Decenas de supermercados de al menos siete países europeos amanecieron este lunes con parte de su género estropeado. Un ciberataque subió la temperatura de las cámaras frigoríficas de varios establecimientos, en algunos casos hasta los 50 grados, echando a perder productos frescos y congelados. Los países más afectados fueron Bélgica y Suecia, pero también se registraron problemas en Luxemburgo, Países Bajos, Irlanda, Estonia y Finlandia.
Los ataques prueban que, en un mundo hiperconectado, las infraestructuras críticas son vulnerables. Esta vez fueron los supermercados, mañana puede ser un hospital
Decenas de supermercados de al menos siete países europeos amanecieron este lunes con parte de su género estropeado. Un ciberataque subió la temperatura de las cámaras frigoríficas de varios establecimientos, en algunos casos hasta los 50 grados, echando a perder productos frescos y congelados. Los países más afectados fueron Bélgica y Suecia, pero también se registraron problemas en Luxemburgo, Países Bajos, Irlanda, Estonia y Finlandia.
Lo llamativo del caso es que pasó exactamente lo mismo hace tan solo tres semanas, esta vez en Francia. Tanto en ese incidente como en el de este lunes, los ciberdelincuentes lograron entrar en el software usado para controlar a distancia los sistemas de refrigeración, para subir a continuación la temperatura de las cámaras frigoríficas.
Los ciberataques a las neveras dicen mucho sobre la situación de vulnerabilidad en la que está la sociedad. Y plantea varios interrogantes: ¿Qué ha pasado exactamente? ¿Cómo es posible que suceda algo así dos veces seguidas? ¿Qué implicaciones tiene este ciberataque? ¿Cómo se puede prevenir? Estas son algunas respuestas (y varias dudas) a estas cuestiones.
Qué se sabe del ciberataque
El ciberataque no se ha lanzado sobre el software de las cadenas de supermercados afectadas. “Por lo que sabemos, se ha dirigido sobre los controladores y supervisores de refrigeración comercial conectados a internet”, explica David Arroyo Guardeño, científico titular del Grupo de Investigación en Ciberseguridad y Protección de la Privacidad (GICP) del CSIC. “El vector de ataque, como en tantas ocasiones, explota interfaces de acceso con fallas de autenticación o autorización. También se han identificado redes de mantenimiento remoto desactualizadas gestionadas por subcontratas locales de climatización y mantenimiento de frío comercial”, indica el informático.
La empresa en el centro del huracán es la danesa Danfoss, una multinacional especializada en sistemas de refrigeración y climatización industrial. El ataque ha sido técnicamente sencillo ―no se ha usado inteligencia artificial (IA) ni parece que haya requerido mucha preparación―, pero ha tenido un gran impacto por haber afectado al sector de la distribución.
Quién ha sido
Es pronto para saberlo. Nadie ha reclamado por el momento la autoría del ataque, ni hay ninguna pista que lleve a conclusiones válidas en este ámbito. “La agencia de ciberseguridad francesa (Annsi) y los servicios de inteligencia de los países afectados lo están tratando como cibersabotaje para colapsar la cadena de suministro alimentaria, y barajan tanto la hipótesis de hacktivistas pro-estatales con fines de guerra híbrida y desestabilización en países europeos como la de grupos criminales oportunistas explotando paneles de control mal configurados”, señala Arroyo.
Qué implicaciones tiene
Los ciberatacantes han demostrado que tienen la capacidad para interceptar las cámaras de frío. Eso debería tomarse como una advertencia. Esta vez han sido supermercados, ocasionando pérdidas económicas a algunas empresas comerciales. Pero la situación podría ser mucho peor. Por ejemplo, inutilizando sistemas de refrigeración de vacunas en un contexto de pandemia. De ahí que deba leerse como una advertencia.
El acontecimiento muestra varias cosas. Para empezar, el hecho de tener miles de sistemas conectados hace que la superficie de ataque (es decir, los dispositivos o procesos susceptibles de ser hackeados) sea cada vez mayor. Los expertos en ciberseguridad suelen decir que la mejor forma de proteger algo contra un ciberataque es no conectarlo; cualquier archivo o programa conectado a internet puede tener algún fallo.
Algunos de esos sistemas conectados controlan procesos físicos esenciales, como la cadena del frío, el suministro energético o las infraestructuras hídricas. Eso significa que, si se descubre una vulnerabilidad (o fallo) en el software con el que se opera alguno de esos sistemas, se puede explotar desde cualquier lugar del mundo con conexión a internet.
Por qué en Europa
Esta vez ha sido en Europa, pero no siempre es así. El Pentágono ha revelado esta semana que está investigando como ciberataque unos fallos registrados en agosto en las cámaras frigoríficas de varias bases militares estadounidenses.
No es el único ciberataque que han sufrido infraestructuras críticas estadounidenses este año. En julio, una serie de ataques afectaron a instalaciones relacionadas con el suministro de agua potable en al menos siete Estados de EE UU. Solo en Atlanta, por ejemplo, los grifos de 300.000 hogares dejaron de surtir agua durante horas después de que alguien (todo apunta a hackers iraníes) saboteara a distancia una estación de bombeo, lo que dificultó el suministro. Hubo ataques similares también en EE UU en 2021 y 2023.
El incidente no tuvo efectos en la salud de los ciudadanos, más allá del llamamiento en algunas localidades a hervir el agua para minimizar el riesgo de contaminación. Pero, igual que el ciberataque de las neveras podría haberse dirigido a las medicinas, los atacantes podrían haber tratado de envenenar el agua subiendo los niveles de cloro, como de hecho ya intentaron hacer en Israel hackers iraníes hace tres años.
Qué otros ataques similares ha habido
Uno de los primeros ciberataques con efectos sobre las infraestructuras críticas de un país de los que se tiene constancia lo sufrió Ucrania. Entre 2015 y 2016, con la anexión de Crimea todavía caliente, Rusia lanzó uno de los ataques más sofisticados que se recuerdan contra infraestructuras energéticas. El virus BlackEnergy dejó sin calefacción a varias ciudades ucranias en pleno invierno, inutilizando de forma sincronizada varias centrales energéticas del país. Según se supo más tarde, el ataque llevó al menos 19 meses de planificación y trabajo a las fuerzas militares rusas.
Aunque ese ataque se lanzó en un contexto de ciberguerra, fue un primer aviso para el mundo: desde un ordenador a miles de kilómetros se puede afectar a la vida de millones de personas.
Cómo se puede evitar que vuelva a pasar
Desde que existe la informática, existen los ciberataques. Y la IA está potenciándolos. La única forma de intentar contrarrestarlos es aumentar la inversión en ciberseguridad. “Tenemos una actividad ciber de altísima intensidad en estos momentos. Los descubrimientos de vulnerabilidades mediante IA, concretamente de zero days [los fallos de código que no ha identificado nadie, ni los propios desarrolladores de ese código], están aumentando muy considerablemente la superficie de exposición. La polarización y el clima político son otro componente que actúa de claro carburante”, resume Arroyo.
En el caso del ataque a las neveras, todo apunta a que una correcta actualización de sistemas podría haber hecho mucho más difícil que alguien pudiera intervenir en la cadena de frío de los alimentos.
Tecnología en EL PAÍS
