Ciberataque a la refrigeración afecta 700 tiendas francesas

Los atacantes alteraron durante el fin de semana la configuración de los sistemas de refrigeración de supermercados franceses, y los responsables de las tiendas tuvieron que decidir qué alimentos refrigerados y congelados seguían siendo seguros para la venta. El ministro de Economía, Roland Lescure, dijo el 13 de octubre ante la Asamblea Nacional que el ataque había afectado a unos 700 de las cerca de 10.000 tiendas de alimentación del país. Al principio se temió que hubiera problemas de suministro, pero no se produjo un desabastecimiento nacional (Dailymotion, BFMTV). En un supermercado grande, los sistemas de refrigeración dependen de controladores conectados a la red; esta semana ha mostrado qué ocurre cuando alguien ajeno modifica su configuración.

Que una tienda se haya visto afectada no significa que sus alimentos se hayan estropeado. La cifra de Lescure cuenta los establecimientos atacados, no los que tuvieron que tirar comida. En un Intermarché de Gradignan, un agente judicial valoró en 21.000 euros el coste de compra de los productos estropeados (Le Monde). En nuestra cobertura de la primera noche contamos los daños iniciales; desde entonces ha aumentado la cifra oficial y se ha detectado manipulación en equipos de una segunda marca.

Un panel de control con acceso desde la web

Un supermercado grande no gestiona cada expositor como si fuera una nevera doméstica. Un controlador central supervisa el sistema, como el panel del termostato de un edificio de oficinas. Los técnicos lo usan para vigilar las temperaturas y las alarmas de toda la instalación, a menudo desde una página web a la que pueden acceder a distancia. Entre sus tareas habituales está el desescarche: calentar brevemente las bobinas de refrigeración para derretir el hielo acumulado.

Los distribuidores dicen que los atacantes modificaron esa configuración, con parámetros de desescarche de hasta 50 °C (BFMTV). Esa cifra se introdujo en el controlador; no es la temperatura que alcanzó un yogur. Tras la manipulación, las tiendas ya no podían garantizar que se hubiera mantenido la cadena de frío, así que tuvieron que revisar los alimentos y, en algunos casos, desecharlos.

El equipo francés de alerta nacional de ciberseguridad, CERT-FR, confirmó que se habían vulnerado numerosos controladores Danfoss AK-SM y AK-SC. Consideró una mala práctica que las páginas de gestión estuvieran directamente expuestas a internet (CERT-FR). Es como instalar en la acera el panel que controla la temperatura de un edificio.

Danfoss, el fabricante danés, ofreció su propia versión. Afirmó que la mayoría de los equipos afectados eran modelos antiguos que había retirado del mercado, una línea en 2016 y otra en 2021, y que sus propias redes no se habían visto comprometidas (Cooling Post). Los investigadores aún no han publicado cómo accedieron los atacantes a los sistemas.

La noche del 12 al 13 de octubre, la lista se amplió: varios establecimientos que utilizan controladores de otro fabricante, Dixell, denunciaron manipulaciones similares (Le Monde). En un supermercado de Gironde, el personal detectó los cambios antes de que hubiera que tirar alimentos. Aún no está claro si los mismos atacantes están detrás de los casos relacionados con Dixell.

Estantes vacíos en Bélgica, por otro motivo

Otro incidente al otro lado de la frontera afectó a los estantes por problemas logísticos, no de refrigeración. El domingo 11 de octubre, Ahold Delhaize, propietaria de Albert Heijn y Delhaize, detectó un problema de seguridad en su red y desconectó varios sistemas como medida preventiva (Ahold Delhaize). Las tiendas siguieron abiertas, pero dejaron de funcionar los pedidos y las entregas en línea. El director de Albert Heijn dijo que la actividad se había detenido por completo en algunos de los siete grandes centros de distribución de la cadena en Países Bajos (NOS).

Las tiendas belgas de Albert Heijn dependen de uno de esos centros, situado en Tilburg (VRT), y los medios belgas pronto mostraron estantes vacíos en un establecimiento de Roeselare. La coincidencia en el tiempo invita a relacionar ambos incidentes, pero Ahold dijo que no había indicios de conexión y el Centro Nacional de Ciberseguridad de Países Bajos afirmó que «por ahora no ve motivos para suponer» que la hubiera (Security.NL).

El punto débil detectado en Francia también existe en otros países. El medio danés de ingeniería Ingeniøren encontró 51 sistemas antiguos de refrigeración Danfoss accesibles desde internet en Dinamarca, aunque no se ha informado de que ninguno haya sido atacado (Ingeniøren). Es una cifra de puertas abiertas, no de intrusiones. CERT-FR advierte de que restablecer un dispositivo sin soporte que sigue expuesto a internet lo deja vulnerable a nuevos ataques (CERT-FR). Los distribuidores y sus técnicos de refrigeración no necesitan esperar a que se haga público el método usado en Francia: si se desconecta el controlador de internet o se sustituye, será mucho más difícil que alguien ajeno acceda a él.