Un ciberataque alteró las heladeras de supermercados en al menos siete países de Europa

Entre la noche del domingo 1 y la madrugada del lunes 2 de noviembre, una o más personas sin identificar entraron a distancia en los sistemas que controlan la temperatura de heladeras y congeladores de supermercados y comercios de al menos siete países europeos: Bélgica, Luxemburgo, Suecia, Países Bajos, Irlanda, Estonia y Finlandia. La agencia AFP suma además casos en Italia y Portugal. Los atacantes activaron o alargaron los ciclos de descongelamiento, la mercadería se calentó y hubo que tirarla. En algunos locales los equipos llegaron a 50 °C. La fiscalía federal de Bélgica y el Centro Nacional de Ciberseguridad de Suecia abrieron investigaciones. Nadie se adjudicó el ataque, que es el segundo de este tipo en un mes: el primero fue en Francia, en octubre.

Qué pasó

Según la radiotelevisión belga RTBF, citada por la agencia EFE, el ataque empezó en Bélgica cerca de la medianoche del domingo. El gerente de varios locales de Delhaize en Bruselas contó que se enteró por el teléfono: "Me despertaron las alarmas que empezaron a aparecer en mi teléfono alrededor de las tres de la madrugada". Al llegar, dijo, los compresores estaban parados y las heladeras tiraban aire caliente. Stephan Moelans, director general del instalador belga Sabcobel, declaró a la agencia Belga: "Empezamos a movilizar técnicos desde la una de la madrugada".

El lunes a la mañana ya habían informado problemas Delhaize, Carrefour, Spar, Colruyt, Intermarché y la tienda de Ikea en Mons, en Bélgica; las cadenas ICA y Coop, en Suecia; SuperValu, del grupo Musgrave, en Irlanda; Selver, en Estonia, y Kesko, en Finlandia. En los Países Bajos, la empresa danesa Danfoss, que fabrica sistemas de refrigeración, contó 17 comercios afectados.

El caso que más se difundió fue el de un ICA Kvantum de Sjöbo, en el sur de Suecia. El propio local avisó en su página de Facebook que los congeladores se habían puesto a 50 °C y que estaba descartando mercadería, según informaron Associated Press (AP) y Bloomberg. Algunos medios pasaron la cifra a grados Fahrenheit (120 °F) y hablaron de "más de 49 °C". En Bélgica las temperaturas fueron más bajas: según RTBF, los congeladores llegaron a unos 15 °C.

Los afectados, país por país

No hay una cifra oficial que sume todos los locales afectados. Con lo que informó cada empresa, el total pasa los 130, aunque algunos números podrían superponerse y en otros casos las empresas no dieron cantidades.

País	Cadena o empresa	Locales afectados	Fuente
Bélgica	Delhaize	Unos 40	EFE, AFP, BBC; AP y Bloomberg dicen "varias decenas"
Luxemburgo	Delhaize	4	AFP (vía RFI)
Bélgica	Carrefour	15, de más de 700	EFE, AP, AFP, Bloomberg, Reuters
Bélgica	Intermarché	15 (en algunos, un solo equipo)	AFP (vía El País de Uruguay)
Bélgica	Colruyt	5	AFP, Infobae
Bélgica	Spar	Unos 5	Bloomberg
Bélgica	Ikea	1 (Mons)	AFP, Bloomberg
Suecia	Coop	6 o 7, de unos 800	6: AFP, AP, Europa Press; 7: Reuters, Bloomberg
Suecia	ICA	"Un número limitado"	AP, EFE, Bloomberg, RFI
Irlanda	SuperValu (Musgrave)	13, de 223	AP, Bloomberg, RFI
Países Bajos	Carnicerías, comercios de barrio y un depósito de congelados	17	Danfoss (vía EFE y la televisión pública NOS)
Estonia	Selver	1	AP, Bloomberg, RFI
Finlandia	Kesko	"Un par" de locales chicos (causa sin confirmar)	Bloomberg, RFI
Italia	Coop Sicilia y un comercio en Toscana	4, de 300, y 1	AFP (vía RFI), DW
Portugal	Intermarché (Mosqueteiros)	7	AFP (vía RFI)

Según EFE, Sabcobel calcula que unos 20 de los cientos de sistemas que administra fueron afectados. En Amberes también sufrió el ataque una cadena de carnicerías, según medios locales citados por la misma agencia.

