Era domingo por la noche en Francia. Mientras los supermercados permanecían cerrados, alguien cambió a distancia la configuración de sus neveras y congeladores. A la mañana siguiente, el frío había desaparecido. En algunas tiendas, los equipos llegaron a 50 °C, hubo incendios y toneladas de productos frescos y congelados terminaron en contenedores.
El ataque, ocurrido la noche del 11 al 12 de octubre, afectó a unos 700 de los cerca de 10.000 supermercados del país, según el ministro de Economía y Finanzas, Roland Lescure. Solo el grupo Intermarché reportó unas 150 tiendas con equipos a 50 °C durante seis horas, lo que obligó a desechar los alimentos. Su director habló de pérdidas de decenas de millones de euros en un solo día. Analistas citados por Reuters señalaron que también hubo afectaciones en España, Portugal, Polonia, Alemania y Bélgica.
Ningún grupo se ha atribuido el ataque y los investigadores aún no han establecido la vía de entrada. Pero algo sí está claro: no fue un ataque contra los datos. Fue un ataque contra el frío.
Y deja una pregunta que ninguna junta directiva debería esquivar: ¿puede una operación considerarse sostenible si depende de sistemas conectados que no puede proteger ni recuperar?
Durante años asociamos la palabra ciberataque con correos falsos, datos robados o archivos cifrados. Este caso es distinto. Lo reportado apunta a la manipulación remota de los controladores de refrigeración, que forzaron ciclos de descongelación. No se ha reportado cifrado ni petición de rescate, así que no es preciso llamarlo ransomware. Y, aun así, el daño fue físico.
El CERT-FR, el equipo francés de respuesta a incidentes, confirmó compromisos en controladores de Danfoss y amplió después su alerta a equipos de Copeland y Dixell. Su recomendación fue desconectarlos de internet y restablecer el acceso remoto solo mediante una conexión protegida, tras verificar su configuración. Danfoss indicó que los equipos afectados funcionaban con firmware desactualizado.
Estos sistemas permiten vigilar temperaturas, activar alarmas y gestionar el consumo energético a distancia. La conectividad que ayuda a optimizar una operación también puede abrir la puerta a una intrusión. Digitalizar puede reducir el consumo, pero, sin controles adecuados, también puede destruir aquello que se buscaba optimizar.
El caso francés permite entender el impacto de un ciberataque desde dos perspectivas. Para la empresa, significa pérdida de inventario, ventas, horas de recuperación y confianza. Para el entorno, supone desperdiciar los recursos empleados en producir, transformar, transportar y refrigerar los alimentos.
No sería riguroso asignar toneladas de carbono al incidente sin conocer el volumen y el tipo de alimentos perdidos, su tratamiento, las reposiciones y la energía adicional utilizada. Sin embargo, un estudio publicado en IEEE Access en 2026 estima que el cibercrimen genera entre 526 y 1.052 millones de toneladas de CO₂ equivalente al año. Un ciberataque prevenido puede ser también una emisión evitada.
La huella no es exclusiva del ransomware. Cualquier ataque que interrumpa una operación física puede generar desperdicio y consumo adicional: técnicos que se desplazan, equipos que se inspeccionan o sustituyen y mercancía que debe reponerse y transportarse de nuevo. El impacto ambiental no depende solo de la intención del atacante, sino también de la interrupción y de los recursos necesarios para recuperar la operación.
Esto tiene una consecuencia que pocas empresas están mirando. Un informe de sostenibilidad que presume de eficiencia energética o de reducción del desperdicio, pero omite la dependencia digital de esas operaciones, está incompleto. Si un ciberataque borra esos avances, la distancia entre lo reportado y lo ocurrido puede poner en duda la credibilidad de los compromisos ambientales. La resiliencia digital también debe formar parte de lo que se mide y se reporta.
La dimensión social tampoco puede ignorarse. Una gran cadena puede absorber un golpe de estas características, pero ¿puede hacerlo un pequeño supermercado o una tienda de barrio que pierde todos sus productos perecederos? ¿Qué alternativas tiene una comunidad si su establecimiento cercano deja de operar durante días? ¿Quién financia la recuperación mientras se determina la responsabilidad entre el comercio, el contratista y el fabricante?
