En la noche del domingo 1 al lunes 2 de noviembre, un técnico de guardia del Establecimiento Francés de la Sangre (EFS) vio algo que no tenía sentido: la temperatura de las cámaras frigoríficas estaba subiendo.
Por Daniel Monastersky*
Ahí adentro había bolsas de plasma congelado para transfusiones, plasma para fabricar medicamentos y muestras de donantes para los biobancos del EFS. Todo se guarda a 30 grados bajo cero.
Alguien, desde lejos, había cambiado los umbrales de temperatura y de descongelación. Según Le Canard enchaîné, que reveló el caso, las cámaras fueron programadas para llegar a 110 grados.
No se perdió ni una bolsa. Pero estuvo cerca.
Esta semana las heladeras del súper, hoy la sangre
Esta semana les conté cómo un ataque a los sistemas de refrigeración llevó a 50 grados las heladeras de cientos de supermercados franceses. Muchos lo leyeron como una anécdota casi pintoresca: carne podrida, lácteos a la basura, una pérdida económica.
Tres semanas después, el mismo tipo de ataque llegó a un lugar donde lo que se pierde no se mide en pesos ni en euros.
El EFS es el organismo público que gestiona toda la cadena de la sangre en Francia, de los donantes a los pacientes. Se creó después del escándalo de la sangre contaminada. Es, literalmente, infraestructura de vida.
Según The Record, es el primer caso reportado en Francia de la segunda ola de ataques contra sistemas de control de refrigeración, y el primero que alcanza a una organización de salud. En esta segunda ola ya hay empresas afectadas en al menos 11 países: Bélgica, Estonia, Finlandia, Francia, Alemania, Irlanda, Luxemburgo, Países Bajos, Portugal, Suecia y el Reino Unido.
Nadie lo reivindicó. Nadie lo atribuyó. La agencia de ciberseguridad belga fue más lejos: dijo que «quizás nunca sea posible identificar» a los responsables.
No atacaron al EFS: atacaron al proveedor del proveedor
Acá está el centro de esta historia.
El EFS aclaró que no fue «directamente apuntado». Lo afectado fueron «las instalaciones de supervisión y control de cámaras frigoríficas» de uno de sus «proveedores de equipos frigoríficos», desplegadas en tres sitios. Según Le Canard enchaîné, ese proveedor es Coolworld, una empresa que alquila cámaras y contenedores refrigerados. Según la radio ICI, uno de los sitios es el de Besançon.
Coolworld publicó un comunicado el miércoles. Confirmó un incidente en «un software de monitoreo remoto» de sus sistemas de refrigeración, dijo que solo «un número limitado de unidades» fue afectado y agregó un detalle que vale oro: la vulnerabilidad está en «un componente provisto por un tercero» que no controla directamente.
Traducido: el hospital confía en el banco de sangre. El banco de sangre confía en el que le alquila el frío. El que le alquila el frío confía en el que le vende el software de monitoreo. Y los delincuentes entraron por ese último eslabón.
No es un problema de un proveedor: es un problema de cadena.
La alerta ya estaba escrita
Lo más incómodo es que nada de esto era imprevisible.
El 12 de octubre, al día siguiente del ataque a los supermercados, el CERT-FR, el centro de respuesta a incidentes de la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI), publicó la alerta CERTFR-2026-ALE-012. La actualizó el 13 y el 16 de octubre. Advertía sobre «numerosas compromisiones» de controladores remotos de refrigeración de Danfoss (series AK-SM y AK-SC), Copeland y Dixell (xweb).
Las recomendaciones eran claras. Sacar los equipos de internet. Revisar toda la configuración, en especial los ciclos de descongelación. Volver a dar acceso solo por VPN o por una red protegida. Cambiar las contraseñas por defecto y actualizar el firmware. Y una advertencia final: «probablemente sigue habiendo campañas de ataque en curso» contra estos equipos.
Ojo: Coolworld no nombró el componente, así que no hay pruebas de que sea uno de los listados por el CERT-FR. Lo que sí coincide es el tipo de acceso: equipos de frío que se manejan a distancia por internet.
Nueve días después de la alerta, el director general de la ANSSI, Vincent Strubel, le explicó al Senado francés que el ataque a los supermercados se debió a «defectos de seguridad elementales»: equipos frigoríficos expuestos directamente a internet y contraseñas débiles.
