Francia atribuye a una unidad de los Guardianes de la Revolución iraníes el sabotaje de los controladores de frío de supermercados

Vigilancia cibernética de Top-Secured: análisis independiente basado en el comunicado oficial de CERT-FR · ANSSI y en la prensa. Top-Secured no está afiliado a esta empresa y nunca le pedirá sus datos bancarios ni sus contraseñas.

Francia ha atribuido oficialmente a Irán el ataque que, en la noche del 11 al 12 de octubre de 2026, alteró la configuración de controladores de refrigeración en establecimientos de gran distribución. El informe del C4 publicado por el CERT-FR señala a la unidad Shahid Kaveh de los Guardianes de la Revolución y describe pérdidas de mercancía e incendios. Para cualquier empresa, la lección son los equipos conectados accesibles desde Internet.

Qué ha pasado

El 9 de noviembre de 2026, el Ministerio francés de Europa y Asuntos Exteriores atribuyó a Irán un ciberataque que califica de primera ofensiva de puro sabotaje en suelo francés. Señala a la unidad Shahid Kaveh, adscrita al centro cibernético del Cuerpo de la Guardia Revolucionaria Islámica (CGRI), anuncia la convocatoria del embajador iraní e indica que Francia propondrá nuevas sanciones europeas. Ese mismo día, el CERT-FR publicó el informe del Centro de Coordinación de Crisis Cibernéticas (C4), que reúne a ANSSI, COMCYBER, DGA, DGSE y DGSI.

Según ese informe, los controladores de frío de unos 700 establecimientos de gran distribución fueron comprometidos en la noche del 11 al 12 de octubre de 2026. Sus parámetros de desescarche se fijaron a temperaturas altas, lo que provocó importantes pérdidas de mercancía y, en al menos 15 casos, incendios. El C4 cita entre los afectados a los grupos Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, además de pequeñas carnicerías, un matadero y cooperativas agroalimentarias. El ministerio cifra, según su propia estimación, las pérdidas de alimentos en varias decenas de millones de euros.

Cómo actuaron los atacantes

El informe no detalla cómo se comprometieron los controladores. Precisa que los operadores usaron FOFA, una herramienta que cataloga los equipos accesibles desde Internet, y que la misma infraestructura sondeaba equipos de Schneider Electric mediante el protocolo Modbus (puerto TCP 502), sobre todo en pequeñas centrales hidroeléctricas, con efectos moderados. El C4 vincula además a los Guardianes de la Revolución con ataques anteriores contra Charlie Hebdo (2023) y contra una empresa de pantallas de vídeo durante los Juegos de París 2024.

Qué hacer ahora

1. Inventaríe todos los controladores, autómatas e interfaces de supervisión (frío, climatización, energía, control de accesos), incluidos los instalados por un mantenedor.
2. Pruebe desde fuera cuáles responden en sus direcciones públicas, por ejemplo con nmap -Pn -p 502,80,443,8080 <su-rango-publico>.
3. Cierre: ningún protocolo industrial ni página web de autómata directamente en Internet; acceso remoto solo por VPN con autenticación multifactor, también para los proveedores.
4. Cambie las contraseñas por defecto y elimine las cuentas que no se usan.
5. Vigile: alertas ante cambios de consigna y desviaciones de temperatura, y una copia de la configuración para restaurarla rápido.

Nuestra opinión

Un controlador de frío es un pequeño servidor, y los atacantes lo buscan igual que buscan un servidor web olvidado. El inventario de lo que está expuesto en Internet debe incluir estos equipos, y el mantenimiento remoto debe pasar por las mismas puertas que el resto de la red.

Fuentes

• CERT-FR — Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI (CERTFR-2026-CTI-009)
• France Diplomatie — Déclaration d’attribution à l’Iran de cyberattaques visant la France
• The Hacker News — France Blames Iran for Sabotage Attack on Refrigeration Controllers at About 700 Retail Sites

Cómo elegimos, verificamos y redactamos nuestros análisis →