Cómo lo hicieron: Danfoss y equipos sin actualizar

Varias fuentes coinciden en que los atacantes no rompieron los equipos: les dieron órdenes. Según Sabcobel, EFE y el diario The Brussels Times, activaron a distancia el modo descongelamiento de los evaporadores. Rafe Pilling, de la empresa de seguridad Sophos, le dijo a The Guardian que no se usó software malicioso y lo comparó con alguien que se pone guantes de goma y mueve las perillas. Patrick Lamplmair, de la firma Tributech, comentó al sitio Gizmodo, citado por Xataka, que en un ataque así no hay "ningún dato que robar y ningún rescate que negociar".

Según Bloomberg, la propia Danfoss reconoció que sus productos estuvieron involucrados, como en Francia. Al menos en parte de los casos, el problema fueron equipos sin actualizar o mal protegidos. Para los Países Bajos, la empresa explicó a NOS, según EFE, que los equipos estaban en redes sin protección y con las contraseñas que traen de fábrica, y que a mediados de octubre les había pedido a sus clientes que los desconectaran de internet. "La mayoría de las tiendas tomó medidas entonces, pero un pequeño número no lo hizo, y ahora están sufriendo las consecuencias", dijo un portavoz. Sobre un depósito neerlandés agregó: "Normalmente, los sistemas deben mantenerse a -20 grados, pero anoche descubrimos que estaban a -10 grados".

En Estonia, Jann Mutso, del proveedor Kitman Coldtech, contó a AP que alguien entró en la computadora de un cliente, subió la temperatura a 50 °C y que lo resolvieron en minutos. Eran equipos Danfoss viejos. En Suecia, ICA informó que todos sus locales afectados usaban un sistema externo de control de Danfoss. Coop atribuyó la vulnerabilidad de sus seis locales a que se conectaban por una red móvil 4G y no por la 5G actualizada, según AFP y The Guardian. Ikea, en cambio, aclaró que su tienda de Mons trabaja con un proveedor distinto al de los demás, y no dijo cuál. En Portugal, Mosqueteiros indicó que el blanco parece haber sido una empresa externa que mantiene la refrigeración.

En agosto, la empresa Claroty había publicado fallas críticas en el modelo Danfoss AK-SM 800A y en el Copeland XWEB Pro, entre ellas una que permite saltear la autenticación. Ambos fabricantes lanzaron parches. Según The Hacker News, citado por Latin Times, Danfoss dejó de dar soporte a otros dos modelos, el AK-SC355 en 2016 y el AK-SM 800 en 2021, que ya no reciben actualizaciones. No está confirmado qué vía usaron los atacantes en cada caso.

Varias firmas de seguridad midieron cuántos equipos siguen expuestos, con resultados distintos. Forescout contó casi 5.000 sistemas Danfoss expuestos la semana anterior al ataque, según Bloomberg, y en otro relevamiento, citado por Xataka, encontró 12.976 servicios de refrigeración accesibles desde internet en 99 países. Rapid7, también según Bloomberg, encontró casi 1.000 equipos Danfoss potencialmente vulnerables que seguían en línea después del lunes. Christiaan Beek, de esa empresa, lo resumió así: "Tenemos mucha chatarra de internet flotando por ahí".

Xataka señala que no hay pruebas de que en el ataque se haya usado inteligencia artificial. El Centro para la Ciberseguridad de Bélgica (CCB) dijo, según The Brussels Times, que le preocupa el aumento de incidentes, en parte por el uso de esa tecnología.

Quién podría estar detrás

Nadie reivindicó el ataque, y ningún gobierno lo atribuyó oficialmente. Según Reuters, citada por Xataka, el CCB belga dijo que no sabe quién fue y que quizás nunca se sepa. La fiscalía federal belga confirmó que investiga, pero no dio detalles.

