Un ciberataque restará hasta 250 millones de euros a cadenas de EE. UU. y Europa

Ahold Delhaize, el grupo neerlandés y belga dueño de supermercados como Albert Heijn y Delhaize en Europa y Stop & Shop y Food Lion en Estados Unidos, calculó que el ciberataque que sufrió en octubre le quitará entre 200 y 250 millones de euros en ventas y entre 75 y 100 millones de euros de resultado operativo en el cuarto trimestre. Lo informó el miércoles 4 de noviembre a las 6:30 UTC (3:30 en Buenos Aires, San Pablo y Santiago, 2:30 en Caracas, 1:30 en Bogotá y Lima, y 0:30 en Ciudad de México), junto con sus resultados del tercer trimestre.

Las ventas perdidas son poco más del 1 % de lo que el grupo factura en un trimestre, ya que el tercero cerró en 23.100 millones de euros. El golpe a la ganancia pesa más. Los 75 a 100 millones equivalen a entre el 8 % y el 10 % del resultado operativo del tercer trimestre, que fue de 976 millones de euros.

Con esos números, la empresa recortó su previsión para 2026. El crecimiento esperado de la ganancia por acciónResultado neto de una empresa dividido por la cantidad de acciones. Es una de las cifras que más miran los inversores para medir cuánto gana la compañía. baja de un dígito medio o alto a uno de un dígito bajo, y el flujo de caja libreDinero que le queda a una empresa después de pagar sus operaciones y sus inversiones en equipos e instalaciones. Si es negativo, gasta más de lo que genera., el dinero que queda después de operar e invertir, pasa de al menos 2.300 millones de euros a unos 2.100 millones. En ese último recorte también pesa una nueva regla de pagos a proveedores en Serbia. El margen operativoPorcentaje de las ventas que se convierte en ganancia del negocio principal, después de pagar costos y gastos de operación y antes de impuestos e intereses. quedará "cerca" del 4 %, cuando antes se esperaba "alrededor" de ese número, y a todo eso se suman costos de respuesta y reparación que el grupo describió como de impacto "marginal" en el año. En la bolsa de Ámsterdam, la acción subía más de 7 % durante la jornada, según MarketScreener.

Lo que contó y lo que todavía calla

Frans Muller, presidente y director ejecutivo del grupo, repitió en el informe lo que ya se sabía del ataque. Como parte de sus protocolos, la empresa desconectó algunos sistemas para proteger su red, y eso afectó "en distinto grado" sobre todo las ventas en línea en el Benelux (Países Bajos, Bélgica y Luxemburgo) y en Estados Unidos, además de la cadena de abastecimiento del Benelux. Bol, su tienda en línea, no se vio afectada. "La mayor parte de la disrupción se contuvo en dos semanas", escribió Muller, y el trabajo para normalizar todas las operaciones sigue.

El directivo pidió disculpas a los clientes, anunció promociones para recuperarlos y buscó bajarle el tono al episodio. "El incidente no define nuestro negocio", escribió.

El informe no dice quién atacó, cómo entró ni si hubo un pedido de rescate. La última precisión de la empresa sobre la causa es del 19 de octubre, cuando confirmó que la actividad sospechosa fue obra de "acciones maliciosas de terceros", presentó una denuncia ante la policía de los Países Bajos y dijo no tener evidencia, "por el momento", de que se hayan llevado datos sensibles de clientes, empleados o socios. LatamByte siguió aquel corte, con supermercados de Estados Unidos y Países Bajos sin entregas a domicilio durante más de una semana.

Ningún vínculo probado con el sabotaje al frío

El ataque de octubre coincidió con el sabotaje a los controladores de refrigeración de cientos de supermercados de Francia, en su mayoría equipos de Danfoss. Ni la empresa ni las autoridades establecieron una relación entre los dos casos. Ahold Delhaize nunca mencionó la refrigeración en sus comunicados sobre el incidente de octubre, que describió como un problema de sistemas informáticos, sitios web y aplicaciones, y el Centro Nacional de Ciberseguridad de los Países Bajos dijo a Reuters que no tenía motivos para pensar que el caso neerlandés estuviera relacionado con ataques en otros países, según The Star.

Hay un segundo episodio que el informe no menciona. El 2 de noviembre, decenas de tiendas Delhaize de Bélgica y Luxemburgo sufrieron fallas en la refrigeración dentro de la ola de ataques a cadenas de frío que alcanzó a supermercados de siete países de Europa. Un vocero habló entonces de "un incidente informático que afectó los sistemas de refrigeración" en varias tiendas, según Supermarket News, y la empresa dijo después a CNBC que hubo que descartar alimentos y que la situación ya se había normalizado. Los resultados hablan solo del incidente "de octubre", y Ahold Delhaize no aclaró si su estimación incluye ese costo.

El antecedente de Americanas en Brasil

La región ya tiene un caso con la cuenta a la vista. En febrero de 2022, la tienda en línea de Americanas, una de las mayores cadenas minoristas de Brasil, estuvo cinco días fuera de servicio por un ataque que se atribuyó el grupo Lapsus$. La empresa calculó en su balance del primer trimestre que perdió 923 millones de reales en ventas, informó Poder360. Sus tiendas físicas y su logística siguieron funcionando. En Ahold Delhaize los locales tampoco cerraron, aunque la distribución del Benelux sí se resintió.

En los dos casos, la mayor parte del daño no vino del arreglo técnico sino de los días sin vender en línea y de los pedidos que no salieron. Para una cadena de la región, la cuenta que conviene hacer antes de un ataque es cuánto cuesta cada día con la tienda en línea y la distribución detenidas. Ahold Delhaize todavía no dijo cuándo terminará de normalizar sus operaciones ni si algún seguro cubrirá parte de la pérdida.