¿Por qué los ciberataques apuntan ahora a los bancos de sangre?

Un trabajador de guardia en un centro del Establecimiento Francés de Sangre (EFS) notó algo raro en los paneles de temperatura. Las cámaras donde se conservan las bolsas de plasma a 30 grados bajo cero estaban recibiendo una orden imposible: calentarse hasta 110 grados. No era un fallo eléctrico. Era un ataque. Actuó deprisa, las alarmas saltaron y, cuando el Ministerio de Sanidad francés confirmó lo ocurrido este miércoles, el parte era casi milagroso: ninguna muestra perdida, ningún producto sanguíneo comprometido, ninguna transfusión cancelada.

Lo que sí hay es un patrón que empieza a dar miedo. Es el cuarto ciberataque en tres semanas contra sistemas de frío en Europa, y el primero que apunta directamente a reservas médicas. Los hackers ya no roban datos: manipulan termostatos. Y entran por donde casi nadie mira.

Qué ha pasado exactamente en los bancos de sangre franceses

El ataque se ejecutó la noche del domingo al lunes, aprovechando la franja en la que los centros trabajan con personal mínimo. Los cibercriminales no entraron en los servidores del EFS —el organismo público que recoge, conserva y distribuye la sangre de los hospitales franceses— sino en los sistemas de Coolworld, la empresa privada encargada del mantenimiento de sus instalaciones frigoríficas. Desde ahí reprogramaron los umbrales de temperatura y descongelación de las cámaras de tres centros, sobre todo en la región de Borgoña-Franco Condado, según reveló Le Canard Enchaîné.

El EFS fue claro en su comunicado: «los umbrales de temperatura y descongelación se elevaron a niveles extremadamente altos», pero «los sistemas de monitorización y alarma detectaron rápidamente las anomalías, lo que permitió al personal tomar medidas para garantizar que ningún producto sanguíneo ni muestra se viera comprometido». Las bolsas de plasma —destinadas a transfusiones y a la fabricación de medicamentos— se trasladaron de forma preventiva a otras instalaciones bajo custodia. La recogida y distribución de sangre siguió funcionando con normalidad.

La secuencia completa del ataque se entiende mejor en cuatro pasos:

1. 1Intrusión en el proveedor: los hackers acceden al software de control remoto de Coolworld, la empresa que monitoriza las cámaras frigoríficas del EFS.
2. 2Reprogramación de umbrales: ordenan subir la temperatura de las cámaras de -30 °C a 110 °C, un valor absurdo físicamente pero suficiente para forzar la descongelación.
3. 3Detección: los sistemas de vigilancia del EFS disparan las alarmas y el personal de guardia identifica la anomalía térmica a tiempo.
4. 4Contención: los equipos afectados se controlan o neutralizan y las bolsas de plasma se transfieren a otras instalaciones. La agencia nacional de ciberseguridad (ANSSI) y Sanidad abren investigación.

Por qué los hackers van a por las neveras (y no a por los datos)

Durante años, el guion de la ciberdelincuencia era predecible: robar datos, cifrar sistemas, pedir rescate. Esta ola es distinta: el objetivo es el daño físico directo a través de los sistemas que controlan infraestructuras —lo que los técnicos llaman tecnología operativa (OT), los ordenadores que gobiernan máquinas del mundo real: cámaras frigoríficas, bombas, climatización, válvulas.

¿Por qué funcionan estos ataques? Porque la seguridad de esos sistemas suele estar años por detrás de la de los servidores corporativos. Las investigaciones de los casos europeos apuntan a fallos de manual: contraseñas débiles o dejadas con los valores de fábrica, vulnerabilidades que permitían predecir las credenciales de administrador, e interfaces de configuración que debían estar en una red privada y estaban expuestas en internet. Un termostato industrial conectado, con su contraseña por defecto, es una puerta abierta al mundo entero.

El incentivo para los atacantes también cambia. Destrozar toneladas de comida o un lote de plasma no genera un rescate millonario, pero provoca caos mediático, pérdidas económicas y una sensación de vulnerabilidad que vale oro en campañas de desestabilización. Todavía se investiga la autoría de esta serie; el modus operandi coordinado y nocturno sugiere algo más elaborado que vandalismo oportunista.

De los supermercados a la sangre: la escalada en tres semanas

El ataque a los bancos de sangre no es un episodio aislado, es la cuarta pieza de una secuencia rápida:

• ✓Hace tres semanas: cientos de supermercados franceses sufren alteraciones remotas en sus neveras y congeladores. Pérdidas millonarias.
• ✓Este mismo lunes: el ataque se extiende a establecimientos de ocho países —Francia, Bélgica, Países Bajos, Suecia, Irlanda, Luxemburgo, Finlandia y Estonia—. Los congeladores llegaron a marcar 50 °C y toneladas de alimentos acabaron en la basura. Los ataques se programaron de noche para que nadie los detectara hasta la apertura de las tiendas.
• ✓Esa misma noche: los tres centros del EFS reciben la orden de calentar su plasma. Por primera vez, el objetivo es sanitario.
• ✓Miércoles: el Ministerio de Sanidad francés confirma lo ocurrido; la ANSSI investiga si los episodios están conectados.

El salto cualitativo es evidente: de la comida congelada a un producto médico que no se puede recomprar en un supermercado. El plasma para transfusiones tiene caducidad, condiciones de conservación estrictas y, sobre todo, no tiene sustituto. «No hay ninguna consecuencia operativa, porque la situación se ha detectado a tiempo», aseguró Sanidad. Esta vez. El margen entre una alarma atendida por un trabajador de guardia y una catástrofe sanitaria se mide en horas.

¿Y en España? Los expertos avisan

La pregunta ya circula en el sector. Rafael Alcoholado, perito judicial informático, lo dijo sin rodeos tras los ataques a supermercados: que algo así pase en España «es cuestión de tiempo». De momento, el modelo descentralizado de la distribución alimentaria española —menos plataformas únicas de control remoto— ha actuado como cortafuegos natural, igual que las alarmas independientes salvaron al EFS francés.

«Los sistemas de monitorización y alarma detectaron rápidamente las anomalías, lo que permitió al personal tomar medidas para garantizar que ningún producto sanguíneo ni muestra se viera comprometido» — Establecimiento Francés de Sangre (EFS)

La lección técnica de esta ola de ataques es incómoda pero simple: la ciberseguridad de un hospital o de una cadena de supermercados es tan fuerte como la de su proveedor más pequeño. Segmentar redes, retirar las interfaces de gestión de internet, cambiar las contraseñas de fábrica y auditar a los terceros ya no es burocracia de cumplimiento: es lo único que separa una nevera de plasma a -30 °C de una orden absurda a 110. En Francia, esa diferencia la marcaron una alarma que funcionaba y una persona despierta en el turno de noche. Conviene no depender solo de eso.