Puntos clave:
- Una segunda oleada de ciberataques ha afectado a los sistemas de refrigeración de supermercados en al menos seis países europeos.
- En Bélgica, unos 75 establecimientos sufrieron el incidente, entre ellos tiendas de Delhaize, Carrefour e Intermarché.
- Los atacantes activaron el modo de descongelación o elevaron la temperatura de los equipos, lo que provocó la pérdida de productos.
- Los primeros indicios apuntan a que el método coincide con el utilizado contra unos 700 supermercados franceses los días 11 y 12 de octubre.
- La agencia francesa de ciberseguridad advirtió de que los controladores remotos expuestos a internet presentan un riesgo elevado.
Seis países afectados
Los incidentes se conocieron el 2 de noviembre. Según Euronews, en Bélgica se produjeron entre la noche del domingo y la mañana del lunes y afectaron a unos 75 establecimientos. El desglose publicado, que incluye también el establecimiento de IKEA en Mons, es el siguiente:
- unos 40 establecimientos Delhaize Proxy;
- 15 tiendas Carrefour Shop & Go;
- 15 establecimientos de Intermarché;
- cinco tiendas Spar situadas en gasolineras Q8;
- el establecimiento de IKEA en Mons.
Carrefour Bélgica informó de que 15 de sus 700 tiendas se vieron afectadas. Ninguna era un hipermercado y la empresa calificó el impacto de «muy limitado». Todos los establecimientos permanecieron abiertos. La fiscalía federal belga ya ha iniciado una investigación.
En Suecia, los ataques afectaron a tiendas de ICA y Coop. Según los primeros informes, algunos frigoríficos y congeladores fueron programados para alcanzar los 50 °C. En Irlanda, Musgrave confirmó que 13 establecimientos SuperValu se vieron afectados. También se registraron incidentes en los Países Bajos, Finlandia y Estonia. Como medida preventiva, Delhaize suspendió sus sistemas de pedidos en Luxemburgo.
El mismo método que en Francia
La primera oleada se produjo en Francia durante la noche del 11 al 12 de octubre. Según Roland Lescure, ministro de Finanzas, unos 700 de los 10.000 supermercados del país resultaron afectados. Entre ellos había establecimientos de Intermarché, Netto, Coopérative U, Carrefour y Monoprix, informó Associated Press. Lescure afirmó que el ataque había afectado al corazón de la seguridad alimentaria del país.
Según el instituto español de ciberseguridad INCIBE-CERT, algunos equipos llegaron a alcanzar los 50 °C durante varias horas. Los supermercados tuvieron que retirar alimentos frescos y congelados, mientras que en algunos establecimientos se produjeron pequeños incendios. Las pérdidas ascendieron a decenas de millones de euros.
En ambos episodios, los atacantes tomaron el control de los sistemas de gestión remota de la refrigeración. Stephan Moelans, consejero delegado de la empresa belga de refrigeración Sabcobel, explicó que los evaporadores fueron puestos en modo de descongelación, igual que en Francia. A su juicio, no bastará con actualizar el software: también habrá que realizar cambios físicos en las instalaciones.
Software antiguo y expuesto a internet
El aviso del CERT-FR, la agencia francesa de ciberseguridad, incluye entre los equipos afectados controladores remotos de Danfoss, Copeland y Dixell. El organismo advierte de que mantener conectado a internet un dispositivo fuera de soporte y sin parches de seguridad hace que una intrusión sea «muy probable». Además, exponer directamente a internet una interfaz de gestión contradice las buenas prácticas de seguridad.
Danfoss señaló que la mayoría de los sistemas afectados eran productos antiguos que ya no recibían actualizaciones de seguridad. La compañía recomendó mantener los equipos actualizados y utilizarlos detrás de un cortafuegos.
Una señal de alarma para la cadena de frío
Aunque los objetivos fueron supermercados, el mismo tipo de equipos controlados a distancia también se utiliza en almacenes frigoríficos, centros de distribución y otras instalaciones logísticas con temperatura controlada. El CERT-FR recomienda a los operadores:
- eliminar la exposición directa a internet de los controladores de refrigeración;
- revisar toda la configuración, incluidos los calendarios de descongelación;
- permitir el acceso remoto únicamente mediante una VPN segura o una red protegida;
- actualizar el firmware y cambiar las contraseñas predeterminadas.
El CERT-FR también subraya que restablecer un dispositivo a la configuración de fábrica no basta. El equipo seguirá siendo vulnerable y podría volver a ser atacado.
Estos incidentes forman parte de una tendencia más amplia. Según la agencia de ciberseguridad de la Unión Europea, ENISA, el 47 % de las organizaciones incluye los ataques a la cadena de suministro entre sus principales amenazas digitales. Solo el ransomware obtiene una proporción mayor, con un 55 %. Muchos responsables de logística prevén ciberataques, pero aun así siguen reduciendo los presupuestos destinados a seguridad.
Nadie ha reivindicado ninguna de las dos oleadas de ataques y las autoridades no descartan ninguna hipótesis.
