En resumen
- El 9 de noviembre de 2026 la Fiscalía de París atribuyó a la Guardia Revolucionaria iraní el ataque del 12 de octubre contra la refrigeración de unos 700 comercios, y abrió una investigación judicial.
- El ministro de Exteriores, Jean-Noël Barrot, convocó al embajador iraní y anunció que Francia impulsará sanciones a escala europea.
- El caso plantea preguntas sobre ciberresiliencia de la cadena alimentaria, notificación de incidentes y atribución estatal en la UE.
Francia ha señalado oficialmente a Irán como responsable de un sabotaje cibernético que afectó a la refrigeración de cientos de comercios de alimentación. Importa porque es una atribución estatal pública por un ataque contra infraestructura civil cotidiana, con anuncio de sanciones europeas. Según la información publicada por O Povo (DW), el comunicado se difundió el lunes 9 de noviembre de 2026.
Qué ocurrió
En la madrugada del 12 de octubre, unos atacantes tomaron el control remoto de sistemas de refrigeración en cientos de supermercados y tiendas independientes de Francia. Las temperaturas se mantuvieron en torno a 50 ºC durante unas seis horas, lo que obligó a retirar producto fresco y congelado. Fueron afectados cerca de 700 de los 10.000 supermercados del país, además de pequeñas carnicerías, un matadero y plantas de transformación alimentaria. Se registraron al menos 15 incendios y la cadena Intermarché cifró pérdidas de decenas de millones de euros en un solo día.
La atribución y la respuesta
La Fiscalía de París atribuyó el ataque a la Guardia Revolucionaria Islámica de Irán. La fiscal Laure Beccuau informó de la apertura de una investigación judicial por delincuencia informática organizada, con la circunstancia agravante de haber sido cometida en interés de una potencia extranjera. La agencia nacional de ciberseguridad, ANSSI, vincula el ataque al grupo Shahid Kaveh, descrito como una unidad cibernética ligada a la Guardia Revolucionaria. Según la fiscal, los autores usaron persa e IP asociadas a dispositivos en Irán, y se han solicitado órdenes internacionales de detención.
El ministro de Exteriores, Jean-Noël Barrot, declaró durante una reunión del G7 en París que se convocó al embajador iraní y que Francia impondrá sanciones a nivel europeo a los responsables. Calificó el episodio de primer ataque de sabotaje a gran escala en suelo francés. Esta es la posición de las autoridades francesas y la investigación sigue abierta.
Un contexto más amplio
La semana anterior, según la misma fuente, un ataque contra varios bancos de sangre franceses, que buscaba elevar la temperatura, fue frustrado antes de causar daños. También hubo problemas aparentes en neveras y congeladores de supermercados de Suecia, Bélgica, Luxemburgo, Irlanda y Estonia, aunque en esos casos se habla de causas aparentemente cibernéticas. La ANSSI atribuye además a otro grupo vinculado a la Guardia Revolucionaria ataques anteriores desde 2020, entre ellos contra Charlie Hebdo en 2023 y contra la organización de los Juegos Olímpicos de París en 2024.
La mirada de CEA Digital Law
Este caso ilustra que la ciberseguridad ya no se limita a datos y servidores: afecta a la cadena de frío, a la salud pública y a la seguridad alimentaria. Para el Comité Euro Americano de Derecho Digital - CEA Digital Law, hay tres lecciones útiles.
- Alcance sectorial. Los marcos de ciberresiliencia europeos, como la Directiva NIS2, deberían aplicarse con atención a pequeños operadores y a equipos conectados de uso industrial, a menudo gestionados por terceros. Un fallo en un proveedor puede propagarse a cientos de comercios.
- Coordinación transfronteriza. Si los incidentes en otros Estados miembros se confirman como vinculados, el intercambio rápido de indicadores entre autoridades nacionales y la cooperación europea serán decisivos.
- Atribución con garantías. La combinación de atribución técnica por una agencia, investigación judicial y respuesta diplomática es un modelo replicable en América Latina y el Caribe y en África, donde los equipos de respuesta a incidentes crecen, siempre que se respeten la presunción de inocencia y la prueba contrastable.
Quedan abiertas cuestiones relevantes: qué instrumento de sanciones europeo se utilizará, cómo se articulará la responsabilidad del Estado en derecho internacional y qué obligaciones de notificación y seguro asumirán los comercios afectados. Seguiremos el asunto.
Fuentes
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
