Un ciberataque contra las neveras de supermercados en cinco países europeos ha provocado que decenas de establecimientos tengan que retirar grandes cantidades de alimentos. En una tienda ICA Kvantum de Sjöbo, en Suecia, los sistemas frigoríficos llegaron a tener una temperatura programada de 50 grados después de que alguien la modificase a distancia. Y lo peor es que ya había ocurrido antes.
El incidente se produjo durante la noche del 1 al 2 de noviembre y afectó a cadenas como Carrefour, Delhaize, ICA, Coop y SuperValu en Bélgica, Suecia, Luxemburgo, Irlanda y Estonia. Hace apenas tres semanas un ataque similar afectó a cientos de supermercados franceses, que tuvieron que deshacerse de toneladas de comida. Ya son seis los países europeos que han sufrido incidentes de este tipo en menos de un mes.
Carrefour, Delhaize e ICA, entre las cadenas afectadas
Carrefour es una de las empresas afectadasEn Bélgica, unas 40 tiendas Delhaize y 15 establecimientos Carrefour han sufrido problemas con sus instalaciones frigoríficas, a los que hay que sumar varios supermercados Spar. Delhaize, que por ahora habla de un "incidente informático", alertó durante la madrugada a sus responsables después de detectar aumentos anormales de temperatura. En algunos comercios, los trabajadores tuvieron que retirar la mercancía afectada.
Carrefour, por su parte, asegura que el impacto en sus establecimientos belgas ha sido muy limitado. De las más de 700 tiendas que tiene en el país, únicamente 15 sufrieron alteraciones leves, principalmente en instalaciones de congelados. Ningún hipermercado resultó afectado y todos permanecieron abiertos, después de que la cadena adoptase medidas para contener el incidente.
En Suecia, ICA ha reconocido que el problema afecta a un número limitado de sus tiendas, aunque todavía no ha facilitado una cifra concreta. Coop también ha registrado incidencias en aproximadamente siete establecimientos. Uno de los casos más graves se ha producido en Sjöbo, donde Rickard Nilsson, gerente de un ICA Kvantum, descubrió que las neveras habían sido ajustadas a 50 grados.
"No podemos ajustar las temperaturas… Todo está destruido", explicaba Nilsson, que calcula unas pérdidas equivalentes a entre 26.000 y 43.000 euros aproximadamente. A esto hay que añadir los problemas en otras tiendas suecas, donde también se ha retirado mercancía. Los alimentos frescos y congelados pueden tener que desecharse cuando se rompe la cadena de frío, aunque los equipos vuelvan a funcionar.
La lista de afectados también incluye a Luxemburgo, donde Delhaize ha sufrido incidencias en sus sistemas frigoríficos. En Irlanda, 13 supermercados SuperValu han tenido que retirar productos frescos y congelados después de que su propietario, Musgrave, detectase un incidente informático. Las tiendas permanecieron abiertas, aunque la compañía está investigando lo ocurrido con un modelo concreto de sus equipos de refrigeración.
Estonia completa la lista de países afectados por esta nueva oleada. Allí, los atacantes accedieron al ordenador que controlaba las neveras de un establecimiento Selver y modificaron la temperatura programada hasta los 50 grados. La empresa encargada del mantenimiento detectó el problema en unos diez minutos y consiguió restablecer el funcionamiento normal poco después, evitando que se estropeasen los alimentos.
Los atacantes convirtieron las neveras en hornos sin apagar la refrigeración
Para entender cómo ha sucedido hay que fijarse en los equipos que controlan las instalaciones frigoríficas. Muchos supermercados utilizan sistemas conectados a internet que permiten supervisar las temperaturas y realizar ajustes sin desplazarse hasta el establecimiento. Los atacantes consiguieron acceder a estos controles y activaron a distancia el modo de desescarche, utilizado habitualmente para eliminar el hielo acumulado.
Esta función utiliza calor para retirar la escarcha que se forma durante el funcionamiento normal de las cámaras. Si permanece activada indebidamente, la temperatura puede aumentar hasta estropear los alimentos almacenados. Por eso, los atacantes no necesitaron apagar los equipos de refrigeración: les bastó con manipular una función que ya estaba incorporada en ellos y que normalmente no supone ningún peligro.
