Fallos de refrigeración estropean alimentos en seis países europeos mientras se sospecha de un ciberataque

La interrupción se produjo durante la noche del 1 al 2 de noviembre y afectó a comercios de Bélgica, Luxemburgo, Suecia, Irlanda, los Países Bajos y Estonia. Varias empresas y proveedores describen una interferencia maliciosa en los controles de refrigeración. Sabcobel, que gestiona los sistemas de refrigeración de Delhaize y fabrica algunos de los equipos afectados, califica el incidente de ciberataque. Sin embargo, no se ha demostrado que una sola operación conectara los seis países.⁠1⁠2

Los daños físicos están mejor establecidos que la explicación digital. Se han retirado alimentos de la venta, los trabajadores se enfrentan a las tareas de limpieza y algunas tiendas han cerrado temporalmente. Otras han seguido abiertas o han vuelto a abrir. Sigue sin haber un recuento completo de las existencias perdidas, un calendario confirmado de restablecimiento para todos los establecimientos afectados ni un atacante identificado.⁠1⁠2

La estimación de Hoeilaart procedía del gerente de la sucursal, que habló con el medio de noticias belga Het Laatste Nieuws, según la BBC. Incluye los productos desechados en una tienda de la región belga de Flandes, no una pérdida nacional auditada. Informes de medios locales sitúan las pérdidas generales de alimentos en millones de euros, pero no se ha establecido una cifra total fiable ni el tonelaje. La estimación de la sucursal no puede sumarse sin más a esas cifras generales: es posible que ya incluyan las mismas pérdidas.⁠1

Unas 40 tiendas Delhaize se vieron afectadas en Bélgica y Luxemburgo en conjunto, no 40 en cada país. Carrefour informó de interrupciones en 15 tiendas belgas y dijo que las medidas inmediatas permitieron mantener abiertas todas sus tiendas. Colruyt Group, que opera tiendas Spar en Bélgica mediante franquicias, dijo que habían atacado los sistemas de refrigeración de cinco tiendas. Son relatos de cada cadena, no un censo consolidado de todos los establecimientos afectados.⁠1

En los Países Bajos, entre las víctimas reportadas había carnicerías y pequeños comercios de barrio. Un portavoz de Danfoss dijo a la emisora neerlandesa NOS que durante la noche habían alterado las temperaturas de refrigeradores y congeladores en al menos 17 negocios. Se trata de una cifra de negocios, no de 17 sucursales de supermercados. También muestra por qué las consecuencias van más allá de las grandes cadenas de alimentación.⁠6

SuperValu, de Irlanda, informó de sistemas de refrigeración afectados en 13 supermercados. Su propietaria, Musgrave Group, describió un incidente cibernético limitado a un «modelo específico» de refrigerador. Esa precisión importa: no significa que fallaran todas las unidades de refrigeración de esas tiendas ni que se viera afectada toda la red de SuperValu. No se ha establecido una cifra verificada de pérdidas en Irlanda ni un plazo completo de restablecimiento.⁠1

Por tanto, el coste no se limita a los alimentos que hubiera dentro de un congelador averiado. Una tienda también puede perder tiempo de actividad mientras el personal retira los productos y reanuda las operaciones. La estimación del gerente de Hoeilaart refleja claramente esa diferencia: la factura de los alimentos ya era considerable, y el cierre supuso una pérdida adicional.

