Francia atribuye a una unidad iraní el sabotaje del frío comercial

Francia atribuyó el 9 de noviembre a la unidad ciberofensiva iraní Shahid Kaveh una campaña de sabotaje contra sistemas de refrigeración comercial. El informe del Centro de Coordinación de Crisis Cibernéticas francés, C4, sitúa el ataque en la noche del 11 al 12 de octubre y describe controladores afectados en alrededor de 700 establecimientos de la gran distribución en Francia. Según ese documento, la manipulación provocó pérdidas importantes de mercancía y, en al menos 15 casos, inicios de incendio.

Las autoridades francesas vinculan a esa unidad con el centro electrónico y cibernético de la Guardia Revolucionaria iraní. Su publicación añade una atribución pública y sus fundamentos a un incidente para el que el CERT-FR ya había emitido una alerta el 12 de octubre. El caso muestra cómo el acceso a un sistema digital puede terminar alterando el funcionamiento físico de un comercio.

Lo que controla un equipo de frío

Los dispositivos afectados permiten gestionar a distancia instalaciones de refrigeración. Forman parte de la tecnología operacional: equipos y programas que supervisan o modifican procesos físicos. En este caso, el informe señala que se alteraron los parámetros de desescarche, el proceso que retira el hielo acumulado. Las temperaturas elevadas fijadas por los atacantes son el mecanismo que el C4 relaciona con las pérdidas de alimentos y los inicios de fuego.

Proteger el acceso al controlador forma parte de proteger la mercancía y la seguridad de la instalación. Un permiso de administración puede dar capacidad para cambiar cómo trabaja una máquina. Por eso importa quién puede conectarse, desde dónde y bajo qué condiciones, además de que el equipo siga prestando servicio.

La alerta del CERT-FR identifica controladores Danfoss de las series AK-SM y AK-SC, Copeland XWEB y Dixell XWEB. También advierte de que exponer una interfaz de gestión directamente a Internet contradice las buenas prácticas. Esa relación de equipos orienta la comprobación de una instalación concreta. La vía de entrada exacta del sabotaje no queda descrita en el informe de atribución publicado.

Octubre fue el incidente, noviembre aporta la atribución

La secuencia de los documentos permite distinguir la respuesta técnica inicial del anuncio posterior:

Fuentes: informe CERTFR-2026-CTI-009, historial de CERTFR-2026-ALE-012 y declaración diplomática del 9 de noviembre. Las cifras de alrededor de 700 establecimientos y al menos 15 inicios de incendio corresponden al relato del C4 sobre la campaña de octubre en Francia.

El Ministerio de Exteriores emplea la expresión «más de 700» para los sitios afectados. Son dos formulaciones de las autoridades francesas sobre el alcance del ataque. El informe técnico permite describirlo como alrededor de 700 establecimientos, sin convertir ese número en un balance europeo ni sumarlo a otros incidentes.

Qué sostiene la atribución francesa

El C4 reúne a la agencia de ciberseguridad ANSSI, organismos militares y servicios de inteligencia franceses. Su informe presenta un conjunto de indicios que señala a la Guardia Revolucionaria como responsable del encargo y a Shahid Kaveh como ejecutante.

Entre los elementos publicados figuran la utilización de infraestructura también empleada en otras acciones de reconocimiento, técnicas y herramientas asociadas anteriormente a la unidad, la difusión del ataque en CyberbanNews y rastros de uso del farsi en la infraestructura atacante. La fuerza de la valoración que presenta Francia está en la combinación de esos elementos. El idioma o una herramienta de uso compartido, considerados aisladamente, no identifican por sí solos a un responsable.

Es una atribución oficial de carácter técnico y de inteligencia. La determinación judicial de responsabilidades exige su propio procedimiento y valoración de pruebas. El documento público tampoco permite reproducir de forma independiente toda la investigación a partir de los indicios que resume.

En su declaración del 9 de noviembre, el Ministerio de Exteriores anunció que convocaría al embajador iraní y propondría a sus socios europeos nuevas sanciones. Son las actuaciones anunciadas en ese texto. La adopción de sanciones y una eventual resolución judicial requieren decisiones posteriores propias.

La protección empieza por cómo se presta el mantenimiento

Las recomendaciones del CERT-FR sitúan el acceso remoto en el centro de la respuesta: retirar la exposición directa a Internet, comprobar la configuración completa y restablecer la gestión mediante una VPN segura o una red protegida. El aviso también pide aplicar las medidas del fabricante, mantener el firmware y cambiar las contraseñas predeterminadas.

Ese trabajo debe coordinarse con quien mantiene la refrigeración. La propia alerta pide revisar las condiciones del seguro antes de cortar el envío de datos al frigorista. La continuidad del servicio y la protección digital se encuentran en esa relación entre el comercio y su proveedor.

El CERT-FR advierte además de que una restauración de fábrica, por sí sola, deja expuesto un equipo que sigue siendo vulnerable y accesible desde Internet. Recuperar el funcionamiento exige atender también a las condiciones que permitieron la intrusión. Para un comercio, la comprobación útil es conocer qué controlador tiene, quién lo administra y cómo se protege ese acceso. La seguridad del frío depende también de esas decisiones cotidianas.