Un ciberataque contra los sistemas de refrigeración de cientos de supermercados en Francia permitió modificar a distancia la temperatura de heladeras y freezers, que en algunos casos llegaron a los 50 grados. El episodio obligó a tirar alimentos frescos y congelados, con pérdidas millonarias, y hasta se registraron incendios. ¿Cómo es que se puede alterar a distancia un sensor de temperatura y causar un caos absoluto?
El ataque afectó a cadenas como Intermarché, Carrefour, Monoprix y Coopérative U. Según Reuters, al menos 350 supermercados resultaron perjudicados, mientras que Les Mousquetaires, propietario de Intermarché, confirmó que unas 150 locales sufrieron alteraciones de temperatura durante seis horas. Coopérative U informó 80 locales afectados y estimó pérdidas de hasta 200.000 euros en los hipermercados más grandes.
El ataque tuvo como blanco a Danfoss, compañía danesa especializada en refrigeración y automatización, que reconoció que varios equipos afectados utilizaban versiones antiguas de su software interno (firmware). Sucede que algunos de ellos ya no recibían actualizaciones, algo más común de lo que se cree, y que suele ser una de las puertas de entrada de este tipo de ciberataques.
Si bien todavía no se conoce cómo ingresaron los atacantes ni quiénes fueron sus responsables, el caso llamó la atención de medios de todo el mundo por una característica que quienes no están en el mundo técnico desconocen: las heladeras comerciales tienen sensores, pequeñas computadoras y sistemas que permiten controlarlas a distancia. Y, hoy, muchos de ellos se conectan a internet.
Esa conectividad facilita el mantenimiento, pero también amplía lo que se conoce en el rubro como “superficie de ataque”. Las hipótesis incluyen fallas de software, contraseñas débiles, configuraciones inseguras y accesos a través de proveedores de mantenimiento. Una intrusión informática puede modificar el funcionamiento de máquinas y producir daños materiales.
Cómo se puede hackear el sistema que controla la temperatura de una heladera
Las heladeras industriales tienen controles remotos. Foto: Reuters
En un supermercado, las heladeras y cámaras frigoríficas suelen integrar una instalación que supervisa temperaturas, compresores, alarmas y ciclos de descongelamiento. Los sensores miden la temperatura y transmiten la información a controladores electrónicos, que ejecutan las instrucciones necesarias para conservar los alimentos.
El punto fundamental para entender el ataque es que varios equipos pueden administrarse desde una misma consola y, sobre todo, que en el mundo actual es casi inevitable que los sistemas funcionen de esta forma: una cosa es la heladera de casa, otra, las miles que tiene que gestionar diariamente un multinacional dueña de una cadena de supermercados.
“Muchos equipos industriales como estas heladeras, funcionan con pequeñas computadoras que permiten supervisarlos y controlarlos a distancia”, explica a Clarín Braian Arroyo, especialista en ciberinteligencia y ciberseguridad. “En un supermercado, por ejemplo, estos sistemas permiten revisar la temperatura de las heladeras, detectar problemas y realizar ajustes sin necesidad de que un técnico esté físicamente en el lugar”.
Una cadena puede supervisar decenas de locales, recibir alertas y hacer ajustes sin enviar técnicos a cada sucursal. En plataformas como las de Danfoss, estas tareas se realizan mediante interfaces web, similares a las pantallas que permiten configurar un router.
El mismo día que ocurrió el incidente, expertos en ciberseguridad empezaron a advertir que los sistemas de Danfoss estaban “expuestos”: es el riesgo que aparece cuando esa consola queda accesible directamente desde internet. Un equipo industrial “expuesto” implica que puede ser accesible desde una conexión externa, por ejemplo mediante una dirección IP pública y un puerto abierto. Esto permite que terceros lo encuentren e intenten conectarse, aunque no significa necesariamente que puedan ingresar o modificarlo.
“Estos controles pueden quedar expuestos directamente a internet. Esto significa que personas ajenas a la empresa pueden encontrarlos con herramientas como Shodan e intentar conectarse desde cualquier parte del mundo”, señala Arroyo.
De hecho, hay herramientas para poder buscar esto, y una de las más conocidas es Shodan, un buscador muy usado que se especializa en dispositivos y servicios conectados. “Pensemos esta herramienta como podemos pensar en Google. Cuando buscamos algo, Google nos muestra páginas web relacionadas con nuestra búsqueda. Shodan funciona de manera parecida, pero en lugar de buscar principalmente páginas, permite encontrar dispositivos y servicios conectados a internet”, explica el especialista.
Shodan recopila datos públicos como direcciones IP, ubicación aproximada, fabricante y, a veces, versión del software. Permite hallar cámaras, routers, servidores y consolas industriales. Reuters encontró con esa herramienta al menos 4.500 interfaces de Danfoss visibles desde internet, aunque no pudo determinar cuántas eran vulnerables.
Una salvedad importante: Arroyo advierte que encontrar un dispositivo no equivale a tomar su control. “Shodan puede mostrarnos dónde está esa puerta digital, pero eso no significa que tengamos la llave para abrirla”. Para ingresar, un atacante tendría que explotar una falla de seguridad, disponer de credenciales comprometidas o aprovechar una configuración incorrecta. “En ocasiones, esos problemas permiten acceder incluso sin conocer la contraseña”, añade. Pero también vale aclarar: esas fallas de seguridad son mucho más comunes de lo que se cree.
Una de las hipótesis es que los atacantes aprovecharon vulnerabilidades que ya habían sido identificadas en estos controladores: si esos dispositivos estaban expuestos, una vez identificados pueden ser explotados a partir de esa vulnerabilidad. El equipo Team82 de la compañía Claroty investigó el Danfoss AK-SM 800A y descubrió fallas que permitían eludir la autenticación y ejecutar instrucciones. Allí podría estar el huevo de la serpiente.
