Seguro cyber: los eventos de la semana del 31 de octubre al 7 de noviembre de 2026

Cinco eventos cyber de la semana del 31 de octubre al 7 de noviembre de 2026, desde la nueva oleada de ataques a los sistemas de refrigeración de supermercados europeos hasta Crédit Mutuel Arkéa, Chainalysis, DigiCert y Queens Public Library, unidos por sistemas expuestos y proveedores usados como puerta de entrada. Con el impacto asegurador y las preguntas para las renovaciones.

Semana del 31 de octubre al 7 de noviembre de 2026

La semana del 31 de octubre al 7 de noviembre de 2026 tiene un hilo común: sistemas dejados expuestos, a veces durante años, que se convierten en la puerta de entrada. En Europa una segunda oleada de ataques golpea los sistemas de refrigeración de supermercados con software anticuado y contraseñas predeterminadas, hasta Sicilia. En Francia un banco cooperativo pierde unos 100 millones de euros a través de la plataforma de un proveedor. Una autoridad de certificación descubre que un sistema interno permaneció accesible desde internet durante más de 16 meses, y una empresa de análisis de blockchain admite que el ataque de finales de octubre expuso también contraseñas de clientes. Para quien hace la suscripción del riesgo cyber, la pregunta no es solo si el asegurado ha corregido las vulnerabilidades conocidas, sino si sabe qué sistemas tiene realmente expuestos.

En resumen

Sistemas de refrigeración en Europa: en la noche del 1 al 2 de noviembre una nueva oleada golpea supermercados en Bélgica, Suecia, Irlanda, Países Bajos, Portugal, Estonia, Finlandia e Italia; el 4 de noviembre ENISA, la Comisión Europea, Europol y la red de CSIRT publican una declaración conjunta.
Crédit Mutuel Arkéa: el 4 de noviembre el banco confirma un ataque que permitió operaciones fraudulentas; el daño es del orden de 100 millones de euros, convertidos en criptomonedas.
Chainalysis: el 4 de noviembre la empresa confirma que el ataque de finales de octubre expuso también una parte de las contraseñas de los clientes; varios productos siguen fuera de servicio.
DigiCert: un sistema interno permaneció expuesto a internet durante más de 16 meses; entre el 27 de junio y el 2 de julio una cuenta no autorizada consultó datos archivados de clientes, quizá también documentos de identidad.
Queens Public Library: desde el 4 de noviembre un ransomware paraliza la web, la app, el préstamo automático, los ordenadores y el wifi en las 66 sedes de la red de bibliotecas de Nueva York.

Los ataques de la semana

1. Sistemas de refrigeración: la segunda oleada en Europa

En la noche del domingo 1 al lunes 2 de noviembre de 2026 ataques informáticos golpearon los sistemas de refrigeración de supermercados en varios países europeos. En Bélgica los equipos se pusieron en modo descongelación, calentando en lugar de enfriar: se vieron afectadas varias decenas de tiendas Delhaize, 15 Carrefour, entre 10 y 15 Intermarché y 5 Spar. En Suecia, en una tienda ICA, las temperaturas se fijaron en 50 °C y la mercancía se tiró. En Irlanda Musgrave retiró por precaución los productos frescos y congelados de 13 establecimientos SuperValu. También se han señalado casos en Países Bajos, Portugal, Estonia, Finlandia e Italia, donde al menos cuatro supermercados Coop del grupo Radenza en Sicilia resultaron afectados (The Hacker News).

El método recuerda los ataques del 11 de octubre contra cientos de supermercados franceses, que aprovecharon controladores Danfoss AK-SM 800 y AK-SC 355 que el fabricante ya no actualiza. La alerta del CERT-FR cubre también dispositivos Copeland y Dixell xweb. Danfoss indicó que los sistemas afectados en Países Bajos no estaban en una red protegida y seguían usando contraseñas predeterminadas. Nadie ha reivindicado los ataques; el centro belga de ciberseguridad dijo que el responsable quizá nunca se identifique, y la fiscalía federal belga ha abierto una investigación (misma fuente).

El 4 de noviembre ENISA, la Comisión Europea, el centro de Europol contra la ciberdelincuencia, la red de CSIRT de la UE y EU-CyCLONe publicaron una declaración conjunta sobre los incidentes en sistemas de refrigeración comercial de varios Estados miembros, pidiendo reducir de inmediato la exposición de los sistemas. La declaración no atribuye los ataques (ENISA).

