EFS, el banco de sangre francés, atacado vía su proveedor

Un ciberataque a la cadena de frío del banco de sangre francés

El Établissement Français du Sang (EFS), el organismo público que gestiona la recolección, el procesamiento y la distribución de sangre en Francia, confirmó que un ciberataque elevó los umbrales de temperatura y descongelación en tres de sus cámaras de almacenamiento de plasma. El incidente ocurrió el 2 de noviembre y, según el comunicado de la entidad recogido por Associated Press, los sistemas de monitoreo detectaron la anomalía a tiempo: no hubo pérdidas de productos sanguíneos ni consecuencias sanitarias identificadas.

La lectura rápida es «susto sin daños». La lectura útil para un founder es otra: el ataque no entró por los servidores del EFS, sino por los equipos de refrigeración de un proveedor externo. Tu superficie de riesgo ya no termina donde termina tu firewall.

¿Qué pasó exactamente en el banco de sangre francés?

El EFS reportó que los atacantes modificaron los parámetros de temperatura y descongelación en tres instalaciones que almacenan productos sanguíneos, según BleepingComputer. Esas cámaras guardan tanto bolsas de plasma destinadas a transfusiones como plasma usado para fabricar medicamentos.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El semanario francés Le Canard Enchaîné, que publicó el caso primero, señaló que el ataque intentó llevar la temperatura desde los -30 °C habituales hasta los 110 °C, según Associated Press. El EFS no confirmó esa cifra exacta y se limitó a decir que los valores se elevaron a niveles extremadamente altos, según recogió Euro Weekly News.

El organismo aclaró que no fue el blanco directo: el objetivo fue uno de sus proveedores de equipos de refrigeración. La empresa europea Coolworld confirmó en un comunicado que sufrió un incidente de ciberseguridad y que la vulnerabilidad explotada correspondía a un componente de un tercero, fuera de su control directo. Añadió que solo se vio afectado un número limitado de unidades.

Ningún grupo se ha adjudicado el ataque. La agencia nacional de ciberseguridad francesa (ANSSI) y el Ministerio de Salud investigan el caso, y el acceso remoto a los equipos afectados fue desactivado, según Euro Weekly News.

Controladores obsoletos y expuestos: el patrón que se repite en Europa

El ataque al EFS no es un episodio aislado. Es la enésima ronda de una campaña que lleva semanas golpeando la cadena de frío europea.

En octubre, los ataques interrumpieron los sistemas de refrigeración de entre 250 y 350 supermercados franceses, incluidas cadenas como Intermarché, Carrefour Market, Monoprix, Leclerc y Super U, según BleepingComputer. Una segunda oleada afectó a más de 115 tiendas en Bélgica, Países Bajos, Suecia, Luxemburgo, Irlanda y Estonia. En un supermercado sueco el sistema empezó a generar calor; en otro, la temperatura se fijó en 50 °C.

El costo ya se puede medir. Ahold Delhaize estimó que el ciberataque reducirá sus ventas del cuarto trimestre en hasta 250 millones de euros y su resultado operativo en hasta 100 millones de euros, según Associated Press.

El vector es siempre el mismo: controladores de refrigeración conectados a internet con software que ya nadie actualiza. La alerta CERTFR-2026-ALE-012 de CERT-FR, actualizada el 16 de octubre, identifica los equipos afectados: controladores Danfoss AK-SM y AK-SC, Copeland XWEB y Dixell XWEB, además de los paneles web Danfoss StoreView, según IoT Tech News.

Danfoss reconoció que la mayoría de los equipos afectados en Francia eran hardware heredado o al final de su vida útil: el AK-SC 355 se dejó de fabricar en 2016 y el AK-SM 800 alcanzó su fin de soporte en mayo de 2021, según el mismo medio. En 2025, la agencia estadounidense CISA ya había divulgado dos vulnerabilidades en controladores Danfoss AK-SM 8xxA —CVE-2025-41450 y CVE-2025-41451— que permitían eludir la autenticación y ejecutar comandos de forma remota, según BleepingComputer. La empresa publicó los parches. Muchos operadores no los aplicaron.

El detalle más incómodo lo aporta IPinfo: a comienzos de octubre había 1.331 paneles StoreView expuestos a internet en Francia, frente a 1.197 en todos los demás países juntos. Para el 14 de octubre, tras la alerta, esa cifra había caído a 316, según IoT Tech News. La exposición no era un problema técnico menor: era la puerta de entrada.

«Estamos sentados sobre una bomba de tiempo», dijo Sean Tufts, CTO de campo de la firma de ciberseguridad Claroty, a Facilities Dive tras la primera oleada.

¿Por qué el riesgo de tu proveedor es tu riesgo?

El caso francés ilustra un cambio de fondo en la ciberseguridad. El informe Threat Landscape 2025 de ENISA, la agencia europea de ciberseguridad, identifica el compromiso de la cadena de suministro como una de las tendencias definitorias del panorama de amenazas en la UE, y señala que los atacantes prefieren cada vez más las rutas indirectas —proveedores, repositorios de software, servicios gestionados— antes que atacar directamente a la organización, según el análisis publicado por IAPP.

La regulación europea ya se movió en esa dirección. La directiva NIS2 y el reglamento DORA ponen énfasis explícito en la gestión del riesgo de terceros y de la cadena de suministro, según el mismo análisis. Y la propuesta de revisión del Reglamento de Ciberseguridad (CSA 2.0), presentada en enero de 2026, añadiría un marco vinculante de cadena de suministro de TIC de confianza que incorpora factores no técnicos, como la legislación del país de origen o la estructura de propiedad del proveedor, según un análisis publicado por Eurasia Review.

Traducido a la práctica: si vendes a una empresa europea regulada, tu cliente va a empezar a auditarte a ti.

Qué significa esto para tu startup

No necesitas operar un banco de sangre para que esto te aplique. Cualquier startup con hardware, sensores, paneles de control remoto o proveedores SaaS que tocan datos críticos está expuesta al mismo patrón.

Acciones concretas que puedes ejecutar esta semana:

Haz un inventario de todo lo que está conectado a internet y no es tuyo. No solo tus servidores: los paneles de control de tus proveedores, los termostatos, las cámaras, los equipos de planta. El EFS no sabía que su proveedor tenía equipos expuestos. Tú tampoco lo sabes hoy.
Saca los paneles de control de la red pública. La recomendación del director de ANSSI fue desconectar o aplicar un filtrado muy restrictivo. La vía práctica es VPN o acceso segmentado, no un panel con contraseña por defecto.
Incluye cláusulas de notificación de incidentes en tus contratos. Exige a tus proveedores avisar en un plazo máximo definido y documentar qué hacen con los parches de seguridad de los equipos que te alquilan o venden.
Escribe el procedimiento manual. El EFS salvó sus reservas porque sus alarmas funcionaron y su equipo pudo mover el producto a tiempo. Si tu operación depende de un sistema remoto, necesitas saber qué hacer cuando ese sistema deja de responder.

Conclusión

El ciberataque al banco de sangre francés terminó sin daños, pero por poco: las alarmas funcionaron y el personal actuó a tiempo. Lo que expuso no fue una falla del EFS, sino la fragilidad estructural de depender de equipos de terceros que nadie parchea.

La lección para cualquier startup es incómoda y simple: tu cadena de suministro es parte de tu superficie de ataque, aunque no la controles. El momento de preguntar qué hay conectado ahí afuera es antes de que alguien más lo descubra.