La mayoría de los ciberataques roban datos o bloquean archivos. Estos echaron a perder comida. Durante el último mes, unos atacantes entraron a los controladores que manejan la refrigeración comercial en supermercados europeos y convirtieron las cámaras frías en hornos. Es el mismo tipo de equipo que hay en cocinas de restaurantes, tiendas de abarrotes, almacenes de alimentos y farmacias de todo el mundo, muchas veces conectado a internet para que un técnico pueda revisarlo a distancia.
Qué pasó
La noche del 11 al 12 de octubre, la refrigeración de cientos de supermercados franceses empezó a calentarse. Los atacantes habían cambiado los ajustes de los controladores de refrigeración de las tiendas, forzando los evaporadores a deshielo y en algunos casos configurando temperaturas de hasta 50°C. En algunas tiendas los equipos estuvieron calientes unas seis horas antes de que el personal lo notara. El ministro de Finanzas de Francia dijo al parlamento que se vieron afectados unos 700 de los cerca de 10,000 supermercados del país. La fiscalía de París abrió una investigación por daños que incluyeron incendios reportados.
La agencia nacional de ciberseguridad de Francia, a través de su servicio de alertas CERT-FR, identificó el equipo involucrado: gestores de sistema Danfoss AK-SM y AK-SC, y controladores Copeland y Dixell XWEB. Muchos de los equipos atacados eran modelos viejos que ya no reciben actualizaciones, y el hallazgo central de la agencia fue simple: sus interfaces de administración estaban en internet. Copeland reconoció una falla en una generación descontinuada de sus controladores.
Los ataques volvieron la noche del 1 al 2 de noviembre, esta vez contra más de 100 tiendas en toda Europa, desde Delhaize en Bélgica y SuperValu en Irlanda hasta Intermarché en Portugal y carnicerías independientes en Países Bajos. El investigador Kevin Beaumont encontró que todos los congeladores afectados que pudo identificar tenían una interfaz de administración accesible desde internet. Danfoss había pedido a sus clientes desconectarlas a mediados de octubre. Un sistema señuelo de la firma de seguridad Lupovis registró en los días previos intentos de inicio de sesión con las contraseñas de fábrica de Danfoss, que están documentadas públicamente.
Esa misma noche, cámaras frías con plasma en tres sitios del Établissement français du sang, el servicio nacional de sangre de Francia, fueron configuradas a temperaturas muy altas a través del software de monitoreo remoto de su contratista de refrigeración. Un técnico de guardia vio subir las temperaturas en plena noche, los productos se trasladaron, y el servicio de sangre dice que no se ha identificado ningún impacto sanitario.
La alerta de Estados Unidos
El 5 de noviembre, CISA, el FBI, el Departamento de Salud y Servicios Humanos, el Departamento de Agricultura y el Departamento de Transporte publicaron una hoja informativa conjunta. Dijeron estar "al tanto de actividad cibernética maliciosa dirigida a sistemas industriales de refrigeración y de monitoreo de la cadena de frío en todo el mundo", enfocada en controladores de temperatura y de refrigeración en tiendas de abarrotes y almacenamiento en frío, y que los atacantes "pueden aprovechar vulnerabilidades o debilidades en controladores sin parchar o accesibles desde internet para cambiar ajustes a distancia y forzar los equipos a ciclos continuos de calor y deshielo".
La hoja informativa no menciona marcas ni incidentes específicos en Estados Unidos. Enumera como sectores en riesgo la salud, los alimentos y la agricultura, la industria química y el transporte, incluidos los camiones refrigerados, y advierte de riesgos de incendio y de perder la visibilidad de las temperaturas, no solo de mercancía echada a perder.
Por qué debería importarle a una pequeña empresa
Este equipo está en todas partes. Las cámaras frías, las vitrinas refrigeradas, los abatidores y los refrigeradores de farmacia se administran cada vez más con controladores que tienen una página web, para que el instalador o el contratista de refrigeración pueda revisar alarmas desde su teléfono. Muchas empresas no saben que esa página existe, y mucho menos que está en internet.
