Ciberataque a la refrigeración: qué seguro paga la mercancía

Unos 350 supermercados con las cámaras a 50 °C en una sola noche

La noche del 11 al 12 de octubre de 2026, un ciberataque a la refrigeración de cientos de supermercados franceses puso cámaras y congeladores en modo de descongelación hasta 50 °C y obligó a tirar carne, pescado, lácteos y congelados. La pregunta que se hacen ahora las cadenas, y que debería hacerse cualquier negocio con frío conectado a Internet, es qué seguro paga esa mercancía. La respuesta corta es que puede no pagarla ninguno. El seguro de ciberriesgos suele excluir los daños materiales, el multirriesgo puede excluir los daños de origen cibernético y la garantía de mercancías refrigeradas suele exigir una avería, que aquí no hubo: los equipos funcionaron y obedecieron una orden. Intermarché, la cadena más castigada, ya ha dicho a la agencia AFP que su seguro no cubre este tipo de incidente.

Si tienes un supermercado, una carnicería, un restaurante, un obrador o un almacén frigorífico, lo razonable es preguntarse dos cosas: si tus cámaras están expuestas igual que las francesas y si tu póliza respondería. Lo primero es trabajo de tu frigorista y de quien lleve tus sistemas.

Lo segundo nos toca a nosotros, y tiene más miga de lo que parece, porque el hueco aparece entre las tres pólizas que suele tener contratadas un negocio con frío, y cada una da por hecho que ese daño lo paga otra. Vamos a ver qué pasó, qué dice cada póliza y qué conviene revisar esta misma semana.

Qué pasó en Francia y por qué importa en España

El objetivo fueron los controladores que gestionan el frío a distancia, el equipo que permite al frigorista ajustar temperaturas y ciclos de descongelación desde su oficina, y desde ahí los atacantes lanzaron la descongelación en cientos de tiendas a la vez. La Fiscalía de París abrió una investigación por un ataque a gran escala contra frigoríficos conectados de varias cadenas, con focos de incendio en algunos locales, y el primer ministro, Sébastien Lecornu, encargó la parte técnica a la ANSSI, la agencia francesa de ciberseguridad.

Además de Intermarché y Netto, hubo tiendas afectadas de Coopérative U, Monoprix y Carrefour, que habló de 80 supermercados. Danfoss, el fabricante danés de buena parte de esos controladores, explicó que muchos de los equipos atacados habían llegado al final de su vida útil y ya no recibían actualizaciones de software ni de seguridad.

El 12 de octubre, el CERT-FR, el equipo de respuesta de la ANSSI, publicó la alerta CERTFR-2026-ALE-012, que actualizó los días 13 y 16. Señala cuatro familias de equipos: los Danfoss de las series AK-SM y AK-SC y los supervisores XWEB de Copeland y de Dixell. Y avisa de que las campañas de ataque probablemente siguen en marcha, de que un equipo sin parches expuesto a Internet tiene muchas probabilidades de acabar comprometido y de que restaurarlo de fábrica no basta, porque sigue siendo vulnerable.

¿Y en España? Según recogió Escudo Digital el día 13, la prensa francesa citó a España entre los países donde se podrían haber manipulado temperaturas, junto a Portugal, Polonia, Alemania y Bélgica. Carrefour España respondió que “España no se ha visto afectada en ningún caso”, el grupo Auchan dijo lo mismo de sus tiendas españolas y el comunicado de Intermarché habla de un ataque que “afecta a Europa, pero principalmente a Francia”.

Los equipos, en cambio, sí se venden aquí. INCIBE-CERT publicó el 27 de febrero una vulnerabilidad grave (CVE-2026-25196, con 8 puntos sobre 10) en los supervisores XWEB Pro de Copeland, una de las familias de la alerta francesa. Nada indica que ese fallo concreto sea el que se usó en Francia, pero deja claro que el frío de un comercio es ya un equipo informático más.

Qué seguro cubre un ciberataque a la refrigeración

Un comercio o una industria alimentaria con frío suele tener tres coberturas que, sobre el papel, rozan este siniestro: el seguro de ciberriesgos, el multirriesgo del local o de la nave y, dentro de él o aparte, la garantía de deterioro de mercancías refrigeradas. Cada una paga una parte. El problema es la mercancía, que es justo lo que se pierde.

La tercera fila es la que más sorprende. La garantía de mercancías refrigeradas existe precisamente para el día en que el compresor se rompe un sábado por la noche y el lunes hay que tirar la cámara entera, y suele redactarse pensando en eso: una avería de la instalación frigorífica, una caída de tensión, un escape del refrigerante. En Francia, el compresor estaba perfecto. El controlador recibió una orden de descongelar, la ejecutó y siguió funcionando con normalidad a 50 °C. Si tu garantía enumera causas y la manipulación remota no está entre ellas, la aseguradora tendrá un argumento serio para decir que no hubo avería. Y el ciberseguro, que sí reconoce el ataque, te remitirá a su exclusión de daños materiales. Es exactamente la situación que describen los corredores consultados por Reuters: el ciberseguro puede pagar la investigación interna o a los asesores de comunicación, y deja fuera lo físico.

Con el multirriesgo pasa algo parecido, con un matiz que vale dinero. Desde enero de 2020, Lloyd’s, el mercado de seguros de Londres, exige que sus pólizas de daños digan expresamente si cubren o excluyen las pérdidas por un evento cibernético. Antes el riesgo informático quedaba en el aire; en las pólizas que siguen ese criterio hay ahora una cláusula que lo resuelve en un sentido o en otro, y es la que hay que leer.

Lo que cambia de una cláusula a otra es qué se salva. Hay exclusiones que mantienen cubierto el incendio o la explosión que provoque el ataque, y otras que no hacen esa excepción. Varios supermercados franceses tuvieron focos de incendio. En tu póliza, esa frase decide si un fuego originado por un controlador manipulado es un siniestro de incendio normal o uno excluido.