Elementales. No hablamos de un arma digital sofisticada. Hablamos de una puerta abierta con la llave puesta.
Lo que salvó la sangre
Si esta nota no habla de una tragedia, es por una decisión de diseño que vale la pena subrayar.
Sophie Le Cam, directora general adjunta del EFS, lo explicó en RTL: gracias a «sistemas de supervisión independientes de este proveedor», pudieron «reaccionar extremadamente rápido». Las alarmas propias del EFS detectaron la anomalía, el técnico de guardia intervino y los equipos afectados fueron controlados o neutralizados. Por precaución, los productos se trasladaron a otras instalaciones.
El Ministerio de Salud, a cargo de Stéphanie Rist, confirmó que se cortaron los accesos remotos de los equipos afectados y que se reforzó la vigilancia de todas las instalaciones. Las investigaciones siguen para establecer el modo de ataque, cuántos equipos están comprometidos y cuándo se podrán volver a usar. La extracción y la distribución de sangre nunca se interrumpieron.
Traducido: el EFS no dependía de que el proveedor le avisara que algo andaba mal. Tenía sus propios ojos sobre la temperatura. Y tenía una persona despierta mirándolos.
La seguridad no es confiar en el proveedor: es poder verificarlo sin depender de él.
Del dato a la vida
Vengo diciendo hace años que, si algo es inteligente, es hackeable. Durante mucho tiempo esa frase sonó exagerada, casi de película. Hoy tiene temperatura: 110 grados.
Durante años asociamos los ciberataques en salud con datos: historias clínicas robadas, ransomware que bloquea un sistema de turnos. Eso sigue pasando. Pero lo que muestra el caso francés es otra cosa: los delincuentes ya no necesitan robar un dato para hacer daño. Les alcanza con cambiar un número en un panel de control.
Lo que está en juego no es la confidencialidad: es la integridad física de lo que el sistema protege. Una bolsa de plasma descongelada no se recupera con un backup.
Lo que dice la ley (y lo que debería hacer el directorio)
Europa tiene herramientas para esto. La Directiva NIS2 (Directiva (UE) 2022/2555) incluye al sector salud y, en su artículo 21, obliga a gestionar los riesgos de ciberseguridad, entre ellos «la seguridad de la cadena de suministro». El artículo 23 exige una alerta temprana a las autoridades dentro de las 24 horas de conocido un incidente significativo.
Chile, con su Ley Marco de Ciberseguridad (Ley 21.663), creó una agencia nacional y obligó a los operadores de servicios esenciales, salud incluida, a reportar incidentes en plazos cortos.
¿Y en la Argentina? Seguimos sin una ley de ciberseguridad para infraestructura crítica. Tenemos una definición administrativa, la Resolución 1523/2019, y la Ley 25.326, que protege los datos de salud como datos sensibles. Pero ninguna de las dos te dice qué hacer cuando lo que atacan no es un dato, sino la heladera donde se guarda la sangre.
Ahora, la pregunta incómoda: ¿cuántos hospitales, laboratorios, bancos de sangre, farmacéuticas o centros de vacunación de la región saben hoy quién maneja a distancia sus equipos de frío, desde dónde y con qué contraseña?
Si sos directivo de una organización de salud, o de cualquier empresa que dependa del frío, hay tres cosas que podés hacer esta semana:
La primera: pedirle a tu área técnica un inventario de todos los equipos de frío y de control que estén conectados a internet, y de quién tiene acceso remoto a cada uno.
La segunda: exigirle a cada proveedor que te diga qué componentes de terceros usa, cómo se conecta y cómo te va a avisar si algo falla. Por contrato, no por mail.
La tercera: tener tu propio monitoreo, independiente del proveedor, con una alarma que le llegue a una persona con nombre y apellido, también un domingo a la noche.
En Francia, la diferencia entre un susto y una tragedia fue un sistema de alarmas independiente y un técnico de guardia que miró a tiempo.
La pregunta es otra: ¿en tu organización, quién está mirando el domingo a la noche?
*Daniel Monastersky. Abogado especialista en protección de datos y ciberseguridad. Director del Centro de Ciberseguridad y Datos de la Universidad Austral. Socio en Data Governance Latam.