La forma de entrar fue la más vieja que hay. En la mayoría de estos ataques no hizo falta ningún exploit sofisticado. Una página de acceso expuesta a internet, una contraseña de fábrica publicada en el manual y nadie vigilando. Es el mismo patrón que describimos esta semana en los ataques a los switches Zyxel, donde más de la mitad de los equipos comprometidos seguían con su contraseña de fábrica.
El daño es físico e inmediato. Una cámara fría a 50°C durante seis horas significa mercancía tirada, posibles violaciones de seguridad alimentaria y, para una clínica o farmacia, medicamentos perdidos. Puede que el seguro no lo cubra, y nada se puede restaurar desde un respaldo.
Las alarmas funcionaron donde existían. El servicio de sangre no perdió nada porque una alarma de temperatura llegó a una persona que actuó en plena noche. Es la defensa más barata de esta lista.
Qué hacer en concreto
Averigua cómo se monitorea tu refrigeración. Hazle a tu contratista de refrigeración una pregunta directa: ¿alguno de nuestros controladores, gestores de sistema o paneles de monitoreo tiene una interfaz web, y se puede llegar a ella desde internet? Pide la respuesta por escrito.
Sácalos de internet. Si se necesita acceso remoto, debe pasar por una VPN o un servicio seguro de acceso remoto, no por una página web abierta. La primera recomendación de las agencias de Estados Unidos es eliminar por completo la exposición pública a internet.
Cambia las contraseñas de fábrica. En cada controlador y en la cuenta de monitoreo del contratista. Si usas gestores de sistema Danfoss, pregúntale a tu contratista por el modo de seguridad estricto que recomendó CERT-FR.
Reemplaza los controladores que ya no reciben actualizaciones. Varios de los modelos atacados ya llegaron al fin de su vida útil. Si el tuyo es uno de ellos, planea el reemplazo y, mientras tanto, no debe ser accesible desde internet en absoluto.
Configura alarmas de temperatura que lleguen a una persona. Define el rango aceptable de cada equipo y asegúrate de que la alerta llegue de noche al teléfono de alguien, no solo a un panel en una tienda vacía. Considera un sensor de temperatura independiente que no dependa del propio controlador.
Separa la red. La refrigeración, la gestión del edificio y las cámaras deben estar en su propia red, aparte de las computadoras de oficina y del Wi-Fi de invitados.
El resumen
Cientos de supermercados europeos perdieron su mercancía porque sus controladores de refrigeración quedaron en internet con contraseñas de fábrica, y los atacantes volvieron tres semanas después por los que todavía lo estaban. Cinco agencias de Estados Unidos ya pidieron a las empresas estadounidenses revisar los suyos.
Para un restaurante, una tienda, un distribuidor o una clínica, el trabajo es pequeño y concreto: una pregunta a tu contratista de refrigeración, un cambio de contraseña y una alarma de temperatura que despierte a alguien.
Fuentes
- US government partners urge hardening industrial refrigeration and cold chain monitoring systems — CISA, FBI, HHS, USDA y DOT
- Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération — CERT-FR
- Cyberattack targeting refrigeration systems hits 700 supermarkets, French government says — Associated Press
- Refrigeration controller hack spoils food across European supermarkets — SecurityWeek
- Over 100 European stores hit as supermarket fridge attacks resume — SecurityWeek
- Cyberattack disrupts blood storage refrigeration systems in France — BleepingComputer
- Une cyberattaque touche des installations frigorifiques utilisées par l'Établissement français du sang — franceinfo
- CISA and FBI warn of cyberattacks on refrigeration systems — The Record
- Pro-Russian hackers claim responsibility for attack on supermarket refrigeration systems — RetailDetail
- European refrigerator controller redux: a new wave of refrigeration attacks — Censys
