La noche del domingo 11 de octubre, alguien entró por internet a los sistemas de frío de cientos de supermercados en Francia y los dejó calentando hasta la mañana. No se llevaron un solo dato. No pidieron rescate, que se sepa. Botaron comida. Toneladas.
Hoy me invitaron a Radio Bío Bío a comentar el caso. Y preparándome caí en algo: lo interesante no está en Francia. Esto mismo ya lo he visto, en chico, en cámaras de seguridad, en redes de casas y hasta en autos.
Adelanto la conclusión: no fue magia. Fue mantención que nadie hizo.
Qué pasó
Según lo que publicó Bío Bío y la prensa especializada, los atacantes tomaron control de los controladores que gobiernan refrigeradores y congeladores. Son paneles de la empresa danesa Danfoss, uno por local, que las empresas mantenedoras manejan a distancia.
Lo que hicieron es casi elegante de lo simple. Activaron el ciclo de descongelado, que es una función normal del equipo, y no lo apagaron. Algunos equipos llegaron a 50 °C. Las cadenas afectadas incluyen a Intermarché, Carrefour y E.Leclerc. Las cifras todavía no cuadran entre medios, así que me quedo con “cientos de tiendas”.
Hay tres cosas que conviene decir con cuidado, porque la investigación recién empieza:
- No se sabe quién fue ni por qué. Nadie lo ha reivindicado.
- No está confirmado el punto exacto de entrada. Lo que sí dijo el fabricante es que los equipos afectados eran en su mayoría productos antiguos o productos actuales con firmware desactualizado, y que hay que sacarlos de la exposición directa a internet.
- No hay evidencia de que se haya usado inteligencia artificial. La prensa francesa lo describe más bien como un ataque oportunista.
El firmware, o por qué no cae uno sino todos
El firmware es el software que viene de fábrica dentro de un aparato y lo hace funcionar. Es el sistema operativo del refrigerador, del router, de la cámara. No se ve, y casi nadie lo actualiza.
El punto clave es este: todos los equipos del mismo modelo y la misma versión tienen exactamente la misma falla. El que aprende a abrir uno, sabe abrirlos todos.
Piensa en un edificio donde todos los departamentos tienen la misma chapa, y un día alguien publica cómo copiar la llave. El fabricante avisa, regala la chapa nueva, pero nadie la cambia. Eso es un firmware desactualizado.
En este caso Danfoss había publicado parches hace más de un año para fallas que permitían saltarse la autenticación. Y un investigador contó miles de estos paneles visibles desde internet el mismo lunes. Existen buscadores públicos de dispositivos conectados que te los listan por marca y modelo. El atacante no busca víctimas: filtra una lista.
Hay un matiz que me parece importante. “Actualiza” no siempre alcanza: parte de estos equipos ya estaba fuera de soporte, sin parches nuevos. Ahí las únicas salidas son aislarlos de internet o cambiarlos.
Lo he visto antes: cámaras, casas y autos
Nada de esto es exclusivo de los supermercados. Y te lo aseguro: no es teoría.
Cámaras de seguridad. He revisado sistemas de cámaras y grabadores, muchos de fabricación china, instalados hace años y nunca más tocados: firmware de fábrica, clave por defecto y el panel de administración abierto a internet para que el dueño pueda mirar desde el teléfono. La misma receta que en Francia. El aparato que compraste para sentirte más seguro termina siendo la puerta de entrada.
La red de tu casa. El riesgo real no es que alguien mire tu cámara. Es que un aparato comprometido está dentro de tu red, al lado de tu computador, tu teléfono y tus respaldos. Desde ahí se puede ver y alcanzar todo lo demás. Un equipo ajeno dentro de la red es un problema mucho más serio que una contraseña filtrada.
Me pasó algo revelador configurando Home Assistant, el sistema de domótica. Lo primero que hace es mostrarte todos los dispositivos que encuentra en tu casa. La lista siempre es más larga de lo que uno cree: televisores, enchufes, parlantes, cosas que ya ni recordabas haber conectado. Si una herramienta doméstica los encuentra en segundos, cualquiera que entre a tu red también.
Autos. Los autos modernos son computadores con ruedas, conectados a los servidores del fabricante. Investigadores de seguridad han demostrado más de una vez que se puede identificar un vehículo y tomar control de funciones saltándose la autenticación: en 2015 con un Jeep en plena carretera, y en 2024 con un portal de Kia donde bastaba la patente. Fueron investigaciones responsables y se corrigieron, pero muestran que el patrón se repite.
