La noche del domingo 11 de octubre, las neveras y congeladores de cientos de supermercados en Francia empezaron a calentarse. Lo que podría haberse interpretado como una falla en los sistemas de refrigeración era, en realidad, un ciberataque. Los atacantes no necesitaron entrar a los locales, les bastó con enviar una orden a distancia para activar los ciclos de descongelación y elevar las temperaturas hasta unos 50 °C. Grandes cantidades de alimentos frescos y congelados terminaron en la basura y, en algunos locales, los equipos incluso se quemaron.
Las cadenas de supermercados no eran el blanco directo de los ataques, sino los sistemas de control de refrigeración de distintos fabricantes. En 2023 y 2025, empresas de ciberseguridad habían advertido sobre vulnerabilidades que permitían acceder a estos equipos sin contraseña y manipular sus temperaturas de forma remota. Aunque el fabricante ofreció soluciones para los modelos compatibles, muchos de los equipos afectados eran antiguos y ya no recibían actualizaciones.
Este caso deja varias lecciones. La primera es que ninguna empresa está libre de sufrir un ciberataque y que la transformación digital está cambiando la naturaleza del riesgo cibernético. A medida que las organizaciones digitalizan sus operaciones e incorporan tecnologías como la inteligencia artificial, aumenta su dependencia de sistemas, plataformas y servicios tecnológicos y, con ello, su exposición a posibles ataques.
A esto se suma la dependencia de terceros, cuyos sistemas no siempre están bajo el control directo de la empresa. Una vulnerabilidad en cualquiera de estos eslabones puede traducirse en interrupciones operacionales, pérdidas económicas y daños reputacionales importantes.
Otra lección es que muchos riesgos pueden prevenirse si se actúa a tiempo. Equipos obsoletos, fallas de seguridad conocidas que no se corrigen o inversiones necesarias que se postergan pueden dejar a una empresa expuesta a un ataque. Ignorar estas señales aumenta el riesgo y puede agravar las consecuencias de un incidente.
Pero hay una lección de fondo. Los riesgos de ciberseguridad deben tratarse como un tema estratégico y no exclusivamente técnico. Un ataque puede interrumpir operaciones o servicios, generar pérdidas económicas o comprometer la continuidad del negocio, por lo cual las decisiones sobre ciberseguridad deben formar parte de las decisiones relevantes de la empresa. Esto implica vincularla con los objetivos del negocio y el apetito de riesgo, y medir sus posibles impactos financieros, operacionales y reputacionales.
Para lograrlo, el directorio debe ejercer una supervisión efectiva. Esto exige definir con claridad los roles de sus integrantes y de sus comités, y asegurarse de que cuenten con el conocimiento necesario para entender estos riesgos y formular las preguntas correctas. La capacitación, las simulaciones periódicas de escenarios de crisis y el apoyo de expertos pueden ayudar a fortalecer esa capacidad de supervisión.
Asimismo, el directorio debe definir qué nivel de riesgo está dispuesto a asumir la empresa y contar con información oportuna para supervisar su gestión. Los reportes deben ser claros, utilizar un lenguaje sencillo y traducir los aspectos técnicos a términos de negocio, con alertas que permitan detectar cambios en la exposición al riesgo y activar los mecanismos de escalamiento.
Así, podrá monitorear los escenarios de riesgo, evaluar medidas de mitigación y la capacidad de la organización para prepararse, responder y mantener la continuidad de sus operaciones ante un incidente.
También es importante comprender que la seguridad de una empresa, a su vez, depende de quienes la rodean. El caso de los supermercados franceses muestra que la debilidad de un solo proveedor puede comprometer una operación completa. Por eso, las empresas deben identificar muy bien a sus terceras partes para comprender sus dependencias críticas, evaluar los riesgos asociados y exigirles controles preventivos acordes con el nivel de exposición que representan.
En un entorno tan interconectado, la colaboración es parte de la defensa. Nadie se salva solo, y compartir información sobre amenazas y buenas prácticas fortalece a toda la cadena. Por eso, los riesgos cibernéticos no se gobiernan cuando ocurre un ataque, sino en las decisiones que se toman mucho antes.
Por Susana Sierra
Publicado en El Mostrador