Danfoss publicó actualizaciones para corregir esas fallas, pero hasta ahora, las autoridades francesas no confirmaron que esas vulnerabilidades específicas hayan sido utilizadas en los ataques. Otra posibilidad es un compromiso de proveedores de mantenimiento: Intermarché mencionó inicialmente un presunto ataque a un prestador que administraba su refrigeración, pero tampoco está demostrado que haya sido la vía de entrada común.
Con los permisos necesarios, un atacante podría alterar temperaturas, horarios, ciclos de descongelamiento o alarmas. Los reportes sobre Francia apuntan a cambios en esos ciclos, que elevaron la temperatura y arruinaron mercadería. El mecanismo exacto sigue bajo investigación.
Hay formas de contener esto: “En temas industriales deberían de tener redes separadas además de contar con herramientas de monitoreo en tiempo real”, recomienda Arroyo. También plantea restringir las conexiones remotas al personal autorizado, usar contraseñas robustas y una segunda verificación de identidad, e instalar actualizaciones. “Si esas actualizaciones no se instalan, los problemas pueden permanecer durante años”.
La alerta del CERT (Computer Emergency Response Team) francés, de hecho, apunta a ese mismo sentido: pide retirar las interfaces de administración de internet, revisar los ciclos de descongelamiento y permitir accesos remotos solo por redes protegidas o conexiones VPN seguras.
Ciberseguridad industrial: cómo funciona y qué problemas tiene
La infraestructura de los supermercados depende de sistemas industriales. Foto: EFE
Los sistemas que controlan procesos físicos integran lo que se conoce como tecnología operativa u OT (por sus siglas en inglés): desde cámaras frigoríficas hasta instalaciones de energía o agua. Su seguridad tiene desafíos distintos de los de IT, la informática tradicional que protege servidores, aplicaciones y datos (“los de sistemas”). En una instalación industrial, una interrupción puede detener la producción o dañar máquinas.
“Conectar millones de heladeras a la nube es vital para el retail [minorista]”, explica a este medio Sergio Cayuqueo, consultor independiente de ciberseguridad, y esto es así porque la conexión permite auditar temperaturas, prever fallas y reducir el consumo eléctrico.
“El peligro surge al conectar IT con OT. Al unir la nube corporativa (IT) con la red industrial (OT), sistemas obsoletos diseñados para durar décadas quedan expuestos a internet”, advierte Cayuqueo. El riesgo crece cuando se conectan redes o habilitan accesos remotos sin medidas adecuadas de aislamiento y protección.
Y hay una diferencia grande entre el “Su equipo necesita reiniciarse” que vemos casi semanalmente al usar Windows en casa o el trabajo con el que puede aparecer en una cámara frigorífica: allí, detener un controlador puede interrumpir la operación. “Mientras IT cuida datos, OT exige operar sin interrupción”, sintetiza Cayuqueo. Instalar parches cuesta tiempo y dinero, por lo que muchas empresas postergan los cambios. En Argentina hubo casos de ataques a sistemas industriales, como Ingenio Ledesma en 2022.
A esto se suman los sistemas “legacy”, tecnologías antiguas que siguen operativas, aunque pueden llevar décadas en uso o haber perdido soporte. Cayuqueo advierte que en Argentina conviven plataformas modernas con esa infraestructura y lo que se llama “sistemas historiadores”, que guardan registros industriales, los data loggers, que registran temperaturas en equipos de frío, y herramientas que supervisan el consumo eléctrico. Si las redes se conectan sin protección, pueden quedar expuestas.
Flavia Méndez, fundadora de Industrial Cyber Summit, una conferencia de ciberseguridad industrial que se realiza en Argentina y Chile, considera que lo ocurrido en Francia muestra cómo las fallas de estos sistemas pueden afectar a la población. “La ciberseguridad industrial dejó de ser un tema de planta y pasó a impactar en la ciudadanía”, sostiene en diálogo con Clarín.
“Acá el daño no se quedó en un tema de ciberseguridad tradicional: fue comida descartada, principios de incendio y pérdidas de ‘decenas de millones de euros en un solo día’, según Les Mousquetaires”, agrega. También señala los riesgos asociados a la cadena de proveedores. Si bien una de las hipótesis sobre Francia involucra a un prestador de mantenimiento, esa vía de ingreso todavía no fue confirmada por las autoridades.
Méndez plantea: “Esta vez el ataque fue fácil de identificar. Pero podría haber sido más sutil. Un cambio de temperatura de pocos grados, sostenido en el tiempo y con las alarmas silenciadas, que rompa la cadena de frío sin que nadie lo note. Ese alimento llega a la mesa de una familia”. De hecho, muchos atacantes hacen eso: entran y se quedan, durante meses, silenciosos en los sistemas.
También imagina consecuencias más graves, como incendios en locales con público, aunque no hay pruebas de ese mecanismo en Francia. “No es ciencia ficción: es el mismo tipo de acceso, usado con otra intención y con un impacto real en las personas”, advierte.
“En América Latina tenemos los mismos riesgos y todavía poca comunicación entre IT, que maneja los sistemas informáticos, y OT, que maneja los sistemas físicos conectados a internet”, sostiene Méndez.
Con la investigación francesa todavía abierta, el caso deja una advertencia para supermercados y otras industrias y muestra hasta qué punto la infraestructura tecnológica de la que dependen puede pender de un hilo mucho más fino de lo que parece.
SL
Todavia no hay comentarios aprobados.