Los hackers que durante octubre estuvieron cocinando alimentos de supermercados por toda Francia han pasado a algo mucho más grave: los congeladores de plasma sanguíneo de Francia.
Durante la noche del 1 al 2 de noviembre, los atacantes irrumpieron en los equipos gestionados por Coolworld, una empresa de refrigeración que presta servicio al organismo nacional francés de sangre, el EFS, y configuraron los congeladores, que suelen estar a unos -30 °C, para que se calentaran hasta los 110 °C.
El semanario de investigación Le Canard enchaîné reveló el ataque el 3 de noviembre.
Conclusiones clave
Unos hackers reiniciaron los congeladores de plasma sanguíneo del este de Francia, que pasaron de unos -30 °C a una temperatura objetivo de 110 °C. Un técnico de guardia lo detectó antes de que el plasma se descongelara.
Es la tercera oleada en un mes, tras los ataques a unos 700 supermercados franceses el 11 y 12 de octubre y a tiendas de al menos nueve países europeos el 2 de noviembre.
Ningún grupo ha reivindicado los ataques, pedido dinero ni robado datos, lo que apunta a que no se trata de ciberdelincuencia común.
Las pérdidas de los supermercados ya ascienden a millones de euros. Un ataque exitoso contra las reservas de sangre costaría mucho más, porque Francia ya importa la mayor parte del plasma que necesita.
Qué ocurrió con los congeladores de plasma
Un técnico de guardia notó que las temperaturas subían durante la noche del domingo al lunes. Los atacantes habían cambiado el valor de consigna, es decir, la temperatura que el controlador intenta alcanzar, de unos -30 °C a 110 °C. Los congeladores nunca llegaron a esa temperatura, porque el cambio se detectó y revirtió a tiempo.
El momento importa. El plasma fresco congelado debe mantenerse a -25 °C o menos, así que unas pocas horas de calentamiento pueden hacer que un lote no sea apto para los pacientes.
Al principio, el EFS dijo que las unidades afectadas contenían muestras de donantes conservadas para controles de seguridad. Más tarde, declaró al Canard que también se había visto afectado plasma congelado destinado a transfusiones. Los lugares identificados hasta ahora están en la región de Bourgogne-Franche-Comté. El Ministerio de Sanidad francés afirma que el incidente no tuvo consecuencias operativas y no se ha informado de la destrucción de plasma alguno.
No se ha hecho público cuántos lugares fueron afectados, durante cuánto tiempo tuvieron acceso los atacantes ni cómo lograron entrar.
Una campaña de un mes contra todo lo que está frío
El ataque al plasma no surgió de la nada. Es el más reciente de una serie de ataques que siguen el mismo procedimiento: acceder a un controlador de refrigeración conectado a internet y luego cambiarlo de enfriar a calentar.
Fecha Objetivo Lugar Alcance Daños 11-12 de oct. Frigoríficos y congeladores de supermercados Francia Unos 700 establecimientos Alimentos estropeados; algunos frigoríficos se incendiaron 1-2 de nov. Congeladores de plasma sanguíneo a través de Coolworld Francia No revelado Ataque detectado a tiempo; no se han informado pérdidas 2 de nov. Supermercados, carnicerías y un IKEA Bélgica, Países Bajos, Suecia, Irlanda, Luxemburgo, Estonia, Finlandia, Portugal e Italia Decenas de establecimientos Alimentos retirados de la venta o desechados
Tres oleadas de ataques contra sistemas de refrigeración en un mes. Fuentes: Gobierno francés, CERT-FR, Le Canard enchaîné y comunicados de minoristas.
Durante la primera oleada, el ministro de Finanzas de Francia declaró ante el Parlamento que fueron atacados unos 700 de los 10.000 supermercados del país. Por la mañana, tiendas de Intermarché, Netto, Coopérative U, Carrefour, Monoprix y E.Leclerc encontraron frigoríficos que se habían calentado hasta unos 50 °C.
La segunda oleada, el 2 de noviembre, alcanzó cadenas como Delhaize y Carrefour en Bélgica, SuperValu en Irlanda, ICA y Coop en Suecia, y una tienda IKEA en Mons. Los congeladores de plasma fueron atacados esa misma noche.