En Bélgica, la empresa especializada en refrigeración Sabcobel detectó unas 20 instalaciones comprometidas y movilizó a su personal durante la madrugada para desconectarlas de la red. Su director, Stephan Moelans, ha explicado que llevaban semanas trabajando para proteger los equipos de sus clientes después de lo sucedido en Francia, aunque algunos seguían siendo vulnerables.
Moelans también ha señalado que una simple actualización de los programas no basta para proteger determinadas instalaciones, que necesitan modificaciones físicas o conexiones más seguras. La mayoría de sus clientes habían adoptado medidas después del incidente francés, pero eso no ha impedido que algunos establecimientos vuelvan a sufrir problemas apenas tres semanas después.
Francia ya había advertido de estos problemas hace tres semanas
El precedente francés resulta especialmente relevante porque las autoridades ya habían identificado algunas de las deficiencias que permitieron el ataque. Entre el 11 y el 12 de octubre, unos 700 supermercados se vieron afectados, según las cifras facilitadas por el ministro Roland Lescure. Otras estimaciones hablaban de más de 350 tiendas atacadas directamente, aunque no todas las instalaciones sufrieron las mismas consecuencias.
Las pérdidas fueron considerables. En un supermercado de Wasselonne, por ejemplo, los daños alcanzaron los 220.000 euros, mientras que uno de los responsables de Intermarché calculó que el conjunto de establecimientos afectados podría haber perdido decenas de millones. La investigación encontró controladores Danfoss sin soporte desde 2021 y consolas Dixell y Copeland expuestas a internet, aunque no se sabe si estos fabricantes están implicados en los incidentes de noviembre.
Vincent Strubel, director de la agencia francesa de ciberseguridad ANSSI, compareció ante el Senado el pasado 21 de octubre y habló de "fallos de seguridad elementales". Entre ellos figuraban conexiones directas a internet y contraseñas débiles. Ni siquiera había sido necesario aprovechar vulnerabilidades especialmente complejas para entrar en los sistemas. Y eso plantea dudas sobre las medidas de protección de unas instalaciones de las que depende la conservación de toneladas de alimentos.
Strubel también reconoció que su agencia "no tiene con qué obligar a los supermercados" a corregir los problemas encontrados. Pueden avisar a las empresas y recomendar medidas, pero no imponerlas. En Suecia, además, la televisión pública SVT había identificado en octubre 3.809 sistemas industriales con direcciones IP públicas, de los cuales más de 2.000 carecían de protección adecuada.
No todos esos sistemas eran instalaciones frigoríficas, pero las cifras ayudan a entender hasta qué punto hay equipos industriales accesibles desde internet. Y tampoco es un problema exclusivo de los supermercados. Ya hemos visto advertencias sobre vulnerabilidades en las infraestructuras críticas, especialmente cuando dependen de programas antiguos. Que un equipo siga funcionando no significa que continúe siendo seguro.
El Pentágono investiga incidentes similares en seis bases militares
El Pentágono, sede del Departamento de Defensa de Estados UnidosLa situación también ha llamado la atención del Departamento de Defensa estadounidense, que investiga posibles manipulaciones de los sistemas frigoríficos en al menos seis bases militares. Las pesquisas comenzaron el 26 de agosto y afectan a los economatos de esas instalaciones. La información procede de Reuters, que publicó los detalles el 29 de octubre a partir de declaraciones de funcionarios que solicitaron permanecer en el anonimato.
Ahora bien, que el Pentágono esté investigando no significa que haya demostrado la existencia de una operación coordinada. No hay una atribución oficial de los ataques europeos, ni tampoco pruebas públicas que permitan relacionarlos con un Estado extranjero. Por ahora no se ha conocido ninguna reivindicación ni exigencia de rescate, y tampoco puede asegurarse que los incidentes de Francia, Bélgica y Suecia tengan los mismos responsables.
Otra cuestión pendiente es quién tendrá que asumir los daños. Los seguros de ciberseguridad podrían no cubrir las pérdidas de alimentos, dependiendo de las condiciones de cada póliza y de cómo se clasifiquen los daños. Mientras tanto, los operarios de Sabcobel han pasado la noche desconectando de internet las instalaciones afectadas para recuperar el control de las neveras. En algunos supermercados, los alimentos ya habían tenido que retirarse.
💬 Debate de la Comunidad 0