Intermarché, Netto, Coopérative U y E.Leclerc figuran entre las cadenas afectadas. Los atacantes alteraron los sistemas de refrigeración y provocaron la retirada de productos frescos y congelados. Las autoridades francesas investigan el alcance del incidente.
Cientos de supermercados franceses sufrieron un ciberataque durante la noche del 11 al 12 de octubre que alteró el funcionamiento de sus frigoríficos y congeladores. Algunos equipos alcanzaron temperaturas de hasta 50 °C, según las declaraciones de las empresas afectadas recogidas por Reuters. La mercancía tuvo que ser retirada para evitar riesgos sanitarios.
Los balances comunicados por las cadenas a AFP situaban el impacto en al menos 300 establecimientos de Intermarché y Netto, más de 100 de Coopérative U y varios de E.Leclerc. Son cifras provisionales, mientras las empresas revisan sus instalaciones y las autoridades identifican a las víctimas.
¿Cómo pudieron alterar la temperatura?
El punto crítico ha recaído en los controladores de refrigeración, los dispositivos que permiten supervisar y configurar las instalaciones frigoríficas. Desde estas plataformas los técnicos pueden consultar alarmas, cambiar temperaturas o realizar tareas de mantenimiento a distancia. Una sola consola puede gestionar numerosos equipos de un establecimiento.
Los atacantes manipularon parámetros de temperatura y ciclos de desescarche, una función utilizada para eliminar el hielo acumulado en los equipos. Técnicos consultados por Le Monde describieron cambios rápidos y sucesivos en estas configuraciones. En un supermercado de la zona de Burdeos, la detección de una subida anormal de temperatura y la intervención del personal permitieron evitar la pérdida de mercancía durante un ataque posterior.
Equipos antiguos y sistemas sin actualizar
El CERT-FR, el centro de respuesta a incidentes de la agencia francesa ANSSI, confirmó numerosas intrusiones en controladores Danfoss de las series AK-SM y AK-SC. Su alerta también incluye equipos XWEB de Copeland y Dixell, por lo que el alcance conocido no se limita a una única familia de productos.
Danfoss explicó a Cooling Post que la mayoría de las unidades afectadas eran productos antiguos o equipos actuales con software desactualizado. Entre los primeros figuran los AK-SM800 y AK-SC355, que ya no reciben actualizaciones de seguridad. La empresa también identificó dispositivos AK-SM800A con versiones antiguas de firmware y afirmó que está colaborando con los clientes para aplicar medidas de protección.
El riesgo de estos sistemas ya había sido documentado. Investigadores de Claroty Team82 encontraron vulnerabilidades en el AK-SM800A y localizaron interfaces de administración accesibles directamente desde Internet. Sin embargo, conocer fallos anteriores no demuestra, por sí solo, cuál se utilizó en esta campaña. La investigación técnica debe determinar cómo consiguieron entrar los atacantes y qué modificaron después.
La investigación continúa, sin una autoría confirmada
La Fiscalía de París abrió una investigación para identificar a los afectados y establecer la relación entre las intrusiones y los daños comunicados. Además de las pérdidas de alimentos, las autoridades recibieron avisos de conatos de incendio, cuya vinculación con el ataque forma parte de las comprobaciones.
Según la información publicada por Reuters el 13 de octubre, ningún grupo había reivindicado públicamente la operación y no constaba una petición de rescate. Por tanto, no hay base para presentarlo como un ataque de ransomware ni atribuirlo a un Estado concreto. La identidad de los responsables y su motivación siguen sin esclarecerse.
Recuperar la seguridad pasa por estar al día
Las recomendaciones generales según Danfoss, compañía danesa especializada en sistemas frigoríficos y proveedor de la mayoría de sistemas afectados en dichos supermercados, para estas instalaciones pasan por separar los sistemas de control de la red corporativa, restringir los accesos y evitar que las interfaces de administración queden expuestas directamente a Internet. El fabricante también aconseja utilizar conexiones remotas protegidas, cambiar las credenciales predeterminadas y supervisar posibles accesos no autorizados.
La actualización debe acompañarse de una revisión de la instalación. Danfoss señala que está trabajando con los clientes afectados en la aplicación de firmware disponible, el refuerzo de las protecciones de red y la retirada de accesos directos desde Internet. Para los equipos que han quedado fuera de soporte, recomienda migrar a soluciones actuales.
El incidente muestra una consecuencia de la digitalización, que va más allá del robo de datos o incidencias en la parte de software: alterar una configuración por leve que sea puede causar daños físicos y detener una actividad cotidiana. En este caso, la seguridad de las conexiones remotas formaba parte de algo tan básico como mantener los alimentos a la temperatura adecuada.
