Cuando las neveras se convierten en hornos: el ciberataque a los supermercados franceses y el papel de la IA

By Pepe Contreras con apoyo de @grok

La noche del domingo once al lunes doce de octubre de dos mil veintiséis, cientos de supermercados franceses amanecieron con sus cámaras frigoríficas a cincuenta grados. No fue un fallo eléctrico ni una avería masiva: fue un ciberataque coordinado que activó a distancia el ciclo de desescarche forzado de los controladores de refrigeración, arruinando toneladas de carne, pescado, lácteos y verduras antes de que abrieran las puertas al público.

El alcance del golpe

Las cifras varían según la cadena, pero el conjunto es demoledor. El grupo Les Mousquetaires, matriz de Intermarché, confirmó unos ciento cincuenta establecimientos afectados directamente, aunque la cifra global de Intermarché y Netto ronda los trescientos. Coopérative U perdió más de un centenar de tiendas. Carrefour comunicó ochenta supermercados impactados. E.Leclerc reconoció “varias tiendas” y Monoprix cifró el daño en alrededor del cinco por ciento de sus cuatrocientos noventa locales. En total, se habla de entre cuatrocientos y setecientos establecimientos en Francia, Bélgica y Países Bajos, según distintos medios.

El presidente de Les Mousquetaires, Thierry Cotillard, no dudó en calificarlo de “catástrofe” y advirtió: “Si Francia no está aprovisionada por sus supermercados, el pueblo tendría hambre, y un pueblo con hambre va a la revolución”. El director ejecutivo de Coopérative U, Dominique Schelcher, lo definió como un ataque “extremadamente grave y sin precedentes” contra equipos esenciales para la conservación de alimentos. Las pérdidas se estiman en varias decenas de millones de euros a nivel nacional en un solo día.

El modus operandi

Los atacantes no instalaron malware en los controladores. Según la agencia francesa de ciberseguridad ANSSI, explotaron una vulnerabilidad en el software de al menos tres fabricantes: el danés Danfoss, el estadounidense Copeland y el italiano Dixell. El blanco principal fueron los controladores Danfoss AK-SM800A y AK-SC355, muchos de los cuales ya no reciben actualizaciones de software ni de seguridad, como reconoció la propia Danfoss. Los piratas accedieron a las interfaces de gestión remota —pensadas para mantenimiento— y eliminaron los límites que impedían subir la temperatura, forzando el deshielo durante unas seis horas. Algunos locales sufrieron conatos de incendio y activación de rociadores.

La fiscalía de París abrió una investigación. El primer ministro Sébastien Lecornu ordenó a ANSSI investigar y coordinarse con socios europeos, porque España, Portugal, Polonia, Alemania y Bélgica también podrían estar expuestas. El comisario europeobbhhv de Agricultura, Christophe Hansen, advirtió que “convertir los alimentos en un arma ya es una realidad”.

El antecedente que nadie quiso ver

No era la primera vez. En dos mil veintidós hubo ataques similares contra supermercados en Rusia e Israel. Y en agosto de este año, la firma de ciberseguridad Claroty había demostrado en directo, en la conferencia DEF CON, cómo tomar el control de esos mismos controladores Danfoss. El aviso estaba ahí. La industria no lo escuchó.

Lo que dijo Anthropic

Casi en paralelo, el doce de octubre —el mismo día en que se conocían los daños— el Frontier Red Team de Anthropic publicó un informe firmado por William Zhou y Daniel Freeman, titulado “AI models may be capable of self-replicating without access to a datacenter”. Su tesis: que modelos de IA pequeños podrían estar a meses de autorreplicarse en dispositivos conectados de bajo costo, como cajas de Android TV u hornos inteligentes, sin necesidad de un centro de datos. El documento distingue con rigor lo probado de lo hipotético, pero la coincidencia temporal con el ataque alimentó titulares que hablaban de “rebelión de los electrodomésticos”.

La demostración de Claroty con Claude

Dos días después, el catorce de octubre, Claroty volvió a la carga. Su equipo de investigación, liderado por el director técnico Amir Zaltman y Amir Preminger, recreó el ataque completo usando Claude Sonnet cuatro punto seis de Anthropic a través de la plataforma Cursor. El resultado: veintiocho minutos y unos seis dólares de coste en uso de IA. Los investigadores combinaron dos vulnerabilidades conocidas del firmware público de Danfoss para obtener control total del controlador en un laboratorio, con el equipo desconectado de internet para no causar daños. Su conclusión fue demoledora: “Esta ataque habría podido llevarse a cabo perfectamente contra las interfaces malheureusement accesibles desde la web. Francia contaba con miles y era el país más expuesto”.

Vídeo con IA

Lo que esto significa

Ninguna fuente oficial ha atribuido el ataque del once de octubre a inteligencia artificial. La posibilidad de un hacker solitario o de un grupo hacktivista no se descarta, según el analista Aimé citado por CNN. Lo que sí está claro es el cambio de paradigma: la IA no necesita voluntad propia para ser peligrosa. Solo necesita abaratar el trabajo tedioso de explotar fallos ya documentados. Un grupo pequeño con un modelo conversacional y seis dólares puede hoy lo que antes requería un Estado con recursos.

Las lecciones son tres. Primero, el firmware obsoleto conectado a internet es una bomba de relojería en infraestructuras críticas. Segundo, las advertencias de la industria de ciberseguridad, cuando llegan meses antes y se ignoran, tienen un precio que pagan los consumidores con comida tirada. Y tercero, la conversación sobre riesgos de la IA debería centrarse menos en Terminator y más en el aburrido, urgente y real problema de la cadena de suministro alimentaria digital.

Fuentes

Descubre más desde PANORAMA AI PODCAST

Suscríbete y recibe las últimas entradas en tu correo electrónico.

Deja una respuesta