Internet de las cosas: el riesgo de las neveras conectadas en Europa

Durante más de una década, el internet de las cosas (IoT) ha prometido hacer más eficientes los supermercados, las fábricas y los edificios mediante dispositivos conectados capaces de funcionar y supervisarse a distancia. La idea parecía difícil de discutir: ahorrar energía, anticipar averías y controlar instalaciones sin desplazar a un técnico. Pero los supermercados europeos están descubriendo las consecuencias imprevistas de conectar equipos industriales a internet. Una nevera mal protegida puede convertirse en una puerta de entrada para manipular instalaciones enteras.

Los incidentes registrados en Francia durante octubre y en distintos países europeos el 2 de noviembre de 2026 han demostrado que una vulnerabilidad informática puede provocar daños físicos y pérdidas económicas. Ciberdelincuentes lograron modificar controles de refrigeración, elevar temperaturas de congeladores hasta los 50 grados centígrados y estropear alimentos. En Francia llegaron a notificarse incendios relacionados con los sistemas afectados. La tecnología concebida para proteger la cadena de frío terminó exponiéndola a un riesgo que muchas empresas no habían previsto suficientemente.

El problema no consiste simplemente en que los frigoríficos estén conectados. La cuestión es cómo se conectan, quién puede acceder a ellos y durante cuánto tiempo reciben actualizaciones de seguridad. Miles de controladores industriales continúan accesibles desde internet, algunos con programas antiguos o mecanismos de protección insuficientes. Y su vulnerabilidad no desaparece porque el supermercado siga funcionando aparentemente con normalidad.

La expansión de la inteligencia artificial añade otra preocupación. Aunque no existen pruebas de que se haya utilizado IA en estos ataques, los especialistas advierten de que puede facilitar la identificación y explotación de fallos de seguridad. El debate, por tanto, va mucho más allá de las neveras: afecta a una economía que ha conectado buena parte de sus infraestructuras sin garantizar siempre una protección equivalente.

Una tecnología que prometía ahorrar costes y simplificarlo todo

A comienzos de la década de 2010, el internet de las cosas se presentaba como uno de los grandes avances de la digitalización. La posibilidad de incorporar sensores y conexiones a máquinas industriales, electrodomésticos y sistemas de climatización abría nuevas oportunidades para automatizar procesos y reducir gastos de mantenimiento.

Los supermercados encontraron una aplicación especialmente útil. Sus cámaras frigoríficas y congeladores deben mantener temperaturas concretas durante las 24 horas del día. Una avería puede destruir mercancía en pocas horas, de modo que disponer de controles remotos y alertas automáticas parecía una mejora evidente.

Con estos sistemas, una empresa de mantenimiento puede supervisar las instalaciones de decenas de establecimientos desde un mismo centro. También resulta posible ajustar parámetros de funcionamiento, detectar anomalías y optimizar el consumo eléctrico sin enviar personal a cada tienda.

Las ventajas siguen siendo reales. Lo que se está cuestionando es el modelo de implantación. En muchos casos, los equipos industriales se conectaron a redes externas sin recibir el mismo nivel de protección que otros sistemas informáticos. Un controlador de refrigeración podía continuar trabajando durante años mientras su software acumulaba vulnerabilidades conocidas.

La comodidad del acceso remoto también creó nuevas dependencias. El supermercado utiliza el equipo, el fabricante desarrolla el programa, una empresa externa realiza el mantenimiento y otro proveedor puede gestionar la conexión. Cuando la responsabilidad de proteger el sistema queda repartida entre varias compañías, resulta más difícil determinar quién debe corregir un fallo.

Cómo una nevera conectada puede convertirse en un problema millonario

Las consecuencias de esa exposición quedaron patentes durante la noche del 11 al 12 de octubre de 2026. Cientos de supermercados franceses sufrieron alteraciones en sus sistemas de refrigeración. Entre los establecimientos afectados figuraban tiendas de Intermarché, Netto, Carrefour, Coopérative U y otras cadenas.

