En la madrugada del 11 al 12 de octubre, un ciberataque dirigido contra los sistemas de refrigeración de supermercados en Francia desencadenó una crisis que trascendió el ámbito empresarial para llegar al propio Parlamento. El ministro de Finanzas, Roland Lescure, confirmó ante los diputados que aproximadamente 700 establecimientos — de un total de 10.000 en el país — resultaron afectados, y aunque garantizó que el suministro de alimentos no corre peligro, calificó el incidente como «una llamada de atención para todos» que «toca el corazón de nuestra seguridad alimentaria». Este suceso, que la aseguradora y firma de ciberseguridad europea Stoïk vincula directamente con un aumento del 46% en la frecuencia de ciberincidentes en el sector comercio, marca un punto de inflexión en la percepción del riesgo digital para pequeños y medianos comercios.
Un ataque que derrite la barrera entre lo digital y lo físico
Los atacantes lograron forzar el calentamiento de frigoríficos, congeladores y cámaras de refrigeración hasta alcanzar los 50 °C durante aproximadamente seis horas, lo que obligó a varias cadenas a retirar producto fresco y congelado por riesgo de contaminación. El punto de entrada no fue un servidor central ni un sistema de pago, sino un equipo aparentemente menor: controladores remotos de refrigeración suministrados por Danfoss, muchos de ellos modelos antiguos que ya no reciben actualizaciones de seguridad.
Juan Ignacio Ramallo, Country Manager de Stoïk en Iberia, describió el ataque como «uno de los primeros ciberataques a gran escala contra el equipamiento de las tiendas que causa daños físicos». En su análisis, el factor crítico fue la exposición directa a internet de controladores industriales que las empresas de mantenimiento gestionan de forma remota. «Cualquier comercio en España que tenga equipos así debería revisarlos hoy mismo», advirtió.
La radiografía del incidente: controladores expuestos y vulnerabilidades conocidas
Los equipos implicados pertenecen a los fabricantes Danfoss y Copeland (bajo las marcas Emerson y Dixell). Stoïk identificó aproximadamente 3.000 controladores Danfoss accesibles desde internet solo en Francia, cerca de la mitad del total mundial, mientras que el resto se distribuye por otros países europeos. El incidente no fue completamente imprevisible: ya en agosto investigadores de seguridad habían publicado fallos en este tipo de controladores, y a finales de ese mismo mes se registró una intrusión similar en una docena de economatos militares en Estados Unidos. Hasta el momento se desconoce la autoría del ataque y el método exacto de acceso.
El 46% de aumento confirma una tendencia estructural en el comercio
Los datos internos de Stoïk refuerzan que lo ocurrido en Francia no es un hecho aislado, sino la manifestación más visible de una escalada generalizada. Entre mayo y septiembre de 2026, la frecuencia de ciberincidentes en el comercio mayorista y minorista pasó de 13,5 a 19,7 por cada 100 empresas protegidas al año. Esto representa un incremento del 46% en apenas cinco meses. En el comercio minorista, la subida fue del 32% (de 14,1 a 18,7).
| Sector | Frecuencia 2025 (por 100 empresas/año) | Frecuencia ene-sep 2026 | Variación |
|---|---|---|---|
| Comercio total (mayorista + minorista) | 11,4 | 15,4 | +35% |
| Comercio minorista | 9,5 | 17,3 | +82% |
El incremento acumulado en los primeros nueve meses de 2026 respecto al año completo anterior es especialmente severo en el comercio minorista, donde la tasa de incidentes casi se ha duplicado. Para Diego Montojo, Suscriptor Ciber de Stoïk en Iberia, la naturaleza del ataque francés demuestra que las pymes están en primera línea: «Muchos de los afectados son tiendas Intermarché y U de propiedad independiente, carnicerías y pequeños comercios. Con producto perecedero y márgenes ajustados, una sola noche sin frío puede acabar con todo el inventario. Por eso la prevención y una respuesta rápida importan tanto como el propio seguro».
Por qué los sistemas de refrigeración se convirtieron en el blanco perfecto
Los controladores de refrigeración pertenecen a la categoría de sistemas OT (tecnología operativa), diseñados originalmente para funcionar en redes aisladas y sin conexión externa. Sin embargo, la necesidad de monitorización remota para ahorrar costes y optimizar el mantenimiento ha llevado a conectarlos directamente a internet, a menudo sin las medidas de seguridad básicas. En muchos casos, las contraseñas permanecen en valores por defecto, el firmware está desactualizado y los fabricantes ya no proporcionan parches para versiones antiguas.
El ataque a Danfoss ilustra con claridad este fenómeno: el software de gestión remota fue la puerta de entrada, pero la verdadera vulnerabilidad reside en la arquitectura de red de los comercios. Los sistemas de climatización, las cámaras de vigilancia IP y los propios equipos de caja comparten a menudo el mismo segmento de red que los controladores industriales, sin segmentación ni cortafuegos específicos.
Preguntas que todo responsable de comercio debería hacerse hoy
¿Qué es un controlador de refrigeración y por qué es un riesgo de ciberseguridad? Un controlador de refrigeración es un dispositivo electrónico que regula la temperatura de cámaras frigoríficas y congeladores. Muchos modelos permiten conexión remota para que los técnicos de mantenimiento ajusten parámetros sin desplazarse. Si ese acceso no está protegido, un atacante puede alterar la temperatura, dañar el producto o provocar pérdidas millonarias. En el ataque de octubre, los atacantes utilizaron exactamente esa vía.
