Los ciberataques a sistemas de refrigeración europeos ponen en alerta a Sanidad

Una oleada de ciberataques contra sistemas de refrigeración de supermercados europeos y bancos de sangre franceses ha puesto en alerta al sector sanitario por el riesgo de que una intrusión informática afecte a alimentos, reservas de sangre y servicios esenciales. Las autoridades y los expertos aún no han confirmado quién está detrás de los incidentes, cuál es su motivación ni si forman parte de una misma operación.

La Agencia de Ciberseguridad de la Unión Europea, ENISA, y la Comisión Europea consideran grave la oleada por su posible impacto en infraestructuras esenciales y las pérdidas económicas que puede causar. Los expertos consultados destacan la concentración de incidentes en poco tiempo y el hecho de que afecten directamente a productos físicos.

Durante la noche del 12 de octubre, más de 13.000 supermercados de Francia sufrieron una intrusión en sus sistemas de refrigeración, cuyo modo se cambió a distancia de enfriado a descongelación. El 2 de noviembre se conoció otra oleada que afectaba a comercios de al menos cinco países, a los que después se sumaron otros territorios. Entre los países afectados figuran Bélgica, Luxemburgo, Suecia, Países Bajos, Irlanda, Finlandia, Italia y Rumanía. Algunos establecimientos perdieron alimentos o retiraron productos de forma preventiva.

El lunes también sufrieron un ciberataque tres bancos de sangre franceses. Los atacantes elevaron drásticamente la temperatura de las neveras que conservaban muestras de donaciones. Los sistemas de alerta funcionaron y se evitaron consecuencias sanitarias, según las fuentes consultadas.

Los equipos afectados están conectados a plataformas que permiten supervisar y modificar su funcionamiento a distancia. Una vulnerabilidad, unas credenciales comprometidas o un acceso remoto mal protegido pueden permitir que un intruso altere la temperatura o los ciclos de descongelación desde otro lugar, explica Hervé Lambert, de Panda Security.

Antonio Muñoz, profesor de ciberseguridad de la Universidad de Málaga, señala que acceder a los refrigeradores pudo ser tan fácil como encontrarlos en repositorios abiertos de la Red y usar credenciales débiles o conocidas. Considera que los ataques estaban planificados. David Arroyo, investigador de ciberseguridad del CSIC, señala que no requerían una gran sofisticación técnica. Los equipos atacados incluían sistemas de Danfoss y de otra compañía, Copeland.

Lambert y Josep Albors, responsable de investigación y concienciación de ESET España, indican que todavía no hay pruebas suficientes para determinar si se usó inteligencia artificial. Ambos advierten, no obstante, de que esta tecnología aumenta la capacidad de ataque de personas con conocimientos técnicos limitados.

La autoría y las motivaciones siguen abiertas. Los colectivos de piratas informáticos NoName057(16) y Z-Pentest, de orientación prorrusa, han sido vinculados a reivindicaciones de los ataques a refrigeradores, aunque los expertos recuerdan que una reivindicación no demuestra la autoría. Por ahora tampoco se aprecia una motivación económica directa. El Kremlin calificó el jueves de absurdas las acusaciones europeas que relacionan a Rusia con los ataques.

El ministro español de Asuntos Exteriores, José Manuel Albares, calificó el viernes los incidentes de agresión híbrida y psicológica y sostuvo que se acabará conociendo a sus responsables. El investigador de ciberseguridad del CSIC David Arroyo los sitúa en el ámbito de las amenazas híbridas, pero advierte de que no existen pruebas de que los ataques a refrigeradores y las amenazas de bomba contra aviones estén coordinados ni de que un Estado los patrocine. Entre las posibilidades que contempla figuran tanto el activismo digital como una estrategia apoyada por Estados hostiles.

En los últimos días, alrededor de medio centenar de aviones con origen y destino europeo recibieron amenazas de bomba que provocaron desvíos. Algunas amenazas también afectaron a medios de comunicación europeos, que evacuaron a sus trabajadores. Un colectivo denominado Estado masculino reivindicó alguna de las amenazas a aviones, sin que esa reivindicación acredite su autoría.

