La CRA ya no parece una exageración
Un ataque coordinado contra los reguladores de frío de cientos de supermercados franceses ha dejado claro por qué el Reglamento de Ciberresiliencia pide lo que pide. No atacaron el frío: atacaron el regulador.
Lo que ocurrió en Francia
En la noche del domingo 11 al lunes 12 de octubre, alrededor de 500 supermercados franceses encontraron sus cámaras y expositores de congelado a más de 50 °C. No hubo robo de datos ni petición de rescate: alguien accedió en remoto a los sistemas de supervisión frigorífica, desactivó las alarmas con permisos de administración y forzó un ciclo de descongelado continuo.
El alcance fue amplio: más de 300 tiendas de una enseña, cerca de un centenar de otra, ochenta de una tercera, una treintena de una cuarta. Al abrir por la mañana, los responsables de fresco se encontraron el producto perdido y el suelo encharcado. Las pérdidas declaradas van de 10.000–15.000 € en una tienda pequeña a 75.000 € en un hipermercado, sin contar los días de venta perdidos hasta reponer. Varias cadenas han señalado que su seguro no cubre este tipo de incidente.
La fiscalía de París abrió investigación y la agencia nacional de ciberseguridad francesa se movilizó para coordinar la respuesta con otros países europeos. No es un caso aislado de una tienda: es un ataque coordinado contra la cadena de frío de un país.
La dificultad técnica fue baja; la escala, no
Los atacantes usaron vulnerabilidades ya conocidas y documentadas públicamente. Una experta en ciberseguridad citada por la prensa francesa lo resumió sin rodeos: un estudiante de instituto con algo de maña podría haberlo hecho. Lo que sí requirió cierta sofisticación fue coordinar la intrusión en cientos de instalaciones a la vez.
Esa asimetría explica el problema de fondo. Durante décadas, un regulador de frío fue un equipo aislado: estaba en la sala de máquinas, se programaba con un teclado y nadie podía alcanzarlo desde fuera. Se diseñó priorizando fiabilidad y coste, que era lo correcto en ese contexto. La conectividad llegó después, montada sobre una arquitectura que nunca fue pensada para resistir a nadie.
La superficie de ataque no es el frío. Es el regulador que gobierna el proceso y el canal por el que se le dan órdenes. Da igual lo que haya debajo: una vitrina de supermercado, una cámara frigorífica de varios cientos de metros cúbicos, un secadero o un horno. Lo que se ataca es el equipo que decide la consigna. Y ese equipo cuesta unos cientos de euros, mientras que lo que custodia puede valer cientos de miles y sostener la facturación de un negocio entero.
La frase que debería incomodarnos a los fabricantes
El fabricante de los controles afectados respondió que la mayoría de las unidades eran productos antiguos, al final de su vida útil, que ya no reciben actualizaciones de software ni de seguridad.
Es una respuesta técnicamente cierta y, hasta hace poco, perfectamente estándar en nuestro sector. Pero señala exactamente dónde está el agujero: un equipo industrial de frío se instala para durar quince o veinte años, y sigue funcionando y conectado mucho después de que la electrónica que lo gobierna haya dejado de mantenerse.
La vida comercial del producto se acaba. La vida operativa, no. Entre esas dos fechas hay un parque instalado que sigue en línea sin que nadie lo vigile, y es ahí donde cabe un ataque como el del 12 de octubre. Como fabricantes de electrónica, esa ventana es responsabilidad nuestra, no del instalador ni del usuario final.
Lo que cambia con el Reglamento de Ciberresiliencia
Cuando el Reglamento de Ciberresiliencia se publicó, a buena parte del sector nos pareció desproporcionado. Declarar un periodo de soporte, mantener un inventario de componentes de software, vigilar durante años las vulnerabilidades de código que no has escrito tú: mucha carga para un regulador industrial que lleva treinta años funcionando sin dar problemas. Leído el lunes 12 de octubre, el listón ya no parece tan alto.
El Reglamento (UE) 2024/2847 convierte buena parte de lo anterior en obligación legal para cualquier producto con elementos digitales puesto en el mercado europeo. Dos fechas marcan el calendario:
- 11 de septiembre de 2026 (ya en vigor). Obligación de notificar vulnerabilidades explotadas activamente e incidentes graves: alerta temprana en 24 horas, informe en 72.
