¿Por qué los ciberdelincuentes atacan las neveras de los supermercados?

A las tres de la madrugada del lunes, el teléfono del responsable de varios supermercados Delhaize en Bruselas empezó a escupir alarmas. Cuando llegó a una de sus tiendas se encontró una escena difícil de explicar a un cliente: los compresores habían dejado de funcionar y los frigoríficos, en lugar de enfriar, expulsaban aire caliente. El género de toda la noche —frescos, congelados, lácteos— se estaba echando a perder sin que nadie pudiera hacer nada. No era una avería. Era un ataque.

Decenas de supermercados de al menos siete países europeos amanecieron el 3 de noviembre con parte de su mercancía inservible. Un ciberataque manipuló en remoto los sistemas de refrigeración y subió la temperatura de las cámaras frigoríficas, en algunos casos hasta los 50 grados. Bélgica y Suecia se llevaron la peor parte, pero hubo incidencias registradas en Luxemburgo, Países Bajos, Irlanda, Estonia y Finlandia. Lo inquietante no es solo el sabotaje: es que ya había pasado exactamente lo mismo hace tres semanas, en Francia.

Tres semanas después de Francia, el mismo guion

La noche del 11 al 12 de octubre, centenares de supermercados franceses de cadenas como Intermarché, Coopérative U, Carrefour, Leclerc y Monoprix sufrieron un ataque idéntico: las cámaras frigoríficas fueron llevadas hasta los 50 grados durante seis horas, hubo que destruir alimentos y, según la Fiscalía de París, se registraron incluso conatos de incendio por el esfuerzo de la maquinaria. El presidente de Intermarché cifró entonces las pérdidas del sector en decenas de millones de euros en una sola jornada.

Ahora, el patrón se ha repetido casi al milímetro. En Bélgica, los problemas comenzaron alrededor de la medianoche y afectaron a unos cuarenta supermercados Delhaize, quince Carrefour, varios Spar y una cadena de carnicerías de Amberes. En Irlanda, trece establecimientos SuperValu retiraron por precaución todos los refrigerados y congelados. En Suecia, la cadena ICA —una de las mayores del país— y Coop confirmaron ataques. En Países Bajos, el proveedor Danfoss contabilizó diecisiete empresas afectadas, sobre todo carnicerías y pequeñas tiendas.

En todos los casos, los atacantes hicieron lo mismo: entrar a distancia en equipos conectados a internet y manipular su funcionamiento para elevar la temperatura o activar el modo de descongelación. De noche, cuando nadie mira. Cuando los empleados llegaron por la mañana, la cadena de frío ya estaba rota y el género, perdido.

¿Cómo se hackea una nevera industrial?

La primera sorpresa del caso es que los ciberdelincuentes no atacaron los sistemas informáticos de las cadenas de supermercados. Ni cajas registradoras, ni bases de datos de clientes, ni correo corporativo. Fueron directos a los aparatos que enfrían.

«Por lo que sabemos, se ha dirigido sobre los controladores y supervisores de refrigeración comercial conectados a internet», explica David Arroyo Guardeño, científico titular del Grupo de Investigación en Ciberseguridad y Protección de la Privacidad (GICP) del CSIC. El vector de ataque, según el investigador, explota «interfaces de acceso con fallas de autenticación o autorización», además de redes de mantenimiento remoto desactualizadas gestionadas por subcontratas locales de climatización y frío comercial.

Dicho en cristiano: miles de cámaras frigoríficas europeas se controlan con paneles accesibles desde internet que, en muchos casos, siguen usando la contraseña que venía de fábrica. Danfoss, la multinacional danesa de refrigeración cuyos sistemas están en el centro del huracán, lo admitió sin rodeos: los equipos atacados en Países Bajos utilizaban contraseñas predeterminadas y estaban conectados a redes sin protección adecuada.

• ✓El atacante localiza paneles de control de refrigeración expuestos a internet, muchos sin cambiar la contraseña de fábrica.
• ✓Entra en el software de gestión (en este caso, versiones antiguas del sistema de Danfoss) y toma el control del termostato.
• ✓Sube la temperatura o fuerza el modo descongelación de madrugada, cuando las tiendas están cerradas.
• ✓Desaparece sin robar nada: el daño lo hace el propio tiempo, que echa a perder toneladas de comida.