Los atacantes consiguieron modificar a distancia los controles de temperatura. En algunos casos, los equipos entraron en ciclos de descongelación continuos; en otros, los periodos de descongelación se ampliaron considerablemente. El resultado fue una subida de temperatura incompatible con la conservación de alimentos frescos y congelados.

La fiscalía de París abrió una investigación y las autoridades francesas movilizaron a su agencia nacional de ciberseguridad. Thierry Cotillard, presidente del grupo propietario de Intermarché, estimó que las pérdidas del conjunto del sector podían alcanzar decenas de millones de euros en una sola jornada.

Tres semanas después, el lunes 2 de noviembre, se notificaron nuevos incidentes en supermercados de Suecia, Bélgica, Luxemburgo, Irlanda, Estonia, Países Bajos y Finlandia. También aparecieron comunicaciones de problemas en otros países europeos, entre ellos Alemania, Portugal, Italia y Rumanía.

La cadena sueca ICA informó de incidencias en 23 establecimientos, mientras que Coop contabilizó siete tiendas afectadas. Carrefour Bélgica reconoció problemas en 15 locales y Delhaize comunicó fallos en varias decenas. En Irlanda, 13 supermercados SuperValu tuvieron que retirar productos refrigerados como medida preventiva.

Las investigaciones todavía no han demostrado que todos los episodios formen parte de una misma operación ni han identificado públicamente a sus responsables. Sin embargo, los incidentes comparten una característica: el acceso a sistemas que permiten intervenir sobre instalaciones físicas mediante conexiones informáticas.

El punto débil está en los controles, no en las neveras

Un congelador industrial no necesita tener una pantalla inteligente ni ejecutar aplicaciones para resultar vulnerable. Basta con que su funcionamiento dependa de un controlador conectado a una red que permita modificar parámetros de temperatura, programar descongelaciones o desactivar avisos.

Las investigaciones francesas identificaron controladores AK-SC y AK-SM de Danfoss, fabricante danés de sistemas industriales. La compañía señaló que algunos equipos afectados utilizaban versiones antiguas de sus programas. También se han detectado riesgos relacionados con sistemas de gestión de refrigeración de otros fabricantes, como Copeland y Dixell.

Un atacante que consigue acceder a estos controles puede utilizar funciones que, en principio, están previstas para el mantenimiento ordinario. No necesita destruir físicamente una máquina: puede ordenar que se descongele, alterar sus ajustes o impedir que una alarma funcione como debería.

Ahí aparece una de las consecuencias menos evidentes del internet de las cosas. Un fallo digital puede generar un daño material inmediato, incluso cuando los sistemas informáticos convencionales del supermercado siguen funcionando.

La inteligencia artificial agrava un riesgo que ya existía

La aparición de estos ataques coincide con una etapa de rápido desarrollo de la inteligencia artificial aplicada a la programación y la ciberseguridad. Las herramientas capaces de analizar código, identificar patrones y automatizar determinadas tareas también pueden utilizarse para buscar vulnerabilidades.

El Centro de Ciberseguridad de Bélgica ha expresado su preocupación por la posibilidad de que la IA facilite el trabajo de los atacantes. La tecnología puede reducir el esfuerzo necesario para analizar grandes cantidades de información técnica o localizar sistemas deficientemente protegidos.

Pero conviene distinguir entre una amenaza potencial y un hecho demostrado. No hay pruebas de que los responsables de los ataques contra los supermercados hayan empleado inteligencia artificial. Los fallos conocidos podían explotarse mediante técnicas informáticas tradicionales, sin necesidad de herramientas especialmente sofisticadas.

La preocupación de los expertos se dirige principalmente al futuro. Si resulta más sencillo automatizar la búsqueda de equipos expuestos, los sistemas antiguos pueden convertirse en objetivos cada vez más numerosos. El problema se agrava cuando existen miles de instalaciones similares distribuidas por distintos países.

La IA no ha creado las vulnerabilidades del internet de las cosas. Lo que puede hacer es facilitar su identificación y explotación, aumentando la presión sobre infraestructuras cuya seguridad no siempre ha evolucionado al mismo ritmo que su conectividad.