Los especialistas manejan hipótesis distintas. Pilling, de Sophos, le dijo a The Guardian que los dos escenarios más probables son "algún tipo de señal estatal y demostración de capacidad" o "algún hacker solitario". El diario británico menciona como posibles a actores vinculados con Rusia y China, y recuerda que los jefes de inteligencia occidentales hablan de una campaña rusa de sabotaje en Europa. Daniel dos Santos, de Forescout, dijo a Bloomberg que no ve un motivo económico: "Es muy probable que alguien esté mandando un mensaje a la sociedad: podemos arruinarles el suministro de comida". Su empresa registró en 2026 más de 20 ataques a sistemas de refrigeración, muchos atribuidos a hacktivistas prorrusos, aunque este no se le atribuyó a ningún grupo. Tampoco está confirmado que las olas de octubre y noviembre sean de los mismos autores.

Christophe Hansen, comisario europeo de Agricultura y Alimentación, condenó el ataque: "Se trata de un intento deliberado de perturbar nuestra cadena de suministro alimentario y socavar la confianza de los consumidores". En Italia, según RFI, el Gobierno convocó una reunión de urgencia con los jefes de inteligencia y la Agencia Nacional de Ciberseguridad. Calificó el impacto de "altamente limitado" y dijo que afectó a pocos comercios con "sistemas de seguridad obsoletos". En el Reino Unido no hubo casos, según The Guardian.

Las consecuencias

Hubo que retirar y descartar productos frescos y congelados en Bélgica, Suecia, Irlanda e Italia. Según AFP, un cartel en el Delhaize de Boortmeerbeek avisaba que, por los ciberataques, no iba a haber productos en las góndolas de refrigerados ni de congelados. EFE informó que algunos locales usaron camiones frigoríficos para salvar parte de la mercadería. Según la BBC, citada por TechRepublic, el Delhaize de Hoeilaart perdió unos 100.000 euros en mercadería, sin contar lo que dejó de vender mientras estuvo cerrado. Un carnicero de Amberes calculó una pérdida de 15.000 euros en carne, según Reuters.

Las empresas describieron el problema con palabras distintas. Mich Vergauwen, portavoz de Carrefour Bélgica, dijo a AFP: "Es un ciberataque, no hay otra explicación", y calificó el impacto de muy limitado. Sarah De Meester, de Delhaize, dijo a AP que la oferta de frescos y congelados estaba "temporalmente algo limitada" y que la distribución funcionaba con normalidad. Intermarché y Colruyt hablaron de problemas técnicos, sin usar la palabra ciberataque. En Suecia, Carlos Cancino, de Coop, dijo a AFP: "Podemos confirmar que se trata de un incidente cibernético". Una portavoz de ICA, en cambio, dijo a EFE: "Sabemos que un número limitado de tiendas se ha visto afectado por un incidente durante la noche", sin confirmar que fuera un ataque. Musgrave dio el problema por totalmente resuelto el lunes a la tarde. En Finlandia, Kesko informó anomalías de temperatura y no descartó una causa informática. En Sicilia, Giuseppe Spadaro, de Coop Sicilia, le dijo al Corriere della Sera: "Tuvimos que tirar todo. Las estanterías están vacías".

Ninguna fuente informó personas enfermas. TechRepublic advierte que volver a configurar el equipo no alcanza para saber si la mercadería sigue siendo segura.

El antecedente de Francia

En la noche del 11 al 12 de octubre, un ataque parecido afectó a supermercados de Intermarché, Netto, Coopérative U, Carrefour, Monoprix y E.Leclerc en Francia, con temperaturas de hasta 50 °C, comida descartada y principios de incendio, según Xataka, Clarín e Infobae. La cantidad de locales cambia según el medio: unos 150 según Europa Press y Les Mousquetaires, 350 según Reuters y cerca de 700 según Bloomberg y The Guardian. Según Le Monde, citado por Xataka, los atacantes estiraron los ciclos de descongelamiento de una a ocho horas, lo que demoró las alarmas. Thierry Cotillard, director ejecutivo de Intermarché, habló en BFM-TV de pérdidas de decenas de millones de euros en un solo día.