Cómo entran los hackers
El equipo francés de respuesta a emergencias cibernéticas emitió una alerta en la que mencionó controladores remotos fabricados por Danfoss, además de herramientas de supervisión comercializadas por Copeland y su marca Dixell. Advirtió que la campaña probablemente seguía activa.
Los puntos débiles son básicos. Muchos controladores están conectados directamente a internet y tienen una página de inicio de sesión que cualquiera puede encontrar; algunos todavía usan contraseñas predeterminadas o débiles. Hace años que dejaron de actualizarse dos de los modelos de Danfoss implicados: uno en 2016 y otro en 2021. Danfoss ha dicho que la mayoría de los sistemas afectados eran productos antiguos que los clientes no habían actualizado.
Vincent Strubel, director de la agencia francesa de ciberseguridad ANSSI, declaró en una audiencia del Senado el 21 de octubre que los ataques a los supermercados aprovecharon fallos de seguridad básicos, equipos expuestos en línea y contraseñas débiles, y que no siempre se siguen las recomendaciones de su agencia. También advirtió que se usa el mismo tipo de equipo en todo el sector sanitario, desde laboratorios de investigación hasta farmacias que almacenan vacunas. Once días después, fueron atacados congeladores de plasma.
No se ha confirmado que los equipos de Coolworld utilicen los modelos mencionados en la alerta.
¿Quién está detrás y qué pretende?
Nadie lo sabe con certeza. Ningún grupo ha reivindicado los ataques y los fiscales de París y Bruselas no han identificado sospechosos. El centro de ciberseguridad de Bélgica ha dicho que quizá nunca se identifique a los responsables. Pero los propios ataques ofrecen pistas y permiten descartar algunas explicaciones.
No parece un ataque de ransomware
Las bandas de ransomware buscan dinero. Bloquean sistemas o roban datos y luego exigen un pago. En este caso no ha habido nota de rescate, publicación en sitios de filtraciones ni informes de robo de datos en ninguna de las tres oleadas. Los ataques destruyen productos y luego se detienen, por lo que no hay una forma evidente de obtener ganancias.
Teoría 1: hackers poco cualificados que buscan llamar la atención
El método requiere poca habilidad. Los dispositivos pueden localizarse con buscadores públicos de internet y las vulnerabilidades de los controladores antiguos de Danfoss se publicaron en 2025. Ken Munro, de la empresa de seguridad Pen Test Partners, ha dicho que los responsables podrían ser simplemente unos chavales haciendo travesuras. Strubel dijo a los senadores que su agencia observa un aumento de los atacantes jóvenes franceses motivados por la reputación y no por el dinero, aunque no relacionó esa tendencia con estos ataques.
Lea también: La unidad 1Finity de Fujitsu afirma que las torres de telefonía también pueden ejecutar IA Teoría 2: sabotaje deliberado de los suministros
El patrón es más difícil de explicar como una broma. Las tres oleadas ocurrieron durante la noche del domingo al lunes, cuando las tiendas y los laboratorios están vacíos y nadie vigila la temperatura. Cada oleada afectó a muchos lugares en una sola noche, y la segunda se extendió por al menos nueve países. Los objetivos pasaron de los alimentos a la cadena de suministro médico.
Esto encaja con alguien que quiere causar el mayor daño posible y demostrar que puede alcanzar suministros de los que depende la gente. El comisario europeo de Agricultura, Christophe Hansen, ha calificado los ataques de intento deliberado de interrumpir el suministro alimentario de Europa y sacudir la confianza de los consumidores. Francia está en alerta ante posibles ataques «híbridos» rusos contra infraestructuras críticas, pero ningún gobierno ha culpado a Rusia, Irán ni a nadie más por estos incidentes.
Teoría 3: una prueba
Una tercera interpretación es que se trate de un sondeo. Atacar miles de controladores, observar con qué rapidez responden las empresas y luego pasar a objetivos más sensibles es la forma en que un atacante cartografiaría los puntos débiles antes de una operación mayor. Esta es la hipótesis de Fathom, no una conclusión, y nada de lo que se ha hecho público la demuestra; pero el salto de los supermercados al plasma sanguíneo en menos de tres semanas es precisamente el tipo de escalada que preocupa a las autoridades de seguridad.