Casi 13.000 controles de refrigeración expuestos en internet

La dimensión del problema quedó reflejada en una investigación de la empresa de ciberseguridad Forescout. Sus especialistas identificaron 12.976 servicios de gestión de refrigeración accesibles desde internet, asociados a 6.017 direcciones IP públicas y distribuidos entre 99 países y territorios.

La mayoría correspondía a sistemas XWEB de Copeland y Dixell y a plataformas StoreView de Danfoss. Entre los servicios de Danfoss examinados, aproximadamente el 80% utilizaba versiones de software anteriores a una actualización que corregía vulnerabilidades conocidas.

Estas cifras no significan que todos los equipos hayan sido atacados ni que cualquier persona pueda manipularlos directamente. Sí muestran que existe una cantidad considerable de instalaciones cuya exposición merece una revisión de seguridad.

El envejecimiento tecnológico añade otra dificultad. Algunos controladores industriales pueden funcionar correctamente durante décadas, pero su fabricante deja de proporcionar actualizaciones mucho antes de que finalice su vida útil. Sustituirlos supone una inversión, especialmente cuando una empresa dispone de cientos de establecimientos.

La situación recuerda que conectar una máquina no equivale a mantenerla protegida. Un dispositivo puede seguir cumpliendo su función principal mientras el programa que lo controla se vuelve cada vez más vulnerable.

El peligro se extiende a hospitales, medicamentos y alimentos

Los supermercados son únicamente una parte de la infraestructura que depende de sistemas de refrigeración conectados. Tecnologías similares se utilizan en hospitales, almacenes farmacéuticos, explotaciones agrícolas, plantas de procesamiento alimentario y centros logísticos.

En estos entornos, una alteración de temperatura puede tener consecuencias especialmente graves. Algunos medicamentos y productos sanitarios necesitan conservarse dentro de intervalos térmicos estrictos. También ocurre con determinados alimentos perecederos y materiales utilizados en laboratorios.

No consta que los incidentes recientes hayan provocado daños de esta naturaleza en hospitales o almacenes farmacéuticos. Sin embargo, la existencia de controles industriales expuestos demuestra que el riesgo potencial trasciende el comercio minorista.

El problema afecta a la propia concepción de las infraestructuras conectadas. Una instalación puede depender de diferentes proveedores, contratos de mantenimiento y programas informáticos. Si nadie supervisa el conjunto, una vulnerabilidad aparentemente secundaria puede comprometer una función esencial.

El internet de las cosas necesita seguridad durante toda su vida útil

Los incidentes europeos han obligado a varias cadenas de supermercados a revisar sus instalaciones. Coop, en Suecia, ha anunciado cambios en sus sistemas de conexión, mientras que Danfoss ha recomendado mantener los controladores alejados del acceso público directo a internet y aplicar las actualizaciones disponibles.

Los especialistas consideran prioritario limitar las conexiones remotas, utilizar mecanismos de autenticación robustos, separar las redes industriales de las redes de uso general y sustituir los dispositivos que han dejado de recibir soporte de seguridad.

Desconectar un controlador de internet puede reducir su exposición inmediata, aunque no resuelve por sí solo las vulnerabilidades internas. Tampoco basta con cambiar una conexión 4G por otra 5G. La protección depende de cómo se administran los accesos, de las actualizaciones y de la vigilancia continua de los sistemas.

La experiencia de los supermercados europeos obliga a revisar una idea que acompañó el crecimiento del internet de las cosas: que conectar más dispositivos significa necesariamente mejorar su funcionamiento. La conectividad aporta ventajas reales, pero también introduce nuevas dependencias y formas de ataque que deben contemplarse desde el diseño.

Durante años, el principal argumento para instalar controles remotos fue su capacidad para ahorrar tiempo, energía y dinero. Los incidentes de octubre y noviembre han puesto sobre la mesa un coste menos visible: el de mantener seguros esos controles durante toda su vida útil.

El desafío no consiste en renunciar a la tecnología, sino en evitar que su utilidad dependa de una protección insuficiente. Una nevera conectada puede ahorrar miles de euros en mantenimiento, pero también permitir que una intrusión informática arruine toda su mercancía. Europa está comprobando que las ventajas del internet de las cosas no pueden separarse de los riesgos que introduce.