2. Crédit Mutuel Arkéa: unos 100 millones salidos de la cuenta del propio banco

El 4 de noviembre de 2026 Crédit Mutuel Arkéa, grupo bancario cooperativo que incluye Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest y Fortuneo, confirmó un ataque informático que permitió «la réalisation d'opérations frauduleuses», y describió el incidente como controlado. Algunas operaciones se suspendieron por precaución, con retrasos en las transferencias. Según Le Télégramme se habrían sustraído unos 118 millones de euros; el banco no ha confirmado la cifra. Los fondos se habrían transferido a otras cuentas y plataformas de intercambio y convertido en criptomonedas; Kraken y Crypto.com habrían bloqueado cuentas vinculadas a los movimientos. El banco declara que el incidente no tendrá consecuencias financieras para los clientes (Le Monde Informatique).

El banco explicó después que los atacantes pasaron por la plataforma de uno de sus proveedores, no nombrado, y usaron la cuenta del propio banco para enviar transferencias a otros bancos, sin tocar las cuentas de los clientes. Habló de un ataque externo sofisticado, descartando un error humano interno, y confirmó solo el orden de magnitud del daño, que podría superar los 100 millones de euros. Nadie ha reivindicado el ataque (DH).

Un experto citado por la misma fuente plantea la pregunta que importa al mercado: si el proveedor también da servicio a otros bancos, el riesgo no afecta a una sola entidad.

3. Chainalysis: de los correos a las contraseñas

El 30 de octubre de 2026 Chainalysis, empresa de análisis de blockchain, había comunicado un ataque, precisando que no estaba relacionado con el robo a Binance. El primer análisis indicaba que solo se habían expuesto identificadores de usuario, nombres, correos y roles, sin acceso a credenciales ni a tokens de sesión. El 4 de noviembre la empresa confirmó que un ataque de tipo «on-path» había expuesto también una parte de las contraseñas de los clientes, y que el vector estaba contenido. Reactor, Data Solutions y Chain (Beta) se apagaron por precaución; KYT, los demás productos de verificación de direcciones y la página de acceso se detuvieron por actividad anómala, y en la fecha del artículo estaban parcialmente restablecidos. Chainalysis impuso el cambio de contraseña a todos los usuarios y pidió a los clientes rotar las claves API. Ningún grupo ha reivindicado el ataque (TechRadar).

El daño no se queda en Chainalysis: los clientes usan KYT y los demás productos para verificar transacciones y direcciones, y una parada de esos servicios se traduce en controles suspendidos o manuales en sus empresas.

4. DigiCert: 16 meses de exposición sin detectar

El 6 de noviembre de 2026 se supo que DigiCert, autoridad de certificación, sufrió un acceso a datos archivados de clientes. En febrero de 2025 un sistema empresarial interno se trasladó de una red protegida por VPN a otra zona y quedó accesible desde internet; siguió así durante más de 16 meses. El sistema tenía una función de autorregistro que permitía a cualquiera crear una cuenta sin autenticación multifactor, y un fallo en los permisos dejaba a esas cuentas consultar datos archivados. DigiCert encontró las cuentas no autorizadas el 18 de junio de 2026 pero las consideró inofensivas; el 2 de julio cerró el registro; el 19 de octubre confirmó que una cuenta había consultado una parte de los registros entre el 27 de junio y el 2 de julio (The Register).

Están afectados nombres, correos de empresa, teléfonos y direcciones; algunos registros podrían contener pasaportes, permisos de conducir o facturas aportados para la verificación de identidad. DigiCert no ha indicado el número de clientes afectados y declara que las actividades de la autoridad de certificación, CertCentral y DigiCert ONE no se vieron afectadas, sin pruebas de certificados emitidos, revocados o validados por la cuenta no autorizada (misma fuente).

5. Queens Public Library: 66 sedes sin sistemas

El 4 de noviembre de 2026 la Queens Public Library, en Nueva York, informó de una caída de la red en todo el sistema, atribuida después a un ransomware. Al día siguiente estaban fuera de servicio la web y la app, las máquinas de préstamo y devolución, las renovaciones, los ordenadores de las sedes y el wifi gratuito; las 66 sedes permanecieron abiertas. La biblioteca trabaja con la policía de Nueva York, socios federales y expertos externos; la policía colabora con el FBI. No se ha indicado el grupo responsable ni si se han sustraído datos, y no hay fecha para el restablecimiento (NY1).