Dónde entra la inteligencia artificial
Repito lo de arriba: nada indica que en Francia se usara IA. Mi punto es otro, y es de tendencia.
Hace unos años, para convertir un parche publicado en un ataque funcional necesitabas a un especialista y varias semanas. Hoy una persona con conocimientos medios, ayudada por un modelo de IA, puede leer el parche, entender qué corregía y escribir la herramienta en horas. La IA no inventó ataques nuevos: hizo baratos los que ya existían.
Los datos acompañan. Según Mandiant, en 2018 pasaban en promedio 63 días entre que se publicaba una falla y se explotaba; hoy ese promedio es negativo: se explota antes de que exista el parche.
No todos los modelos son iguales en esto. Los laboratorios grandes, como OpenAI y Anthropic, invierten en detectar y bloquear usos maliciosos, y publican informes cuando encuentran abusos de sus propios modelos. Aun así los usan para atacar; la diferencia es que hay alguien mirando que puede cortar la cuenta. En cambio, un modelo de pesos abiertos se descarga y corre en un computador propio, sin proveedor que vea qué se le pide, y sus filtros se pueden quitar. Varios de los modelos abiertos más capaces hoy son chinos, pero el problema no es el país: vale igual para los de Meta o Google. Es una cuestión de diseño.
Y esta misma semana Anthropic publicó un estudio de laboratorio que proyecta que modelos pequeños podrían estar a meses de copiarse solos en aparatos conectados baratos. Es una prueba controlada, con limitaciones que los propios autores declaran. Pero apunta justo al mismo tipo de equipo del que estamos hablando.
La conclusión es incómoda y simple. Si atacar se volvió más barato, defenderse mal se volvió más caro. Antes hacía falta un equipo. Hoy basta una persona con curiosidad y conexión a internet. El estándar tiene que subir, y no por gusto.
Y en Chile, ¿cómo vamos?
Igual. No hace falta ir a Francia para verlo.
Párate un rato en el Costanera Center, enciende el Bluetooth y el wifi del teléfono y mira la lista. Autos, access points, televisores, parlantes, relojes. Montones de dispositivos anunciándose a quien quiera mirar. ¿Quién cuida qué? En la mayoría de los casos, nadie.
En las casas es lo mismo. Las cámaras de seguridad son el ejemplo que más se repite: me he topado montones de veces con cámaras funcionando con la clave que traían de fábrica.
Mi opinión es que la base tiene que actualizarse. Lo que hasta ayer era “buena práctica” hoy es el piso. Y ese piso debería incluir, por defecto, pasarle un análisis básico con IA a lo que tienes: tu red, tu sitio, tus equipos.
La IA la ocupan contra ti. Ocúpala tú. Probablemente con eso cubres el 90 % de lo que cualquier persona podría encontrarte usando la misma herramienta.
Qué haría hoy
En la casa:
- Haz el inventario. Entra a tu router, o usa algo como Home Assistant, y mira qué hay conectado. Lo que no reconozcas, afuera.
- Cambia las claves de fábrica de todo lo que se conecta: router, cámaras, grabadores, televisores.
- Activa las actualizaciones automáticas donde existan.
- Separa las redes. Los aparatos van en la red de invitados del wifi, lejos del computador y del teléfono.
- Si el fabricante ya no lo actualiza, se reemplaza o se deja sin acceso a internet.
En una empresa, además:
- Ningún panel de administración directo a internet. Acceso remoto solo por VPN con doble factor.
- Revisa el contrato con quien te mantiene los equipos: quién actualiza, cómo entra y quién responde.
- Ten una alarma independiente del sistema que controlas. En Francia, algunos locales salvaron la mercadería porque les llegó una alerta de temperatura a tiempo.
- Ponle nombre y calendario a los parches, igual que a la mantención del ascensor.
Para cerrar
Yo creo que esto se va a potenciar. El de Francia fue un caso masivo, y además salió a la luz. Pero lo que hoy es noticia se va a volver cada día más común, y buena parte no va a llegar a los titulares.
La obligación está en quienes responden por la continuidad operacional y la ciberseguridad, y parte mucho antes: desde la base del desarrollo. Altos estándares de calidad, auditoría, y verificación independiente: que quien revisa no sea el mismo que construyó ni el mismo que mantiene. Un control aislado del sistema que vigila, como esa alarma de temperatura que salvó a algunos locales.
El atacante no te elige a ti. Elige un modelo de equipo, y tú estás en la lista.
Así que la pregunta para esta semana no es qué pasó en Francia. Es más corta: ¿quién en tu casa, o en tu empresa, sabe qué versión corre el aparato que tiene conectado a internet?