En Sjöbo, en el sur de Suecia, una sucursal de ICA dijo que alguien había ajustado sus refrigeradores y congeladores a 50°C, equivalente a 122°F. Se trata de una descripción de un cambio en la configuración del controlador, no de una prueba de que las cámaras o su contenido alcanzaran realmente esa temperatura. La sucursal cerró antes de lo previsto y volvió a abrir después. ICA dijo que el incidente afectó a un pequeño número de tiendas que operan fuera de su red central y que les estaba brindando apoyo. No informó de una vulneración de la propia red central.⁠1

Otra sucursal, ICA Baronen, en Estocolmo, publicó un aviso en el que decía que todos sus congeladores estaban averiados debido a un ciberataque. El gerente de ventas situó el incidente a las 2 a.m., hora local, y su detección a las 5:30 a.m. Esas horas describen lo ocurrido en una tienda, no una hora confirmada de inicio y detección de la interrupción generalizada en Europa.⁠2

La cifra de tiendas suecas de Coop afectadas aumentó entre las noticias publicadas el 2 de noviembre: el informe anterior de The Independent hablaba de seis tiendas afectadas; la noticia posterior de la BBC elevó la cifra a siete de un total de 800. La cifra posterior sustituye a la anterior, aunque no se ha explicado el motivo del cambio. Coop dijo a la BBC que la situación estaba «actualmente contenida y bajo control», una afirmación más limitada que confirmar que todas las cámaras volvían a funcionar y que se había repuesto toda la mercancía desechada.⁠2⁠1

La radiotelevisión estonia ERR identificó un supermercado Selver como afectado. El proveedor Kitman Coldtech también describió a un cliente, una cadena de supermercados, afectado y dijo que la configuración se había cambiado a +50°C, sin nombrar a la cadena en ese relato. Esos informes no demuestran que hubiera dos víctimas distintas, y tampoco debe confundirse de nuevo la configuración con una temperatura medida de los alimentos.⁠21⁠2

La explicación más concreta de cómo se interrumpió la refrigeración procede de Sabcobel. La empresa dijo que los evaporadores —las partes del sistema de refrigeración que contribuyen a enfriar— se habían puesto en modo de descongelación, lo que provocó que las unidades se calentaran. El director ejecutivo, Stephan Moelans, dijo a Belga que se trataba de un ciberataque y describió los esfuerzos en curso para aislar los equipos.⁠1

Moelans dijo que las medidas de protección habían comenzado tras los ataques anteriores en Francia y que las unidades afectadas necesitaban modificaciones físicas, no solo cambios de software. Recomendó gestionar los refrigeradores mediante una conexión segura a internet y dijo que la mayoría de los clientes de Sabcobel habían cambiado su sistema después de lo ocurrido en Francia. Ese es el relato del proveedor sobre su respuesta y las medidas de protección que recomienda; no demuestra que se hubieran modificado todas las unidades vulnerables ni que se hubiera eliminado el riesgo restante.⁠1

El 14 de octubre informamos de que cientos de supermercados franceses habían desechado alimentos frescos y congelados después de que atacantes manipularan a distancia los controles de refrigeración. El relato de noviembre sobre el modo de descongelación se asemeja a ese mecanismo anterior. Lo que ha cambiado es el alcance geográfico informado de las interrupciones de la refrigeración; lo que no ha surgido es evidencia forense que vincule los ataques en Francia con todos estos nuevos incidentes.

Ahold Delhaize también informó en octubre a la policía de actividad sospechosa en su infraestructura. No se ha demostrado ningún vínculo entre esa actividad y los fallos de refrigeración de noviembre. La coincidencia de fechas y efectos en distintas cadenas es motivo de investigación, no prueba de que haya un solo autor, una plataforma vulnerada o una vía de acceso a los equipos.⁠2

Las agencias nacionales de ciberseguridad de Bélgica y Suecia están siguiendo el incidente. El Centro Nacional de Ciberseguridad del Reino Unido dijo que trabajaba con socios internacionales y el sector para entender qué había ocurrido; no se habían informado incidentes afectados en el Reino Unido. Esas respuestas no establecen una causa común en los seis países.⁠1

Para los comercios, la prueba ahora es tanto práctica como forense: refrigeración fiable, reposición de existencias y que no se repita la interrupción. Volver a abrir una puerta o desconectar un controlador es un avance. Todavía no es un balance definitivo ni de los alimentos perdidos ni de la seguridad restablecida.