La Fiscalía de París abrió una investigación y el primer ministro, Sébastien Lecornu, le encargó el caso a la agencia nacional de ciberseguridad, ANSSI. El organismo francés de respuesta a incidentes, CERT-FR, alertó por intrusiones en equipos Danfoss, Copeland y Dixell, y recomendó sacarlos de internet, revisar los ciclos de descongelamiento y conectarse por VPN. Según The Guardian, Sabcobel empezó a actualizar sus sistemas después de ese ataque y sostiene que, si no lo hubiera hecho, el daño de esta semana habría sido mucho mayor.

La advertencia desde España y la situación en la región

El analista de redes Marcelino Madrigal le dijo a Infobae España que encontró más de 300 equipos de frío expuestos a internet en ese país, sin intentar entrar en ninguno. "Por supuesto que puede ocurrir aquí también", dijo, aunque aclaró que "expuesto no es igual a vulnerable". El Instituto Nacional de Ciberseguridad español (INCIBE) respondió que, por lo reciente del caso y la falta de trazabilidad, no puede determinar cómo entraron los atacantes ni si hay riesgo en España.

En América Latina no se informaron casos. En octubre, después del ataque en Francia, dos especialistas consultados por Clarín advirtieron sobre la región. Sergio Cayuqueo señaló que en la Argentina conviven sistemas modernos con equipos antiguos y sin aislar, y recordó el ataque informático al Ingenio Ledesma en 2022. Flavia Méndez, del Industrial Cyber Summit, sostuvo: "En América Latina tenemos los mismos riesgos y todavía poca comunicación entre IT [...] y OT", es decir, entre los sistemas informáticos y los que controlan máquinas. No hay datos públicos de cuántos equipos están expuestos en la Argentina.

Lo que falta saber

• Quién hizo el ataque y con qué fin: nadie lo reivindicó ni hay una atribución oficial.
• Si las olas de octubre y noviembre son de los mismos autores y usaron la misma vía de entrada.
• Cómo entraron en cada caso: una falla conocida, contraseñas de fábrica o un proveedor externo de mantenimiento.
• Cuántos locales fueron afectados en total y cuánto se perdió en esta segunda ola.
• Si todos los equipos eran Danfoss: Ikea dijo que usa otro proveedor.
• Si la falla en los comercios de Kesko, en Finlandia, fue un ataque informático.
• Si hay equipos expuestos en la Argentina y cuántos.

Versiones que no coinciden

• Temperatura máxima: casi todas las fuentes dicen 50 °C; Infobae tituló 49 °C porque pasó 120 °F a Celsius, aunque en el cuerpo menciona 50 °C. En Bélgica la cifra informada es de unos 15 °C.
• Locales de Coop en Suecia: 6 según AFP, AP/TT y Europa Press; 7 según Reuters, Bloomberg, Latin Times e Infobae.
• Cantidad de países afectados: 5 según AP, 6 según Infobae, 7 según The Guardian y TechRepublic, y 9 según AFP/RFI y DW, que suman Italia y Portugal. Xataka menciona además informes no confirmados de Alemania y Rumania.
• Ubicación del ICA donde se llegó a 50 °C: Sjöbo según AP y Bloomberg; Estocolmo según Infobae.
• Naturaleza del incidente en ICA: EFE e Infobae lo presentan como ciberataque; la portavoz de ICA no lo confirmó (RFI, Bloomberg), aunque el local de Sjöbo sospecha un hackeo.
• Intermarché y Colruyt en Bélgica hablaron de problemas técnicos, no de ciberataque (AFP); Infobae los incluye entre los incidentes del ataque.
• Delhaize en Bélgica: unos 40 locales según EFE y AFP; varias decenas según AP y Bloomberg.
• Francia en octubre: unos 150 locales según Europa Press y Les Mousquetaires, 350 según Reuters, más de 500 según Uno Santa Fe y cerca de 700 según Bloomberg, The Guardian y Latin Times.
• Equipos Danfoss expuestos: casi 5.000 (Forescout, Bloomberg), al menos 4.500 (Reuters con Shodan, Clarín), más de 1.000 (Censys, Latin Times) y casi 1.000 vulnerables después del ataque (Rapid7, Bloomberg). Las mediciones usan criterios distintos.
• Fecha de la publicación de Claroty: agosto en la mayoría de las fuentes; 9 de agosto en Latin Times.