La UE sopesa sancionar a Irán por los ciberataques a supermercados

La Unión Europea estudia imponer nuevas sanciones a Irán por los ciberataques que han afectado a los sistemas de refrigeración de cientos de supermercados franceses. La alta representante de la UE para Asuntos Exteriores, Kaja Kallas, abrió este lunes 9 de noviembre la puerta a una respuesta contundente después de que Francia atribuyera los ataques a una unidad vinculada a la Guardia Revolucionaria iraní.

La advertencia llega tras varias semanas de incidentes que han provocado pérdidas millonarias de alimentos, daños materiales y problemas de abastecimiento en distintos países europeos. En Francia, los piratas informáticos consiguieron elevar a distancia la temperatura de frigoríficos y congeladores de cerca de 700 establecimientos, inutilizando grandes cantidades de productos frescos y congelados.

El Gobierno francés ha ido un paso más allá de las sospechas iniciales. Su ministro de Exteriores, Jean-Noël Barrot, responsabilizó públicamente al Cuerpo de la Guardia Revolucionaria Islámica de Irán y anunció que París impulsará medidas restrictivas europeas contra los implicados.

Kallas, que participaba en los contactos diplomáticos del G7 en París, confirmó que los responsables de Exteriores habían recibido información sobre la atribución francesa. El asunto se abordará en la próxima reunión de ministros de Exteriores de la UE, prevista para el 16 de noviembre.

Por ahora, Bruselas no ha aprobado nuevas sanciones relacionadas con estos ataques. La propuesta deberá examinarse entre los Estados miembros, mientras continúa la investigación judicial francesa y las autoridades tratan de determinar si los incidentes registrados en otros países forman parte de una misma operación.

Francia atribuye los ciberataques a la Guardia Revolucionaria de Irán

Las autoridades francesas consideran que los ataques de octubre no fueron simples actos de vandalismo informático. La Fiscalía de París ha identificado como principal sospechosa a Shahid Kaveh, una unidad especializada en operaciones cibernéticas ofensivas vinculada al aparato de seguridad de la República Islámica.

La fiscal de París, Laure Beccuau, anunció la apertura de una investigación judicial dirigida contra el responsable de esa unidad, sus dos adjuntos y otras personas que puedan resultar implicadas. También se ha solicitado la emisión de órdenes internacionales de detención.

Las pistas que apuntan a una unidad iraní

La investigación francesa ha identificado varios indicios que, según las autoridades, relacionan el sabotaje con Shahid Kaveh.

Entre ellos figuran el procedimiento utilizado para acceder a los equipos, el empleo del persa o farsi durante la operación y direcciones IP asociadas a dispositivos situados en territorio iraní.

Estos elementos sustentan la atribución anunciada por Francia, aunque todavía no se han hecho públicos todos los detalles técnicos de la investigación.

Barrot calificó el episodio como un ataque de dimensiones excepcionales por su alcance y agresividad. El ministro también anunció la convocatoria del embajador iraní en París para trasladarle formalmente la protesta francesa.

La identificación del presunto responsable introduce una dimensión diplomática que hasta entonces permanecía abierta. Durante las primeras semanas, las investigaciones habían contemplado distintas hipótesis, incluida una posible participación de grupos prorrusos.

La acusación francesa no demuestra, por sí sola, que todos los ataques registrados posteriormente en Europa tengan el mismo origen. Esa distinción continúa siendo fundamental para determinar el alcance de las posibles responsabilidades.

Cómo consiguieron sabotear casi 700 supermercados franceses

El episodio más grave comenzó durante la noche del 11 al 12 de octubre de 2026, cuando los responsables del ataque accedieron a los sistemas de refrigeración de cientos de establecimientos comerciales franceses.

Entre las cadenas afectadas figuraban Intermarché, Carrefour, Leclerc, Monoprix y Coopérative U.

Los atacantes manipularon los controles de temperatura a través de conexiones remotas y activaron ciclos de descongelación anómalos, que alteraron el funcionamiento habitual de frigoríficos y congeladores.

En algunos establecimientos, los equipos llegaron a alcanzar temperaturas próximas a los 50 grados centígrados, muy por encima de las condiciones necesarias para conservar alimentos perecederos.

La operación también incluyó la desactivación de determinadas alarmas de seguridad, según la investigación francesa. Esto dificultó que los responsables de los establecimientos detectaran inmediatamente las alteraciones.

El resultado fue especialmente costoso. Numerosos comercios tuvieron que desechar productos cárnicos, lácteos, congelados y otros alimentos que habían perdido las condiciones adecuadas de conservación.

También se registraron conatos de incendio y daños en instalaciones frigoríficas.

Las estimaciones iniciales situaron las pérdidas del sector en decenas de millones de euros, aunque no existe todavía un balance definitivo que permita precisar el coste total del sabotaje.

Lo ocurrido revela una vulnerabilidad poco visible para el consumidor: buena parte de las instalaciones comerciales depende de sistemas industriales conectados a internet que permiten controlar temperaturas, modificar parámetros y realizar tareas de mantenimiento a distancia.

Esa conectividad facilita el trabajo cotidiano, pero también puede convertirse en una puerta de entrada para los ciberdelincuentes cuando las medidas de seguridad son insuficientes.

Kaja Kallas plantea una respuesta europea contra Irán

La jefa de la diplomacia comunitaria considera que las acusaciones francesas merecen una evaluación conjunta de los Veintisiete.