- 11 de diciembre de 2027. Aplicación plena: requisitos esenciales de ciberseguridad, documentación técnica, declaración UE de conformidad y marcado CE.
Lo relevante para este caso está en el Anexo I, Parte II: el fabricante debe declarar un periodo de soporte, mantener un inventario de componentes de software (SBOM), vigilar las vulnerabilidades de esos componentes, disponer de un canal de reporte y política de divulgación, y ser capaz de distribuir parches durante todo ese periodo.
Dicho de otro modo: «es un producto antiguo que ya no actualizamos» deja de ser una explicación aceptable para los equipos que se pongan en el mercado a partir de esa fecha. No resuelve el parque ya instalado —el reglamento no se aplica retroactivamente salvo modificación sustancial—, pero cierra la puerta a que el problema se siga reproduciendo con cada nueva generación de producto.
Por qué nosotros tomamos este camino antes de que fuera obligatorio
En Conatec desarrollamos una plataforma propia de producto electrónico conectado ciberseguro. Es la base sobre la que están construidos equipos como Smartic Cool, Smartic Dry o el control de horno de convección.
Los elementos que la definen:
- Criptochip (elemento seguro). Cada equipo tiene identidad criptográfica propia. Las claves se generan y permanecen dentro del chip: no viajan, no se extraen y no se comparten entre unidades. Comprometer un equipo no entrega el parque.
- Certificados y autenticación mutua. El equipo verifica con quién habla y la plataforma verifica qué equipo le está hablando. No hay credencial genérica de fábrica.
- Arranque seguro. El bootloader verifica la firma del firmware antes de ejecutarlo. Un binario no firmado no arranca.
- Actualización firmada en campo. Se puede parchear un equipo instalado, de forma verificada y sin desplazarse hasta él.
- Comunicación cifrada y control de acceso por roles, con la gestión remota apoyada en la capa de plataforma.
El desarrollo es anterior al reglamento. No lo hicimos para cumplir una norma, sino porque un equipo que va a estar quince años conectado necesita poder mantenerse durante esos quince años. Pero el resultado es el que importa: la plataforma incorpora ya los requisitos esenciales de ciberseguridad del Anexo I y nos sitúa en condiciones de cumplir el Reglamento de Ciberresiliencia en su totalidad cuando sea plenamente exigible, en diciembre de 2027 — periodo de soporte declarado por familia de producto, inventario de componentes de software y vigilancia continua de sus vulnerabilidades incluidos.
Seis preguntas para hacerle a su proveedor de electrónica
Si fabrica equipos con control conectado y no sabe por dónde empezar, estas seis preguntas separan bastante bien el grano de la paja:
- ¿Qué periodo de soporte de seguridad declara el fabricante del control, y desde qué fecha empieza a contar?
- ¿Se puede actualizar el firmware en campo? ¿Va firmada la actualización y la verifica el equipo antes de instalarla?
- ¿Tiene cada equipo identidad criptográfica propia, o todo el parque comparte las mismas credenciales?
- ¿Existe inventario de componentes de software (SBOM) y alguien vigila activamente las vulnerabilidades publicadas de esos componentes?
- ¿Hay un canal de reporte de vulnerabilidades y una política de divulgación, o el aviso llega por el cliente enfadado?
- ¿Puede desactivarse una alarma desde el acceso remoto sin privilegio diferenciado y sin dejar traza?
La sexta es la que explica el caso francés. Las cinco primeras son las que evitan el siguiente.
El problema no es conectar; es desentenderse
Nadie va a renunciar a la supervisión remota, y con razón: ahorra desplazamientos, detecta desviaciones antes de que arruinen un lote y permite justificar consumos. El problema no es la conectividad. Es tratar un equipo conectado como si fuera un equipo cerrado, y darlo por terminado el día que sale de fábrica.
Un controlador conectado es un producto vivo. Tiene mantenimiento, tiene ciclo de parches y tiene una fecha hasta la que alguien se compromete a sostenerlo. Esa fecha hay que declararla, y después hay que cumplirla.
Los hechos del incidente proceden de la cobertura de prensa francesa y española del 12 y 13 de octubre de 2026 (AFP, Sud Ouest). Las cifras de pérdidas son las declaradas por las propias cadenas y pueden variar a medida que avance la investigación.