Decenas de establecimientos de siete países han sufrido la manipulación de sus sistemas de refrigeración, con pérdidas de alimentos frescos y congelados. Un estudio advierte de que casi 13.000 sistemas de control de frío están expuestos en internet.

Un ciberataque a supermercados europeos ha provocado pérdidas económicas y el deterioro de alimentos frescos y congelados después de que los atacantes consiguieran alterar a distancia la temperatura de sus cámaras frigoríficas. El incidente, registrado este pasado lunes 2 de noviembre, ha afectado a establecimientos de al menos siete países, con Bélgica y Suecia entre los más perjudicados. En algunos comercios, los frigoríficos alcanzaron temperaturas de hasta 70 grados.

La incidencia también se ha extendido a Luxemburgo, Países Bajos, Irlanda, Estonia y Finlandia. En Bélgica, alrededor de 40 supermercados Delhaize, al menos 15 Carrefour, cinco tiendas Spar y establecimientos del grupo de carnicerías De Laet en Van Haver han sufrido problemas en sus sistemas de refrigeración.

Los daños económicos son considerables. Según las informaciones difundidas por medios belgas, algunos establecimientos se han visto obligados a desechar alimentos por valor de unos 100.000 euros. Un portavoz de Delhaize confirmó que la compañía había "identificado un incidente informático que afecta a los sistemas de refrigeración en varias decenas de tiendas".

El episodio resulta especialmente preocupante por su proximidad con otro ataque similar. El pasado 12 de octubre, cientos de supermercados franceses sufrieron la manipulación de sus equipos frigoríficos, con pérdidas millonarias por el deterioro de productos.

Cómo han conseguido los hackers alterar las neveras de los supermercados

La explicación está en los sistemas digitales que permiten controlar las cámaras frigoríficas sin necesidad de que un técnico se encuentre físicamente en el establecimiento. Estos equipos regulan temperaturas, ciclos de desescarche y alarmas, y pueden gestionarse mediante conexiones a internet.

Según David Arroyo Guardeño, científico titular del Grupo de Investigación en Ciberseguridad y Protección de la Privacidad del CSIC, los atacantes no habrían accedido directamente a los programas informáticos de las cadenas comerciales, sino a los dispositivos encargados de supervisar la refrigeración.

"Por lo que sabemos, se ha dirigido sobre los controladores y supervisores de refrigeración comercial conectados a internet", explica el investigador en declaraciones recogidas por El País.

Arroyo también identifica posibles debilidades en los accesos remotos: "El vector de ataque, como en tantas ocasiones, explota interfaces de acceso con fallas de autenticación o autorización. También se han identificado redes de mantenimiento remoto desactualizadas gestionadas por subcontratas locales de climatización y mantenimiento de frío comercial".

En el centro de las informaciones aparece Danfoss, multinacional danesa especializada en refrigeración y climatización industrial. Los equipos conectados permiten resolver averías a distancia y reducir entre un 15% y un 30% las visitas innecesarias de técnicos, según la propia compañía.

Sin embargo, esta comodidad también puede convertirse en una vulnerabilidad. Una investigación de la empresa de ciberseguridad Forescout ha detectado 12.976 servicios de gestión de refrigeración expuestos en internet, distribuidos entre 6.017 direcciones de 99 países y territorios.

De ellos, 7.075 correspondían a sistemas XWEB de Copeland y Dixell, mientras que 4.697 pertenecían a StoreView de Danfoss. En este último grupo, el 80% utilizaba versiones de firmware anteriores a las actualizaciones que corrigen vulnerabilidades conocidas. Estas cifras identifican equipos expuestos, no necesariamente atacados.

El riesgo de los ciberataques va más allá de los supermercados

Los responsables del ataque todavía no han sido identificados. Tampoco se ha reivindicado su autoría, mientras las autoridades de los países afectados estudian distintas hipótesis, desde actuaciones de grupos criminales hasta posibles operaciones de desestabilización.

"La agencia de ciberseguridad francesa (Annsi) y los servicios de inteligencia de los países afectados lo están tratando como cibersabotaje para colapsar la cadena de suministro alimentaria, y barajan tanto la hipótesis de hacktivistas pro-estatales con fines de guerra híbrida y desestabilización en países europeos como la de grupos criminales oportunistas explotando paneles de control mal configurados", señala Arroyo.

El peligro no se limita a la distribución alimentaria. Hospitales, bodegas, explotaciones agrícolas y empresas de transformación de alimentos utilizan sistemas de refrigeración similares. Una manipulación de estos equipos podría comprometer también la conservación de medicamentos o vacunas.

Existen precedentes de ataques contra otras infraestructuras esenciales. En julio, una serie de incidentes informáticos afectó al abastecimiento de agua potable en al menos siete estados estadounidenses. Solo en Atlanta, unos 300.000 hogares permanecieron durante horas sin suministro después de un sabotaje remoto a una estación de bombeo.

El Pentágono también investiga como posible ciberataque los fallos detectados en agosto en las cámaras frigoríficas de varias bases militares estadounidenses. Años antes, entre 2015 y 2016, Ucrania sufrió ataques informáticos contra sus infraestructuras energéticas que dejaron a varias ciudades sin calefacción durante el invierno.

Para evitar incidentes similares, Forescout recomienda retirar los sistemas de refrigeración de la internet abierta, utilizar conexiones remotas seguras, sustituir los equipos sin soporte técnico y reforzar los mecanismos de autenticación.

La compañía también aconseja eliminar las contraseñas compartidas entre contratistas y mantener registros de las modificaciones realizadas. Son medidas destinadas a dificultar accesos no autorizados a equipos que controlan procesos físicos esenciales.