La capacidad de resistir y recuperarse también depende de los recursos económicos y del acceso a soluciones de protección. Democratizar la ciberresiliencia es una cuestión de sostenibilidad social, no de filantropía.
Aquí hablo desde mi experiencia como suscriptora. Cuatro corredores de seguros explicaron a Reuters que las pólizas de ciberriesgo suelen excluir las pérdidas físicas y que las reclamaciones podrían verse afectadas si los equipos no tenían las actualizaciones al día. Al menos una de las cadenas afectadas reconoció públicamente que su póliza no cubría este tipo de incidente.
Entre las pólizas de ciberriesgo, daños materiales, avería de maquinaria, deterioro de existencias y pérdida de beneficios puede quedar un vacío que nadie había identificado. La autoridad europea de seguros, EIOPA, alerta desde 2022 sobre el llamado riesgo cibernético no afirmativo, o silent cyber: exposiciones que un contrato ni incluye ni excluye expresamente.
La pregunta no es solo si una empresa tiene una póliza de ciberriesgo, sino qué cobertura responde cuando un ataque digital provoca daños físicos. La madurez de los controles también puede influir en la asegurabilidad, el precio, las exclusiones y la evaluación del siniestro. Revisar las coberturas antes de que ocurra un incidente, con asesoría que entienda tanto la tecnología como los contratos, puede evitar sorpresas costosas.
Para prevenir estos escenarios, las empresas deben saber qué equipos están conectados, quién gestiona sus accesos remotos y si cuentan con actualizaciones y soporte vigentes. También necesitan reducir la exposición innecesaria a internet, eliminar credenciales predeterminadas o compartidas y establecer mecanismos de recuperación probados. Estas medidas deben evaluarse junto con la eficiencia energética y la vida útil de los equipos: reducir recursos no puede significar eliminar copias de seguridad o redundancias indispensables, y prolongar la vida de un dispositivo solo tiene sentido si sigue siendo seguro y cuenta con soporte.
La ciberseguridad sostenible tiene, además, un doble desafío: proteger la transición digital y ambiental sin ignorar el impacto de las propias herramientas de seguridad. Proteger también consume recursos, desde la energía de los sistemas hasta los dispositivos y servicios en la nube. Más ciberseguridad no implica automáticamente menos impacto ambiental; la clave es aplicar controles proporcionales al riesgo y medir su consumo.
Por eso, la protección no puede quedar confinada al área de tecnología. Operaciones, mantenimiento, ingeniería, sostenibilidad, compras y dirección deben compartir las decisiones sobre proveedores, obsolescencia, respuesta a incidentes y continuidad. Un congelador puede estar bajo la responsabilidad de mantenimiento, su conexión ser gestionada por un proveedor y sus riesgos digitales quedar fuera del inventario de seguridad.
La llamada a la acción es concreta: incorporar el riesgo digital en las decisiones ambientales, sociales y de gobernanza (ESG); ensayar cómo mantener los servicios esenciales durante una crisis; revisar qué cubren realmente las pólizas; y medir el tiempo de recuperación, el estado de los equipos críticos y las pérdidas de producto durante una interrupción.
Sin una línea de base y datos verificables, las emisiones evitadas seguirán siendo una hipótesis, no un resultado demostrado.
La ciberseguridad no frena la transición sostenible. Ayuda a que sus beneficios sobrevivan a una interrupción. Una industria más verde también necesita ser capaz de resistir, recuperarse y proteger los recursos de los que depende.
¿Puede una organización considerarse sostenible si deja de existir digitalmente? El caso francés nos acerca a una realidad que a veces queda oculta tras las palabras transformación digital: nuestros alimentos, nuestra agua y nuestra energía dependen también de decisiones de ciberseguridad.
Porque cuando se hackea el frío, también puede desperdiciarse todo lo que costó producirlo.
Andrea García Beltrán es asesora independiente de juntas directivas en ciberseguridad sostenible, ciberriesgo y seguros y creadora de la metodología Cyber SPECS®.