¿Cómo ocurrió el ataque a los supermercados franceses? Los atacantes accedieron a los controladores Danfoss expuestos a internet, probablemente aprovechando vulnerabilidades conocidas en modelos sin actualizar. Una vez dentro, forzaron los sistemas de calefacción de los equipos de refrigeración, elevando la temperatura a 50 °C durante horas. Decenas de tiendas perdieron producto perecedero. El incidente afectó a cadenas como Intermarché y U, así como a carnicerías y pequeños detalles independientes.
¿Cuándo se empezó a observar esta tendencia? Los investigadores publicaron fallos en estos controladores en agosto de 2026. A finales de ese mes se produjo un ataque similar contra economatos militares en Estados Unidos. El incidente masivo en Francia ocurrió la noche del 11 al 12 de octubre. Los datos de Stoïk muestran que la frecuencia de ciberataques al comercio venía aumentando de forma constante desde 2025.
El perfil de los afectados: pymes con poco margen y mucha exposición
Aunque el ataque golpeó a cadenas reconocidas, la mayoría de los establecimientos afectados son negocios de propiedad independiente. En Francia, los supermercados Intermarché y U operan bajo un modelo de franquicia o cooperativa, donde cada tienda es gestionada por un empresario local. Esto replica exactamente el perfil de las pymes españolas y latinoamericanas: recursos limitados para ciberseguridad, dependencia de servicios externalizados y una cadena de frío que no puede interrumpirse.
Stoïk subraya que el ataque no requiere una infraestructura sofisticada. Basta con un controlador antiguo, accesible desde internet y sin mantenimiento de seguridad, para comprometer la operación completa de un comercio. «Este ataque marca un antes y un después», insistió Ramallo. «El punto de entrada no fue un sistema crítico, sino un equipo corriente».
Siete pasos para proteger el comercio antes de que sea demasiado tarde
Ante la urgencia inmediata, Stoïk recomienda desconectar la monitorización remota de los sistemas de refrigeración y designar a una persona para que verifique las temperaturas manualmente hasta que los equipos estén protegidos. A partir de ahí, la compañía propone un plan estructurado en siete acciones prioritarias.
- Saber qué hay conectado. Realizar un inventario completo de todos los dispositivos con acceso a internet: frigoríficos, climatización, cámaras de seguridad, sistemas de caja, routers. Reducir al mínimo su exposición. Lo que no está en el inventario no se puede proteger.
- Aislar los equipos de control. Los controladores de refrigeración y otros sistemas industriales deben operar detrás de un cortafuegos y nunca con acceso directo desde internet. Esto es especialmente crítico en equipos antiguos que ya no reciben actualizaciones.
- Actualizar o sustituir. Mantener al día el software y firmware de los equipos que aún tienen soporte. Planificar el reemplazo de aquellos que ya no reciben parches de seguridad, porque representan la puerta de entrada más sencilla para los atacantes.
- Reforzar el acceso. Cambiar todas las contraseñas por defecto y activar la autenticación de doble factor. El acceso de los proveedores externos de mantenimiento debe canalizarse a través de un único punto de entrada seguro y monitorizado.
- Tener copias que funcionen. Las copias de seguridad deben mantenerse offline y probarse periódicamente para verificar que realmente se pueden restaurar. Un backup que falla en el momento crítico no sirve de nada.
- Vigilar cuando nadie mira. Los ataques suelen lanzarse de noche y durante los fines de semana. La vigilancia 24/7 de los sistemas, ya sea propia o externalizada, es clave. También es fundamental formar a la plantilla para detectar correos de phishing, el método de entrada más habitual.
- Preparar el plan B. Cada negocio debe saber de antemano quién recibe la alerta cuando falla un equipo, adónde se traslada el stock perecedero y cómo se documenta lo ocurrido para el seguro y las autoridades.
Lo que el ataque a Danfoss revela sobre el futuro de la ciberseguridad comercial
El caso francés no es una anomalía, sino un aviso de lo que puede convertirse en una práctica habitual si los comercios no actúan con rapidez. La creciente interconexión de los sistemas físicos con redes digitales — el internet de las cosas industrial — está ampliando la superficie de ataque mucho más allá de los ordenadores y servidores tradicionales. Cualquier dispositivo con capacidad de telemetría, desde un termostato hasta una cerradura inteligente, puede ser explotado si no está adecuadamente protegido.
Los datos de Stoïk son inequívocos: la frecuencia de incidentes en el comercio minorista aumentó un 82% entre 2025 y los primeros nueve meses de 2026. Si esa tendencia continúa, un comercio mediano tiene hoy una probabilidad significativa de sufrir al menos un incidente grave en los próximos doce meses. Para las pymes, que operan con márgenes ajustados y sin departamentos de TI dedicados, el riesgo de perder todo el inventario por un ataque nocturno es real y creciente.
La respuesta no pasa únicamente por contratar un seguro, sino por adoptar medidas técnicas inmediatas. Desconectar accesos remotos innecesarios, segmentar redes, actualizar equipos obsoletos y establecer procedimientos de respuesta ante incidentes son acciones que cualquier comercio puede implementar sin grandes inversiones. El coste de no hacerlo quedó demostrado aquella noche de octubre en Francia: 700 tiendas paralizadas, toneladas de alimento destruidas y una llamada de atención que ningún responsable de negocio debería ignorar.
