Supermercados de EE. UU. y Países Bajos siguen sin entregas tras un ciberataque

Los supermercados de Stop & Shop, Food Lion, Hannaford y Giant en Estados Unidos seguían el lunes 19 de octubre sin sus sitios de compra en línea, una semana después de apagar sistemas por un problema de seguridad. Ese mismo día, Ahold Delhaize, el grupo neerlandés y belga dueño de esas cadenas, despejó la duda que había dejado abierta. La investigación confirmó que detrás del apagón hubo "acciones maliciosas de terceros", es decir, un ciberataque, y la empresa presentó una denuncia ante la policía de Países Bajos.

El grupo, que opera en nueve países y emplea a más de 400.000 personas, había informado el 12 de octubre un "problema de seguridad" en su red, sin decir qué era. Desde entonces desconectó por precaución parte de sus sistemas, incluidas las webs y las aplicaciones de sus marcas, lo que afectó a la mayoría de ellas en Europa y en Estados Unidos con distinta intensidad. Las tiendas siguieron abiertas en todo momento.

Una semana sin pedidos

El golpe más visible estuvo en Países Bajos. Albert Heijn, la cadena de supermercados más grande del país, volvió a tener web y aplicación, pero según el comunicado de Ahold Delhaize recién retomará las entregas a domicilio el viernes 23 de octubre. Según la agencia Reuters, serán al menos once días sin envíos para una cadena que vende en línea cerca del 10 % de lo que factura. Etos y Gall & Gall, las cadenas de droguerías y de bebidas del grupo, ya tienen sus sitios disponibles.

En Bélgica, el comercio electrónico de Delhaize funciona por completo y las entregas volvieron durante el fin de semana. En Europa central y del sudeste, la mayoría de los sitios y aplicaciones están otra vez en línea.

En Estados Unidos la recuperación va más lenta. La empresa espera que la venta en línea de sus marcas vuelva "en los próximos días", sin fecha concreta. Al comienzo del incidente, empleados de Stop & Shop contaron que no podían ver sus turnos ni sus recibos de sueldo, y un memo interno de Food Lion advertía que las tiendas podían no estar en condiciones de armar ni entregar pedidos, según BleepingComputer. Reuters agregó que varias tiendas tienen problemas de abastecimiento, porque los canales de distribución también quedaron alcanzados.

"Aunque este incidente fue causado por las acciones maliciosas de otros, pedimos disculpas por las molestias", dijo el presidente ejecutivo, Frans Muller, para quien la investigación confirmó que apagar los sistemas fue la decisión correcta.

Sin pruebas de robo de datos, por ahora

Ahold Delhaize afirma que, por ahora, no tiene pruebas de que se hayan llevado datos sensibles de clientes, empleados o socios. La investigación sigue abierta y la empresa no dijo quién está detrás, qué buscaba ni si hubo un pedido de rescate. "No compartimos más detalles que puedan comprometer las medidas de seguridad o interferir con nuestra respuesta", explicó. Avisó al Centro Nacional de Ciberseguridad de Países Bajos (NCSC) dentro de las 24 horas de detectar la actividad sospechosa.

Para el grupo no es la primera vez. En noviembre de 2024, un ataque de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.) contra sus sistemas de Estados Unidos, atribuido al grupo INC Ransom, expuso información personal, financiera y de salud de más de 2,2 millones de personas, según BleepingComputer.

El frío de Francia es otra historia

El apagón de Ahold Delhaize empezó el domingo 11 de octubre, el mismo día en que, por la noche, atacantes desconocidos reprogramaron a distancia los controladores de refrigeración de cientos de supermercados de Francia, la mayoría con equipos de la danesa Danfoss, un caso que LatamByte siguió en su primera nota y en la que sumó 700 supermercados afectados. La coincidencia de fechas y de rubro invitaba a sospechar un vínculo.

Ninguna fuente lo establece. Según Reuters, el NCSC neerlandés dijo que no hay motivos para creer que el incidente en Países Bajos esté directamente relacionado con ciberataques en otros países. Ahold Delhaize no mencionó a Danfoss ni a la refrigeración en ninguno de sus tres comunicados, y lo que describe son sistemas informáticos, sitios y aplicaciones, no equipos de frío. El ataque francés, además, apuntó a controladores conectados a internet de varias cadenas que no pertenecen al grupo, como Intermarché, Super U, Carrefour y E.Leclerc.

Lo que queda pendiente es Estados Unidos, donde los clientes siguen sin poder pedir en línea, y el detalle de qué pasó. La próxima cita es el 4 de noviembre, cuando Ahold Delhaize publique sus resultados del tercer trimestre.