Esta semana, un ciberataque a gran escala afectó los sistemas de refrigeración de unos 700 supermercados en Francia, provocando el mal funcionamiento repentino de los equipos. El incidente resultó en la pérdida de toneladas de productos perecederos y, en algunos casos, generó incendios. Las autoridades francesas atribuyen el suceso a fallas básicas de ciberseguridad.
Los sistemas comprometidos, que abarcan flotas completas de refrigeradores y congeladores en las tiendas, fueron atacados a través de controladores conectados a Internet. Estos dispositivos permiten a los técnicos administrar de forma remota los sistemas de toda la tienda. Los atacantes, aún no identificados, activaron los descongeladores el tiempo suficiente para que los refrigeradores alcanzaran temperaturas de hasta 50 grados Celsius (122 grados Fahrenheit). Al momento del descubrimiento, la comida ya estaba dañada y, en ciertos casos, los sistemas eléctricos se habían incendiado.
Vulnerabilidades Críticas en Controladores
Diversas alertas de seguridad e informes de investigación pública ya habían señalado vulnerabilidades críticas en los tres modelos de controladores presuntamente atacados. Estos equipos son comercializados por Danfoss de Dinamarca, y Dixell, junto a su empresa matriz Copeland, de Estados Unidos.
Hasta hace poco, los controladores de Danfoss, por ejemplo, utilizaban una credencial que cambiaba diariamente. Esta contraseña era generada por el firmware disponible públicamente, basándose en la fecha. Un atacante que analizara el código podría replicar este proceso en cualquier dispositivo que no hubiera recibido una actualización reciente. Lo más preocupante es que las contraseñas diarias eran idénticas en modelos ubicados en cientos o miles de tiendas.
De manera similar, una serie de vulnerabilidades críticas corregidas en los últimos meses en los controladores de Copeland y Dixell también permitían el acceso remoto con derechos de administrador. La existencia de estas fallas preexistentes subraya la importancia de mantener el software actualizado.
Medidas de Seguridad Ignoradas
Además de operar con firmware desactualizado, es probable que los supermercados afectados no hubieran implementado protecciones estándar. Entre ellas se incluyen la configuración de los dispositivos detrás de una VPN y la creación de una lista restringida de direcciones IP autorizadas para el acceso. Estas medidas son fundamentales, pero a menudo se omiten.
La falta de estas salvaguardas facilitó un ciberataque masivo que, según estimaciones, podría haber costado entre decenas y cientos de millones de euros. Además de Francia, se reportaron afectaciones en España, Portugal, Polonia, Alemania y Bélgica.
“Dos cosas habrían cambiado el resultado”, señalaron investigadores de Pen Test Partners. “La ciberhigiene habría evitado el acceso: desconectar el controlador de la Internet pública, poner el acceso remoto detrás de una VPN y una lista de permisos de IP, introducir equipos de terceros en la red de manera controlada y documentada en lugar de dejarlos en la conexión de un contratista, cambiar las credenciales conocidas y predeterminadas, y aplicar parches a una versión actual.”
Firmas de seguridad como Claroty, en octubre, y la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA), en febrero, ya habían advertido sobre los riesgos de ignorar estas prácticas de sentido común.
Respuestas de los Fabricantes y Motivos Desconocidos
En un correo electrónico, Copeland reconoció una vulnerabilidad “identificada en una generación de controladores descontinuada y al final de su vida útil”. La compañía afirmó estar trabajando con sus clientes para prevenir incidentes similares en el futuro. Por su parte, representantes de Danfoss no respondieron de inmediato, aunque CNN reportó que la empresa también citó modelos descontinuados.
Hasta el momento, los responsables del ataque han permanecido en silencio. Esto plantea la posibilidad de que el motivo haya sido el vandalismo a gran escala. Otra hipótesis es que se trate de un actor estatal u otro grupo internacional con el objetivo de generar una interrupción a nivel continental.
La Lección de la Ciberseguridad
Este incidente resalta la tensión que existe entre los departamentos financieros y de seguridad en la mayoría de las empresas. Algunas compañías son reacias a invertir grandes sumas de dinero en equipos nuevos si no hay beneficios o ahorros tangibles inmediatos. Solo después de un hackeo devastador se dan cuenta de la validez de dicha inversión.
Es probable que los ejecutivos de las cadenas de supermercados afectadas aprendan estas duras lecciones. Sin embargo, no está claro si este caso de advertencia influirá en otras empresas para que refuercen sus defensas cibernéticas antes de que sea demasiado tarde.
📝 Basado en información de arstechnica.com
