los responsables ni se ha confirmado que los incidentes estén relacionados.
Refrigeradores de supermercados ajustados a 50 °C
El lunes, supermercados de Bélgica, Luxemburgo, Suecia y Países Bajos detectaron que algunos equipos de refrigeración habían sido configurados para alcanzar temperaturas de hasta 50 °C (122 °F). Entre las empresas afectadas figuran Ahold Delhaize, IKEA, Colruyt Group y Carrefour. El calor puede echar a perder los alimentos y obligar a los comercios a retirar existencias dañadas.
Los ataques se producen después de un incidente similar en octubre que afectó a cientos de supermercados franceses. En esos establecimientos, los congeladores se sobrecalentaron y se estropearon alimentos; algunos locales también registraron incendios. Más tarde, fueron atacados sistemas de refrigeración utilizados para almacenar sangre en Francia. La interrupción de estos equipos puede ir más allá de las pérdidas de una empresa, ya que son esenciales tanto para la cadena alimentaria como para conservar suministros médicos.
Fredrik Blix, profesor asociado de la Universidad de Estocolmo y especialista en ciberseguridad, señaló que algunos sistemas de control de refrigeración están conectados directamente a internet y protegidos solo por contraseñas predeterminadas o fáciles de adivinar. Esa configuración puede dejarlos expuestos sin necesidad de técnicas sofisticadas, afirmó. Blix también advirtió de que la difusión de estos incidentes podría animar a otros a imitarlos. No descartó la participación de actores estatales o respaldados por un Estado, aunque dijo que también podría tratarse de una prueba de los límites de los sistemas o de una gamberrada.
Sin pruebas que vinculen los ataques con sabotajes
Sidharth Kaushal, investigador del Royal United Services Institute (RUSI), situó los incidentes en supermercados dentro de un contexto más amplio de presuntos sabotajes y amenazas híbridas en Europa. Mencionó los daños a cables submarinos en el mar Báltico, las amenazas de muerte contra directivos de empresas europeas de defensa y la bomba hallada en 2024 a bordo de un avión de carga de DHL.
Si los ataques a los supermercados estuvieran relacionados con Rusia, una posible motivación sería hacer que los responsables políticos europeos percibieran el coste de seguir apoyando a Ucrania, afirmó Kaushal. Hasta ahora no hay pruebas de que Rusia cometiera los ataques.
Las tácticas híbridas pueden combinar ciberataques, sabotajes y desinformación para alterar el funcionamiento de la sociedad sin desencadenar un conflicto militar abierto. La preparación varía en Europa, según Kaushal. Finlandia y Suecia cuentan con sistemas de protección civil más desarrollados y experiencia acumulada durante la Guerra Fría. En cambio, buena parte de las infraestructuras europeas se diseñó principalmente para ser eficiente desde el punto de vista económico, con menos atención a su capacidad de resistir interrupciones. La OTAN reforzó su atención a la seguridad de los cables submarinos y los gasoductos después del sabotaje de los gasoductos Nord Stream en 2022.
Oana Popescu-Zamfir, investigadora del RUSI especializada en seguridad europea, sostuvo que Europa tardó en adaptarse al nuevo entorno de seguridad y podría sufrir más ataques híbridos a través de redes intermediarias. Los ataques contra sistemas conectados pueden causar daños concretos, como interrupciones en el suministro de sangre, y aumentar la preocupación pública por la protección de los servicios cotidianos. También pueden dificultar la atribución de responsabilidades si los vínculos entre los autores y el Kremlin no son directos, añadió.
Fabricantes, proveedores y comercios comparten la responsabilidad
Blix indicó que las empresas pueden empezar por medidas básicas: los sistemas de control industrial y otras tecnologías operativas no deberían quedar expuestos directamente a internet sin protecciones adecuadas. Sin embargo, la responsabilidad se reparte entre fabricantes de equipos, empresas de mantenimiento y minoristas. Los proveedores de mantenimiento pueden habilitar el acceso remoto por comodidad, mientras que los comercios quizá no exijan requisitos de ciberseguridad suficientemente estrictos a sus proveedores. La superposición de funciones puede dificultar tanto la corrección de vulnerabilidades como la determinación de responsabilidades.
Europa también ha vivido protestas, disturbios y huelgas motivados por el coste de la vida. Alexander Anderson, presidente y director de políticas del Center for International Security and Economic Strategy, pidió cautela antes de atribuir agravios internos reales a la injerencia extranjera. Las operaciones de influencia rusas, y posiblemente algunas vinculadas a China, pueden tratar de profundizar las divisiones sociales, afirmó, pero eso no significa que todos los disturbios tengan un origen externo.
Las protestas y huelgas en Francia han aumentado la presión sobre el Gobierno para que gestione las cuentas públicas. En toda Europa, los elevados precios de la energía, la inflación persistente, el débil crecimiento y los déficits presupuestarios pesan sobre las economías. A la vez, el encarecimiento de la financiación deja a los gobiernos menos margen para apoyar a los hogares afectados. Sigue sin esclarecerse quién estuvo detrás de los ataques a los sistemas de refrigeración, las amenazas relacionadas con vuelos y los demás incidentes. Para empresas y consumidores, las preguntas inmediatas son si los servicios afectados ya se han restablecido y si los sistemas que los sostienen cuentan con protección suficiente.