Arroyo compara los avisos falsos de bomba con el ‘swatting’, una forma de acoso que engaña a los servicios de emergencias, y señala que pueden emplearse correos de un solo uso y redes privadas virtuales para dificultar la identificación. El experto pide una respuesta europea más rápida y coordinada y reclama el desarrollo del acta europea de seguridad y la transposición de la directiva NIS2, que, según señala, acumula dos años de retraso en España.

La coincidencia de los incidentes ha intensificado la atención sobre el sistema sanitario. Este sector concentra dos de cada cinco ciberataques en Europa. Fuentes gubernamentales indican que la Agencia de Ciberseguridad de Cataluña gestionó el año pasado unos 2.200 incidentes contra el sistema sanitario catalán, ninguno de los cuales obligó a interrumpir la actividad.

El precedente más destacado es el ataque con secuestro de datos al Hospital Clínic de Barcelona en marzo de 2023. Los atacantes cifraron información sensible y exigieron un rescate para evitar su publicación. Durante la recuperación, buena parte de la actividad tuvo que realizarse manualmente y se facilitaron vías alternativas de acceso a La Meva Salut y a la historia clínica compartida para atender urgencias y derivar pacientes.

Tras aquel episodio, el Departamento de Salud y la Agencia de Ciberseguridad de Cataluña aceleraron un programa de protección que abarca la atención primaria, los centros sociosanitarios, la atención intermedia y los centros de salud mental de gestión pública. Incluye revisiones continuas de vulnerabilidades, pruebas de intrusión, simulacros y planes de contingencia.

La directora de la agencia catalana, Laura Caballero, y el coordinador de TICSalut, Pol Pérez, explican que también se han incorporado requisitos de ciberseguridad a los contratos con proveedores, como el acceso mediante una red privada virtual y un doble factor de autenticación. Los proveedores de servicios más críticos cuentan con mayor supervisión y planes de contingencia. Si uno sufre un ataque, la primera medida prevista es cortar su conexión para evitar la propagación; las posibles responsabilidades dependerán de las obligaciones contractuales y de si cumplió las medidas exigidas.

Los responsables indican que la iluminación, la climatización y los quirófanos de los hospitales catalanes funcionan con sistemas electrónicos propios, no controlados remotamente mediante redes externas. Los centros disponen además de planes de contingencia y generadores para interrupciones del suministro.

En el conjunto de los servicios de la Generalitat se registraron 9.100 millones de intentos de ataque en 2025, la mayoría bloqueados por las primeras defensas. La agencia gestionó 6.500 incidentes, de los que 26 fueron considerados graves. Según Caballero, estos últimos descendieron un 20 % pese al aumento de los intentos.

Los expertos recomiendan identificar los sistemas físicos accesibles a distancia, limitar el acceso a personal autorizado, actualizar los equipos y vigilar posibles intrusiones. También proponen separar las redes corporativas de las que controlan instalaciones críticas, evitar la exposición directa de dispositivos industriales a internet y disponer de alarmas independientes y protocolos de emergencia. Lambert defiende incorporar la seguridad desde el diseño de los dispositivos, mientras Albors reclama mayor inversión.

En otro incidente ocurrido en Europa, la presidenta de Moldavia, Maia Sandu, confirmó el viernes un ciberataque que habría comprometido los datos personales de unas 450.000 personas. Según explicó, se produjo los días 19 y 23 de octubre y permitió acceder a información confidencial de al menos diez instituciones estatales, incluidos datos médicos, financieros, de pensiones y prestaciones sociales. Las instituciones no detectaron ni comunicaron a tiempo la gravedad del incidente, reconoció Sandu.

El Gobierno moldavo prevé notificar a los afectados y la presidenta ha convocado al Consejo de Seguridad Nacional. La investigación detectó deficiencias en la verificación de identidad y autorizaciones en los sistemas públicos de intercambio de información, así como falta de controles para limitar o detectar extracciones ilícitas de datos.