Contratar las tres pólizas no garantiza nada si no se han leído juntas: cada una puede dar por hecho que ese daño lo paga otra.

Hay solución, aunque no viene de serie. Según Reuters, los minoristas buscan cada vez más seguros cibernéticos que cubran daños físicos, algo que ya existe en energía, transporte marítimo y defensa, y en Londres ya se han colocado coberturas específicas para mercancía perecedera.

Para un negocio mediano, lo habitual es más sencillo: una extensión de daños materiales en el seguro de ciberriesgos, o una garantía de mercancías refrigeradas redactada por causas amplias y no por una lista cerrada. Cualquiera de las dos se negocia, y su precio depende mucho de cómo tengas protegido el acceso a tus equipos.

La línea del aviso francés que habla de tu póliza

Entre las recomendaciones técnicas del CERT-FR hay una que nadie esperaría en una alerta de ciberseguridad. El primer paso, “salir de la zona de peligro”, pide eliminar la exposición a Internet de los equipos y, en la misma línea, “comprobar las condiciones contractuales del seguro antes de cortar la transmisión de datos por Internet”.

El aviso no explica el motivo. La lectura más razonable es que esa conexión es también la que lleva las alarmas de temperatura al frigorista o a una central, y hay garantías de mercancías que exigen precisamente eso: un sistema de alarma o de vigilancia a distancia que funcione. Quien desconecta el controlador para protegerse, sin decírselo a nadie, puede quedarse sin la condición que le daba derecho a cobrar.

Lo que procede es hacer las dos cosas a la vez. Quitar el acceso directo desde Internet y sustituirlo por una conexión segura, una VPN o una red protegida, como pide el propio CERT-FR, y comprobar con tu correduría qué exige tu póliza sobre la vigilancia de las cámaras. Si la condición es que haya alarma remota, la habrá igual, por otro canal. Lo que no conviene es descubrir el cambio en el informe del perito.

¿Pueden rechazarte el siniestro por un equipo sin actualizar?

Es la otra discusión que ya ha empezado en Francia, porque Danfoss atribuye buena parte del problema a equipos antiguos sin actualizaciones. Los profesionales consultados por Reuters no dan una respuesta única.

Una corredora recordaba que las empresas suelen asumir en la póliza compromisos de actualización, por ejemplo instalar los parches críticos en un plazo, y Paul Gooch, de Tokio Marine Kiln, aseguradora del mercado de Lloyd’s, decía que tener el software desactualizado, por sí solo, no suele ser motivo para rechazar un siniestro. Todo depende del contrato.

En España, lo que pesa es lo que se declaró al contratar. El artículo 10 de la Ley de Contrato de Seguro obliga a declarar el riesgo según el cuestionario que presenta la aseguradora, y los cuestionarios de ciberriesgos suelen preguntar por las actualizaciones, los accesos remotos y la autenticación.

Si contestaste que todo se actualizaba y había un controlador de frío abandonado con la contraseña de fábrica, la aseguradora puede reducir la indemnización en proporción a la prima que habría cobrado conociendo el riesgo real, y quedar libre de pagar si hubo dolo o culpa grave. Vale la pena releer ese cuestionario antes de que haga falta. Y no olvidar que el frío también es un sistema informático, aunque nadie lo incluyera en el inventario cuando se rellenó.

Qué revisar esta semana si tienes cámaras frigoríficas

Con tu frigorista o tu mantenedor

1. Por dónde se entra a tu controlador. Si tiene una dirección pública en Internet o un acceso con usuario y contraseña desde fuera, está en la situación que describe la alerta francesa.
2. Sustituir ese acceso por una VPN o una red protegida. Filtrar por IP en el cortafuegos sirve como parche de urgencia, no como solución.
3. Firmware al día y contraseñas por defecto cambiadas; en los Danfoss, el nivel de seguridad “Strict” activado.
4. Revisar toda la configuración, en especial los rangos de descongelación, y comprobar que la alarma de temperatura avisa a alguien que pueda actuar de madrugada.
5. Si el equipo ya no recibe actualizaciones, planificar su sustitución. El CERT-FR es claro: reiniciarlo no lo arregla.

Con tu correduría

Pide que se lean juntas tres cláusulas: la exclusión cibernética de tu multirriesgo, las causas que activan la garantía de mercancías refrigeradas y la exclusión de daños materiales de tu seguro de ciberriesgos. Comprueba si el incendio que provoque un ataque queda dentro, qué dijiste en el cuestionario sobre actualizaciones y accesos remotos, y qué exige la póliza sobre la vigilancia de las cámaras antes de tocar la conexión.

Con eso delante se ve en media hora si hay hueco, y si lo hay se puede cerrar con una extensión o con una garantía mejor redactada. Lo que no tiene sentido es seguir pagando tres pólizas que, ante este siniestro, se remiten unas a otras.

Si tu negocio es un comercio o una cadena de tiendas, las coberturas del local y del género están en seguros para comercio y distribución, y si es un restaurante o un hotel, en seguros para hostelería. Para almacenes frigoríficos y transporte con temperatura controlada, mira seguros para transporte y logística, y para la nave de una industria alimentaria, el multirriesgo industrial.

La avería del propio equipo frigorífico tiene su seguro, el de avería de maquinaria. Lo que cubre y lo que excluye un ciberseguro lo explicamos en seguro de ciberriesgos para empresas: qué cubre y qué no, y nuestra página del producto es la de seguro de ciberriesgos. Y si lo que te preocupa es el corte de luz, que también estropea el género, está el caso del apagón eléctrico y qué cubre el seguro.

Preguntas frecuentes