Otros eventos a destacar

Binance (criptomonedas): el 31 de octubre el FBI atribuye el robo de 6.300 millones de dólares al grupo norcoreano TraderTraitor; el 1 de noviembre el exchange reabre los retiros por fases y en pocas horas registra una salida neta de 3.600 millones, el 2,1% de los activos.
Amadeus (transporte aéreo): las aerolíneas afectadas por el acceso al sistema de reservas ascienden al menos a 15; el 3 de noviembre Singapore Airlines comunica unos 46.000 registros, Condor confirma datos de vuelos internacionales y Qantas comprueba su exposición.
Synology (tecnología): el grupo C3RB3R cifra NAS con versiones de DSM sin actualizar, aprovechando fallos corregidos entre finales de 2024 y septiembre de 2026.
QNAP y Plex (tecnología): QNAP señala NAS comprometidos a través de los cuatro fallos Plex2Shell de Plex Media Server y advierte de que la actualización no elimina los programas ya instalados por los atacantes.

Impacto asegurador

El cuadro común es la exposición no gestionada: dispositivos y sistemas accesibles desde internet que el asegurado no controla o no sabe que tiene. Para cada evento, el posible impacto en las pólizas puede leerse así.

Sistemas de refrigeración. Coberturas potencialmente activadas: daños a bienes de terceros y mercancía deteriorada, interrupción de actividad, gestión del incidente. Potencial de acumulación: muy alto, porque los mismos controladores están instalados en miles de tiendas en varios países. Nodo contractual: el daño físico derivado de un evento cyber, que puede quedar entre la póliza cyber y la póliza de daños, y las posibles exclusiones para sistemas sin soporte.
Crédit Mutuel Arkéa. Coberturas potencialmente activadas: fraude informático y transferencia fraudulenta de fondos, gestión del incidente. Potencial de acumulación: medio-alto si el proveedor da servicio a otros bancos. Nodo contractual: la frontera entre póliza crime y póliza cyber para la pérdida directa de fondos, y el papel del proveedor en la cadena de responsabilidad.
Chainalysis. Coberturas potencialmente activadas: interrupción de actividad, responsabilidad frente a los clientes, notificación. Potencial de acumulación: medio, para los clientes que dependen de los servicios de verificación de transacciones. Nodo contractual: la interrupción dependiente en los clientes y la duración de la parada de los productos.
DigiCert. Coberturas potencialmente activadas: notificación, responsabilidad por privacidad, gestión del incidente. Potencial de acumulación: bajo para los datos, pero a seguir por la posición central del emisor. Nodo contractual: una exposición iniciada en 2025 y descubierta en 2026, frente a la retroactividad y la fecha de descubrimiento.
Queens Public Library. Coberturas potencialmente activadas: restablecimiento, interrupción de servicios, extorsión, notificación. Potencial de acumulación: bajo. Nodo contractual: los costes extraordinarios para mantener abiertos los servicios públicos con los sistemas parados.

El daño cyber se vuelve físico. Los ataques a los sistemas de refrigeración destruyen mercancía y pueden dañar equipos. Es un escenario que pone a prueba las definiciones de daño material y las exclusiones en las pólizas cyber y de daños.

El proveedor es la puerta de entrada. Crédit Mutuel Arkéa apunta a la plataforma de un proveedor, y Chainalysis es a su vez proveedor de muchos operadores. El riesgo se desplaza del asegurado a sus dependencias.

La exposición dura más que el ataque. DigiCert deja un sistema accesible durante 16 meses y los controladores de los supermercados llevan años sin soporte. Importan el inventario de los sistemas expuestos y las fechas de descubrimiento, más que el ataque concreto.

Qué llevar a las renovaciones

¿Tiene el asegurado un inventario de los dispositivos de control (refrigeración, climatización, instalaciones) accesibles desde internet, y quién los gestiona?
¿Están los dispositivos sin soporte del fabricante aislados de la red pública, y se han cambiado las contraseñas predeterminadas?
¿Cubre la póliza el daño a bienes y mercancía causado por un ataque informático, o remite a la póliza de daños?
¿Cómo se tratan las pérdidas directas de fondos por transferencias fraudulentas, y qué póliza responde entre crime y cyber?
¿Qué proveedores tienen acceso a los sistemas de pago o a las cuentas del asegurado, y con qué controles?
¿Cómo verifica el asegurado que un cambio de red o de configuración no expone sistemas internos a internet?
¿Qué servicios externos son indispensables para las obligaciones legales del asegurado, como la verificación de transacciones, y qué ocurre si se detienen?

En el lado de la cartera conviene censar a los asegurados de la gran distribución y de la logística del frío que usan controladores expuestos, y tratar a los proveedores de plataformas bancarias y de servicios de verificación de transacciones como puntos de acumulación compartidos.