La interpretación de Fathom: quienquiera que esté detrás, los ataques buscan causar trastornos, no obtener ganancias. Y la lista de objetivos es cada vez más peligrosa.
¿Qué pérdidas se prevén si esto continúa?
Supermercados: millones de euros ya
Todavía no hay una cifra nacional oficial, pero las cantidades de cada establecimiento se acumulan rápidamente. Un Intermarché de Haguenau informó de pérdidas de unos 50.000 €, y un Super U de Wasselonne, de unos 220.000 €. El grupo matriz de Intermarché, Les Mousquetaires, prevé pérdidas de varios millones de euros en sus aproximadamente 300 tiendas afectadas. En Bélgica, un carnicero calculó que se estropeó carne por valor de 15.000 € tras la oleada de noviembre.
A las existencias estropeadas se suman los gastos de limpieza y reposición, los daños causados por incendios y rociadores, y el coste de sustituir controladores que ya no pueden recibir parches.
Suministros de sangre: mucho más difíciles de reponer
El plasma supone un tipo de pérdida distinto. Procede de donantes voluntarios, así que no se puede reponer comprándolo de una estantería. En 2024, Francia solo recolectó alrededor del 35 % del plasma que necesitaba para los medicamentos derivados del plasma e importó el resto, principalmente de Estados Unidos, según una pregunta presentada en el Parlamento. La demanda de esos medicamentos crece alrededor de un 8 % al año.
Incluso sobre el papel, las cifras son elevadas. El EFS vende plasma para la fabricación de medicamentos a un precio regulado de 140 € por litro, y el Gobierno quiere recolectar 1,4 millones de litros al año para 2028. Un ataque exitoso contra las reservas de una región eliminaría semanas de donaciones y obligaría a importar más en un momento en que Francia intenta reducir esas importaciones.
El plasma para transfusiones se utiliza para tratar hemorragias en cirugías, traumatismos y partos. Si las reservas escasean, el coste se mide en operaciones aplazadas y riesgos para los pacientes, no solo en euros.
Las vacunas y los laboratorios podrían ser los siguientes
La advertencia de Strubel abarcó los laboratorios de investigación y las farmacias que almacenan vacunas. Muchos utilizan sistemas de refrigeración conectados del mismo tipo que los de los supermercados. Hasta ahora, cada oleada se ha detectado o contenido en cuestión de horas, pero solo porque el personal se dio cuenta a tiempo. Está claro que los atacantes eligen noches en las que nadie vigila.
Qué ocurre ahora
Hay investigaciones abiertas en París y Bruselas. CERT-FR ha indicado a los operadores que desconecten los controladores de la internet pública, cambien las contraseñas predeterminadas, utilicen accesos remotos seguros y revisen los horarios de descongelación. También advirtió que restablecer la configuración de fábrica no basta para reparar dispositivos que han llegado al final de su vida útil.
Para los hospitales y los bancos de sangre, la lección del caso Coolworld es sencilla. Los congeladores forman ahora parte de la superficie de ataque, y un técnico que vigile las cifras a las 3 de la madrugada quizá sea la última línea de defensa.
Preguntas frecuentes
¿Qué ocurrió con los congeladores de plasma sanguíneo de Francia?
Durante la noche del 1 al 2 de noviembre, unos hackers cambiaron la configuración de los congeladores utilizados por el EFS a través de su proveedor de refrigeración, Coolworld. La ajustaron de unos -30 °C a 110 °C. Un técnico detectó el aumento de las temperaturas y no se han informado pérdidas.
¿Quién está detrás de los ciberataques a los frigoríficos?
Nadie los ha reivindicado y no se ha identificado a ningún sospechoso. Los expertos se dividen entre quienes creen que son hackers poco cualificados que buscan llamar la atención y quienes apuntan a un sabotaje deliberado de los suministros.
¿Están relacionados los ataques a los supermercados y al plasma?
Utilizan el mismo método y ocurrieron en la misma oleada de ataques, pero los investigadores no han confirmado que los mismos responsables estén detrás de ambos.
Lea a continuación: Una falsa entrevista de trabajo permitió a unos hackers entrar en Binance y llevar a cabo un ataque de 6.340 millones de dólares