Ciberataque termodinámico: Hackers derriten supermercados al programar refrigeradores a 50°C

Dominique Schelcher, presidente de Coopérative U, confirmó la gravedad del incidente calificándolo de “extremadamente serio”, detallando que los equipos de respuesta a incidentes fueron movilizados durante la madrugada para intentar contener el sabotaje. Pero la mecánica del ataque revela un nivel de sadismo operativo inusual.

Los sistemas de refrigeración comercial cuentan con ciclos de descongelamiento automático diseñados para activarse durante breves periodos (apenas un par de horas al día) para evitar la acumulación de hielo en los motores. Los hackers no solo activaron esta función fuera de horario, sino que reescribieron los parámetros de seguridad del firmware, forzando un ciclo de descongelamiento continuo e ininterrumpido ajustado a una temperatura abrasadora de 50°C (122°F). Los reportes del personal en las tiendas describen “una ola de calor literal” emanando de los pasillos de congelados, lo que resultó en la pérdida total de la cadena de frío y la putrefacción de toneladas de alimentos perecederos en cuestión de horas. Las estimaciones iniciales de pérdidas rondan los 300,000 euros por sucursal, escalando rápidamente a daños multimillonarios a nivel nacional.

Cadenas como Albert Heijn, Etos, Gall & Gall y la belga Delhaize reportaron la caída absoluta de su infraestructura de Tecnologías de la Información (TI). Albert Heijn emitió un comunicado confirmando que tuvieron que recurrir al “apagado temporal preventivo” de múltiples subsistemas para frenar la propagación de la infección.

Este colapso afectó directamente a las etiquetas electrónicas de los estantes (ESL – Electronic Shelf Labels). Estos pequeños dispositivos de tinta electrónica (e-ink), que se conectan vía Wi-Fi o radiofrecuencia a la base de datos central de la tienda para actualizar los precios dinámicamente, fueron comprometidos. Los clientes en Ámsterdam reportaron discrepancias masivas en los cobros, pantallas de precios inoperantes y la suspensión total de los programas de lealtad. Adicionalmente, el ataque derribó los portales de comercio electrónico y los sistemas de despacho, paralizando por completo la logística de entregas a domicilio de estas cadenas.

La vulnerabilidad oculta de la automatización

Este incidente no es un caso aislado de vandalismo digital, es una demostración de fuerza que debería aterrorizar a cualquier junta directiva del planeta. Integrar sistemas de aire acondicionado, controles de refrigeración e iluminación (tecnología operativa u OT) a la misma red corporativa desde donde se gestionan los precios y el inventario es un suicidio arquitectónico.

Durante años, los fabricantes de hardware industrial como Danfoss han añadido conectividad remota a sus tableros de control en nombre de la “eficiencia” y el mantenimiento predictivo, a menudo ignorando principios básicos de ciberseguridad como la segmentación estricta de redes (VLANs) o la autenticación multifactor. Un refrigerador no debería, bajo ninguna circunstancia lógica, poder recibir comandos de ejecución desde internet sin barreras físicas que limiten temperaturas catastróficas.

Este ciberataque termodinámico en Europa es el ensayo general para el futuro del terrorismo digital. Si unos atacantes pueden derretir el inventario de alimentos de tres países desde un teclado remoto, la pregunta inevitable es: ¿Qué les impide tomar el control de la temperatura de un hospital, un centro de datos o una planta química? La automatización sin paranoia es, simplemente, una invitación al desastre.