Hackers fuerzan el deshielo en supermercados franceses

Unos intrusos accedieron durante la noche del domingo 11 al lunes 12 de octubre a los ordenadores que controlan la refrigeración de supermercados franceses. Al llegar, el personal encontró productos frescos y congelados que ya no podía vender (Euronews). Intermarché y su cadena hermana Netto contabilizaron al menos 300 establecimientos afectados (AFP vía TV5Monde), pero nadie ha explicado públicamente cómo entraron los atacantes.

Cómo se ordena a un frigorífico que caliente

Un gran supermercado tiene decenas de vitrinas refrigeradas y congeladores coordinados por un ordenador central. Danfoss, el fabricante danés de los controladores afectados, describe sus «gestores de sistemas» AK-SM como el punto desde el que los técnicos modifican ajustes, horarios y alarmas, incluso a distancia mediante un navegador web (Danfoss). En la práctica, es un panel central de control que un técnico de mantenimiento puede consultar desde fuera del establecimiento.

Una de las operaciones que controla ese panel es el desescarche. Los serpentines de refrigeración, los tubos metálicos que enfrían cada vitrina, acumulan hielo poco a poco. El sistema los calienta durante un breve periodo para derretirlo, como al descongelar un congelador doméstico, pero de forma automática.

Las cadenas afirmaron que los intrusos forzaron ese ciclo en sus equipos, con consignas de hasta 50 °C (BFMTV). Esa cifra corresponde a la instrucción introducida en el controlador: indica qué temperatura debía alcanzar el serpentín, que no es necesariamente la que alcanzó un envase de pollo en el estante.

Para los alimentos importa más cuánto dura la interrupción. Les Mousquetaires, el grupo propietario de Intermarché, dijo a Reuters que los equipos de una primera tanda de unos 150 establecimientos permanecieron calientes alrededor de seis horas (Reuters vía Boursorama). Si la refrigeración se interrumpe durante tanto tiempo, el establecimiento ya no puede garantizar en qué condiciones se conservaron los productos y debe desecharlos. El presidente del grupo, Thierry Cotillard, cifró las pérdidas en decenas de millones de euros en un solo día (BFMTV), una estimación inicial que aún no se ha auditado.

Cientos de establecimientos, sin una cifra definitiva

El recuento siguió aumentando el lunes. En un despacho posterior, AFP situó en más de 100 los establecimientos afectados de Coopérative U (AFP). Carrefour dijo a Reuters que el ataque alcanzó 80 de sus tiendas y Monoprix, alrededor del 5% de sus cerca de 490 establecimientos (Reuters).

E.Leclerc confirmó interrupciones en varios establecimientos tras un ataque contra un proveedor de refrigeración, y Metro dijo que habían atacado a un proveedor externo. Ninguna de las dos cadenas dio una cifra (Le Monde). Algunas cadenas no han facilitado datos y otras los revisaron a lo largo del día, así que por ahora no existe un total nacional fiable.

Una puerta de entrada aún sin identificar

El equipo francés de respuesta a emergencias cibernéticas, CERT-FR, informó de numerosas intrusiones en controladores Danfoss AK-SM y AK-SC. Advirtió de que dejar sus pantallas de gestión expuestas en internet va en contra de las buenas prácticas (CERT-FR).

Danfoss afirmó que la mayoría de los equipos afectados eran modelos antiguos que ya no reciben actualizaciones de seguridad. En los modelos más recientes que también sufrieron ataques, el firmware estaba desactualizado (Cooling Post). La empresa dijo a la agencia danesa Ritzau que sus propios sistemas informáticos no se vieron afectados (Ritzau vía DKNyt).

Varios investigadores ya habían estudiado estos equipos. El equipo Team82 de Claroty mostró cómo los fallos de un modelo de controlador Danfoss podían permitir que un atacante manipulara la refrigeración. En un análisis de internet encontró 2.765 pantallas de gestión de ese tipo accesibles en línea (Claroty Team82). Ninguna fuente pública demuestra que esos fallos concretos se utilizaran en Francia.

La Fiscalía de París ha abierto una investigación para contabilizar a las víctimas y determinar si la comida estropeada y los incendios denunciados fueron consecuencia del ataque (France 24/AFP). Según una fuente cercana al primer ministro, la agencia nacional de ciberseguridad, ANSSI, detectó una vulnerabilidad en el software del proveedor danés y busca otras empresas francesas expuestas (Franceinfo).

Cientos de establecimientos han confirmado daños en sus propias existencias. La vía de entrada sigue sin demostrarse; corresponde a la Fiscalía y a la ANSSI esclarecerla. Hasta que lo hagan público, cualquier tienda que utilice estos controladores tiene motivos para comprobar si su panel de gestión es accesible desde fuera.