El ataque, además, fue técnicamente sencillo. Según los expertos consultados por EL PAÍS, no se usó inteligencia artificial ni hizo falta una preparación sofisticada. La sofisticación estaba en elegir el objetivo: golpear donde más duele y donde menos se espera.

Danfoss avisó, y el aviso no bastó

Hay un detalle que convierte este episodio en algo más que una mala noche para el sector de la distribución. Danfoss había advertido a sus clientes neerlandeses a mediados de octubre, después del ataque francés, y les recomendó desconectar los equipos de internet o restringir el acceso mediante redes seguras. Su portavoz lo dijo con crudeza tras la segunda oleada: los ataques podrían haberse evitado aplicando esas recomendaciones.

«No podemos regular la temperatura, no podemos cambiarla. Está entrando aire caliente en los congeladores. Se ha estropeado todo.» — Rickard Nilsson, gerente de la tienda ICA de Sjöbo (Suecia), al periódico Aftonbladet

Entre el aviso y la ejecución median dos semanas. Es el retrato perfecto de un problema que los expertos en ciberseguridad repiten como un mantra: la superficie de ataque crece mucho más rápido que las capacidades de protección. Cada compresor, cada termostato y cada panel de mantenimiento conectado a internet es una puerta potencial. Y el llamado internet de las cosas industriales —cámaras de frío, contadores, bombas de agua, climatización— se ha desplegado durante años con la seguridad como última prioridad.

El Pentágono, de hecho, se lo ha tomado suficientemente en serio como para investigar los fallos que sufrieron este verano las cámaras frigoríficas de varias bases militares estadounidenses. Siguen el mismo patrón de subida de temperatura y, según Reuters, los investigadores norteamericanos contactaron con las autoridades francesas para entender «los fallos de la refrigeración en Europa».

Quién está detrás (y por qué nadie lo sabe aún)

Nadie ha reclamado la autoría. Ni un grupo criminal pidiendo rescate, ni un colectivo de hacktivistas colgándose la medalla. Ese silencio es, en sí mismo, una pista incómoda: cuando se ataca para pedir dinero, el atacante suele querer que se sepa.

«La agencia de ciberseguridad francesa (ANSSI) y los servicios de inteligencia de los países afectados lo están tratando como cibersabotaje para colapsar la cadena de suministro alimentaria«, señala Arroyo Guardeño. Sobre la mesa hay dos hipótesis: hacktivistas pro-estatales con fines de guerra híbrida y desestabilización europea, o grupos criminales oportunistas explotando paneles mal configurados. La primera encaja mejor con el modus operandi —daño físico sin extorsión, coordinación en varios países, repetición del ataque—, pero ninguna está confirmada.

Esta vez fue la comida; mañana puede ser otra cosa

Las pérdidas económicas siguen sin cerrarse —decenas de millones de euros entre género destruido, daños en maquinaria y logística de emergencia—, pero el coste real del ataque va más allá del balance de las cadenas. Lo que se ha demostrado es que alguien, desde cualquier lugar del mundo con conexión a internet, puede intervenir en la cadena de frío de la alimentación europea.

Los expertos piden leer el episodio como una advertencia en dos direcciones. Para las empresas: invertir en ciberseguridad industrial, actualizar software de control, eliminar contraseñas de fábrica y segmentar las redes de mantenimiento. Para los gobiernos: la refrigeración comercial debería tratarse como lo que ha demostrado ser, infraestructura crítica. Porque si el mismo ataque que apaga los congeladores de un supermercado se dirige a la refrigeración de vacunas de un hospital en plena pandemia, o a los sistemas de frío de la industria farmacéutica, la conversación deja de ser sobre yogures caducados.

Mientras las investigaciones avanzan, algunos establecimientos belgas y suecos han vuelto a la vieja escuela: camiones frigoríficos aparcados en la puerta como reserva de frío. Una imagen casi analógica para el recordatorio más digital del año —que una nevera conectada puede convertirse en el eslabón más frágil de Europa— y una pregunta abierta para los próximos meses: quién pulsó el termostato y, sobre todo, quién será el siguiente en recibir la alarma a las tres de la madrugada.