Kallas explicó que el asunto se llevará a la próxima reunión de ministros europeos de Exteriores, donde se valorará una posible respuesta firme frente a las operaciones cibernéticas atribuidas a Irán.

Francia pretende que esa reacción incluya sanciones específicas contra las personas y organizaciones implicadas.

La Unión Europea dispone desde 2019 de un mecanismo que permite castigar a individuos y entidades responsables de ciberataques graves contra sus Estados miembros.

Entre las medidas contempladas figuran la congelación de activos, las prohibiciones de entrada en territorio comunitario y las restricciones para facilitar fondos o recursos económicos a los sancionados.

El mecanismo también permite actuar contra quienes proporcionen apoyo técnico, financiero o material a operaciones informáticas maliciosas.

No sería la primera vez que Bruselas utiliza este instrumento contra actores relacionados con Irán. En marzo de 2026, el Consejo de la UE incorporó a su régimen de sanciones cibernéticas a la empresa iraní Emennet Pasargad por actividades que incluyeron ataques contra sistemas europeos.

Sin embargo, las eventuales sanciones por el sabotaje de los supermercados constituyen un expediente diferente y requieren una decisión específica del Consejo.

La voluntad francesa de castigar a los responsables todavía debe traducirse en un acuerdo europeo.

Los ciberataques se extienden a otros países europeos

El sabotaje de los supermercados franceses no fue el último incidente de estas características.

Durante la madrugada del 1 al 2 de noviembre se detectó una nueva oleada de ataques contra instalaciones de refrigeración de comercios europeos.

Los primeros casos confirmados afectaron a establecimientos de Bélgica, Países Bajos, Luxemburgo, Irlanda y Suecia. Posteriormente también se comunicaron incidencias en otros países, entre ellos Portugal.

En Bélgica resultaron afectados decenas de supermercados de cadenas como Delhaize y Carrefour. Algunos negocios tuvieron que retirar alimentos de la venta y recurrir a equipos frigoríficos alternativos.

En Irlanda, la cadena SuperValu comunicó problemas en trece establecimientos. En Países Bajos, el proveedor tecnológico Danfoss informó de ataques contra diecisiete empresas, principalmente pequeños comercios y carnicerías.

Suecia también registró alteraciones importantes. En determinados equipos de refrigeración, las temperaturas alcanzaron los 50 grados.

Los incidentes comparten características técnicas, pero no se ha demostrado que todos pertenezcan a una única campaña coordinada ni que la unidad iraní señalada por Francia sea responsable de cada uno de ellos.

La preocupación aumentó cuando tres centros de conservación de productos sanguíneos en Francia sufrieron ataques contra sus instalaciones frigoríficas.

Los sistemas de alerta permitieron detectar las alteraciones y evitar consecuencias sanitarias, aunque el episodio puso de manifiesto que el problema podía alcanzar servicios mucho más sensibles que un supermercado.

La Comisión Europea comenzó a coordinarse con Europol y las autoridades nacionales para intercambiar información, estudiar las vulnerabilidades y mejorar la respuesta frente a este tipo de amenazas.

La seguridad alimentaria entra en el mapa de las ciberamenazas

Los ataques han evidenciado que un sabotaje informático puede provocar consecuencias materiales sin necesidad de destruir servidores o bloquear grandes redes de comunicaciones.

Basta con manipular determinados equipos industriales para interrumpir procesos esenciales.

En una instalación frigorífica, modificar la temperatura durante varias horas puede obligar a retirar toneladas de alimentos. En un centro sanitario, una alteración similar puede comprometer productos especialmente sensibles.

Los especialistas en ciberseguridad advierten de que muchas instalaciones utilizan sistemas antiguos, contraseñas predeterminadas o accesos remotos insuficientemente protegidos.

Danfoss reconoció que algunos equipos afectados en Países Bajos presentaban configuraciones inseguras y recomendó restringir su conexión directa a internet.

Eso no significa que cualquier instalación frigorífica conectada sea vulnerable, pero sí que los dispositivos industriales necesitan medidas de protección comparables a las de otros sistemas informáticos críticos.

La separación de redes, la actualización de los equipos y la existencia de alarmas independientes pueden reducir considerablemente los daños.

El problema supera, por tanto, el ámbito estrictamente comercial. La conservación de alimentos forma parte de una cadena logística de la que dependen distribuidores, proveedores y consumidores.

La seguridad alimentaria y la ciberseguridad han dejado de ser cuestiones separadas.

Bruselas deberá decidir si convierte la advertencia en sanciones

El próximo paso dependerá de la valoración que realicen los ministros de Exteriores de la Unión Europea sobre las pruebas presentadas por Francia.

La investigación judicial continúa abierta, mientras París mantiene su acusación contra la unidad iraní Shahid Kaveh y reclama una reacción coordinada.

La posición expresada por Kallas supone un respaldo a la posibilidad de actuar, pero no equivale todavía a una decisión de sancionar.

El desafío europeo también consiste en evitar nuevos sabotajes. Los ataques han demostrado que instalaciones aparentemente corrientes pueden convertirse en objetivos capaces de generar grandes pérdidas económicas y afectar a servicios esenciales.

La respuesta diplomática está pendiente. Los daños, en cambio, son una realidad: cientos de establecimientos afectados, alimentos destruidos y una vulnerabilidad tecnológica que las autoridades europeas tendrán que afrontar con independencia de quién resulte finalmente responsable de cada ataque.