El próximo ciberataque podría dejar a una ciudad sin agua, luz o alimentos

Columnas miércoles 28 de octubre de 2026 -

Los ataques a los refrigeradores de supermercados en Francia son una advertencia sobre la vulnerabilidad de la infraestructura conectada a internet.

Imaginemos llegar al supermercado y encontrar los refrigeradores apagados, toneladas de alimentos echados a perder y productos que ya no pueden venderse. Parece un problema técnico más, pero detrás de este escenario hay una amenaza que podría tener consecuencias mucho mayores. Los ataques reportados contra sistemas de refrigeración de supermercados en Francia nos obligan a mirar con más atención una parte de la tecnología que suele pasar inadvertida: los dispositivos que controlan el funcionamiento de nuestra infraestructura cotidiana.

Durante años, cuando hablamos de ciberataques, pensamos en computadoras infectadas, bancos afectados, información robada o empresas que pierden el acceso a sus sistemas. Sin embargo, la expansión del internet de las cosas, conocido como IoT, ha abierto una nueva superficie de ataque. Hoy, una gran cantidad de equipos físicos están conectados a redes y pueden ser supervisados o controlados de manera remota. Refrigeradores industriales, sistemas de climatización, bombas de agua, sensores, cámaras, semáforos y equipos de distribución eléctrica forman parte de este universo.

El problema es que muchos de estos dispositivos fueron diseñados para funcionar de manera eficiente, reducir costos y facilitar la operación, pero no siempre con la seguridad informática que requieren. Algunos utilizan contraseñas débiles, otros tienen programas que no se actualizan durante años y muchos dependen de sistemas de control que nunca fueron concebidos para enfrentar ataques sofisticados. Cuando estos equipos quedan expuestos, una vulnerabilidad digital puede convertirse en un problema físico con consecuencias económicas y sociales.

Lo ocurrido con los sistemas de refrigeración sirve para entenderlo. Alterar la temperatura de un equipo industrial puede parecer una acción menor frente al robo de millones de datos, pero basta con mantenerla fuera de los parámetros adecuados para provocar pérdidas de mercancía, interrumpir operaciones y afectar a una cadena de suministro. Si trasladamos esa misma lógica a otras infraestructuras, las consecuencias pueden ser mucho más delicadas.

¿Qué sucedería si alguien consiguiera alterar los sistemas de control de una red de distribución de agua, interrumpir el funcionamiento de una subestación eléctrica o manipular los semáforos de una zona metropolitana? ¿Qué pasaría si un ataque coordinado afectara varios servicios al mismo tiempo? No hablamos necesariamente de destruir instalaciones, sino de aprovechar sus propias herramientas de control para provocar interrupciones, confusión y pérdidas.

El riesgo aumenta porque buena parte de la infraestructura crítica está interconectada. Un corte eléctrico puede afectar el suministro de agua; una interrupción en las comunicaciones puede dificultar la coordinación de los servicios de emergencia; y una falla logística puede impedir que alimentos y medicamentos lleguen a su destino. Un ataque que comienza en un sistema aparentemente secundario podría extender sus efectos a otras actividades esenciales.

Esto no significa que estemos ante un escenario inevitable ni que todos los dispositivos conectados sean vulnerables. Significa que la seguridad debe evolucionar al mismo ritmo que la tecnología. No basta con proteger las computadoras de una organización si los equipos que controlan sus instalaciones, procesos industriales y servicios permanecen desatendidos.

Las empresas y los gobiernos necesitan revisar sus sistemas, identificar los dispositivos conectados, separar las redes administrativas de las redes que controlan equipos físicos, actualizar programas, cambiar credenciales predeterminadas y vigilar cualquier comportamiento anormal. También deben contar con planes de contingencia que permitan mantener las operaciones esenciales cuando una parte de la infraestructura deja de funcionar. En instalaciones críticas, la protección informática debe complementarse con mecanismos de control físico y procedimientos que permitan operar de manera segura incluso durante una emergencia.

La responsabilidad tampoco recae únicamente en quienes administran estos sistemas. Los fabricantes deben incorporar la seguridad desde el diseño, ofrecer actualizaciones durante la vida útil de sus productos y evitar que la conectividad se convierta en una puerta abierta para los atacantes. La seguridad no puede ser un accesorio que se agrega después de instalar un equipo; debe formar parte de su funcionamiento desde el primer día.

Estamos entrando en una etapa en la que la frontera entre el mundo digital y el físico es cada vez más delgada. Un ataque informático ya no tiene por qué limitarse a robar información o paralizar una página web. También puede alterar procesos, detener servicios y afectar actividades de las que dependen millones de personas.

Esperar a que un ataque afecte el suministro de agua, la energía eléctrica o los servicios de emergencia sería una forma muy costosa de aprender esta lección. La pregunta ya no es solamente cómo proteger nuestros datos, sino cómo garantizar que la tecnología de la que dependemos todos los días no se convierta en nuestra mayor vulnerabilidad.

Octygeek / Alejandro del Valle Tokunhaga