Sospechas de ciberataques arruinan alimentos en supermercados de siete países europeos al manipular sus frigoríficos

Supermercados de varios países europeos han denunciado que sus frigoríficos y congeladores fueron manipulados de forma remota, con subidas de temperatura por encima de los 40 ºC que echaron a perder cientos de miles de euros en alimentos. Según el artículo de IT Pro, publicado el 3 de noviembre de 2026, los incidentes ocurrieron en la madrugada del lunes y los primeros indicios apuntan a un ciberataque contra sistemas de refrigeración conectados a internet. El texto habla de más de 40 tiendas afectadas en siete países.

Según la información recogida, decenas de supermercados Delhaize y Carrefour resultaron afectados en Bélgica y Luxemburgo, además de algunas tiendas Spar, según Le Soir. También se notificaron incidentes en las cadenas suecas ICA y Coop. El mayorista irlandés Musgrave indicó que 13 tiendas SuperValu sufrieron el problema, según Reuters. Además, un pequeño número de supermercados en Países Bajos, Estonia y Finlandia habría sido afectado, según los informes.

Según RTL Info, los responsables de las tiendas Delhaize recibieron hacia las 4:00 un SMS que avisaba de subidas repentinas de temperatura en las unidades de refrigeración, mientras que los primeros indicios sitúan el ataque en torno a las 2:00. Un responsable de una tienda Ica Kvantum en Sjöbo (Suecia) calculó el valor de la mercancía destruida en varios cientos de miles de coronas y lo describió ante DN como «una forma de terrorismo».

Estos hechos llegan pocas semanas después de un ataque similar contra supermercados franceses, en el que las temperaturas se elevaron de forma remota hasta 50 ºC durante la noche, con daños de millones de euros tanto en alimentos como en las propias tiendas. Todavía no se sabe si ambos episodios están relacionados. Stephan Moelans, consejero delegado de Sabcobel, especialista en refrigeración que opera los sistemas de los supermercados Delhaize, dijo a RTL Info que cree que los atacantes emplearon el mismo método que en el ataque de octubre. También explicó a la agencia Belga que, desde el ataque en Francia, Sabcobel trabajaba para «proteger los frigoríficos de nuestros clientes contra esta vulnerabilidad», pero que las unidades necesitaban modificaciones físicas.

Los expertos advierten de que estos incidentes pueden animar a nuevos ataques, sobre todo porque alterar la refrigeración causa grandes daños sin necesidad de malware sofisticado. Patrick Lamplmair, CTO y cofundador de la empresa de ciberseguridad Tributech, afirma: «Ya no es un incidente aislado. Es un método que funciona, y los atacantes lo seguirán usando hasta que deje de funcionar». Señala que resulta atractivo porque es barato y el daño es inmediato: en lugar de robar datos o exigir un rescate, los atacantes manipulan los controles de temperatura y destruyen existencias en una noche.

El artículo recuerda que la semana anterior el laboratorio Vedere Labs de Forescout advirtió de que, tras los ataques en Francia, otros países europeos podrían ser los siguientes. Su investigación identificó 12.976 observaciones de servicios de refrigeración expuestos a internet en 99 países, en particular en Italia y Grecia. Daniel dos Santos, vicepresidente de investigación de Forescout, explicó que muchas empresas tratan los sistemas de refrigeración como inversiones a largo plazo, por lo que el equipo puede seguir en servicio mucho después de que termine el soporte de software, y a menudo falta presupuesto para sustituirlo o actualizarlo. Lo describió como una brecha entre la vida física útil del equipo y su vida digital con soporte.

Sobre las soluciones, Lamplmair sostiene que no basta con aplicar parches, que siempre irán por detrás de los atacantes. A su juicio, la solución duradera es dejar de confiar en la red y verificar en el propio activo: cada comando debe demostrar su origen y que no fue alterado, y cada consigna debe comprobarse frente a límites físicos antes de ejecutarse. De ahí su frase: «Un congelador nunca debería aceptar una instrucción de calentarse a 50 ºC, la envíe quien la envíe». Defiende que estas salvaguardas se integren desde el diseño y recuerda que, con la Ley de Ciberresiliencia de la UE, los fabricantes de productos conectados pasarán a ser legalmente responsables de ello; los operadores deberían preguntar ya a sus proveedores cómo se verifican los comandos.

Dos Santos recomienda identificar los sistemas expuestos a internet, eliminar el acceso público directo y ofrecer el mantenimiento mediante acceso remoto seguro con autenticación fuerte. También aconseja eliminar credenciales de mantenimiento por defecto o compartidas, aplicar parches a los equipos con soporte y presupuestar la sustitución de los que ya no lo tengan. Concluye que proteger los procesos físicos de los que depende un negocio debe formar parte de la planificación diaria de la ciberresiliencia.

Conviene subrayar que el artículo habla de ataques «sospechados»: no identifica a los responsables, no confirma el vector técnico exacto y reconoce que no se sabe si los casos de Francia y los de ahora están vinculados.