Llevo meses trabajando como SOC Analyst y, la verdad, nunca imaginé que esta vocación me fuera a gustar tanto. Hay noches largas, alertas que resultan falsas y otras que no. Pero cada día aprendes algo y entiendes mejor que la ciberseguridad no es un tema de películas. Está en cosas tan cotidianas como el súper de la esquina.
Esta semana lo confirmé con una noticia que llegó desde Francia.
Cuando el ataque llega al refrigerador
Entre la noche del domingo 11 y la mañana del lunes 12 de octubre, cientos de supermercados franceses amanecieron con los congeladores echando aire caliente. Según los primeros reportes de prensa, entre las tiendas afectadas había de Intermarché, E.Leclerc y Coopérative U, entre otras cadenas. Los atacantes habrían entrado a los sistemas de control remoto de los equipos de refrigeración y activado ciclos de deshielo. Resultado: toneladas de alimentos echados a perder, pérdidas millonarias y, en algunos casos, incendios en equipos.
La fiscalía de París abrió una investigación y el gobierno francés le encargó el caso a la ANSSI, su agencia nacional de ciberseguridad. Las primeras versiones hablan de controladores de un fabricante de equipos frigoríficos y de una vulnerabilidad conocida que seguía sin parchar en versiones antiguas del software. Todavía no hay confirmación oficial del origen técnico, así que lo tomo con pinzas.
Aquí no se robaron datos ni cifraron servidores. Se metieron a un sistema operativo, de los que mueven el mundo físico, y causaron daño real: comida tirada, anaqueles vacíos y un golpe directo a la cadena de suministro.
Desde el SOC, esto confirma algo que repetimos mucho y que pocos escuchan:
- Todo lo que está conectado a internet es parte de tu superficie de ataque, también el termostato, la cámara y el controlador del congelador.
- Las redes de operación (OT) tienen que estar separadas de las de TI y de internet.
- Un parche pendiente por meses no es un detalle técnico. Es una puerta abierta.
- Los accesos remotos de proveedores deben estar inventariados, monitoreados y limitados.
Mientras tanto, en México...
Y aquí viene la pregunta incómoda. Si algo así pasara en México, ¿con qué marco legal responderíamos?
Hoy México no tiene una Ley Federal de Ciberseguridad vigente. Hay iniciativas presentadas en el Senado desde 2025 que siguen sin dictamen ni votación. En diciembre de 2025 se publicó una Política General de Ciberseguridad, pero obliga solo a la administración pública federal, no a las empresas privadas que operan supermercados, hospitales, plantas o aeropuertos.
Las razones de la pausa existen, y algunas son legítimas. Hay un debate serio sobre no darle facultades de vigilancia excesivas al Estado, sobre definiciones ambiguas de delitos informáticos y sobre el riesgo de bloquear sitios sin control judicial. Legislar mal puede ser peor que no legislar. Pero también es cierto que el tema se ha ido quedando al final de la fila frente a otras prioridades.
¿Estrategia o desdén político?
Puede ser estrategia: esperar a construir una ley técnicamente sólida que no atropelle derechos. O puede ser desdén: no ver la ciberseguridad como un tema urgente hasta que un incidente lo vuelva noticia nacional.
Lo que sí sé es que los atacantes no esperan a que el Congreso dictamine. Francia tiene agencia nacional, marco regulatorio europeo y equipos de respuesta, y aun así le pasó esto.
Mientras la ley llega, la responsabilidad no se pausa. Las empresas mexicanas ya tienen obligaciones de seguridad, por ejemplo en protección de datos personales. Y sobre todo tienen la responsabilidad de proteger su operación. Inventariar lo que está conectado, parchar, segmentar, monitorear y tener un plan de respuesta no depende de ningún decreto.
Al final, quienes estamos del otro lado de la pantalla seguimos haciendo lo nuestro: vigilar, aprender y cuidar, con o sin ley.
