Hackers activan la descongelación automática en frigoríficos de supermercados por toda Europa

Artículo original ↗ Discusión en Hacker News ↗

Hackers han activado de forma remota el ciclo de descongelación en sistemas de refrigeración comercial conectados a Internet en cadenas de supermercados de toda Europa, echando a perder alimentos e interrumpiendo las operaciones, con incidentes similares denunciados recientemente en bases militares de EE. UU. Los comentaristas relacionan el ataque con vulnerabilidades conocidas desde hace tiempo en controladores Danfoss, prácticas inseguras de IIoT industrial y dispositivos heredados que ya no reciben actualizaciones de seguridad pero siguen expuestos en la Internet pública. El incidente se cita como una advertencia sobre el riesgo sistémico de conectar infraestructura crítica a la red sin un aislamiento, valores predeterminados y responsabilidad sólidos, incluso cuando los minoristas dependen de la monitorización remota para optimizar el uso de energía y los costes de mantenimiento.

Causa técnica y alcance

  • El ataque se dirigió a controladores de refrigeración Danfoss (series AK‑SM/AK‑SC), muchos de ellos modelos “legacy” que ya no reciben actualizaciones de seguridad.
  • Investigaciones previas (enlace de Claroty) encontraron: miles de controladores expuestos directamente en Internet público, un mecanismo de autenticación tipo puerta trasera de “código del día”, e inyección de comandos en la interfaz web.
  • Las unidades vulnerables podían activarse de forma remota para entrar en ciclos de descongelación prolongados, calentando los mostradores hasta ~50°C y echando a perder los alimentos.
  • Algunos comentaristas sospechan solapamiento con un incidente similar de agosto en comisariatos militares de EE. UU.; no está claro si es la misma vulnerabilidad o el mismo grupo.

¿Por qué están online los frigoríficos de los supermercados?

  • Argumentos a favor de la conectividad:
    • Monitorización remota de temperaturas y fallos en miles de mostradores.
    • Optimización energética (desplazamiento de carga, respuesta a la demanda, ajuste de ciclos de descongelación).
    • Diagnóstico remoto para evitar desplazar camiones y para sostener márgenes estrechos en el sector alimentario.
  • Contraargumentos:
    • La monitorización podría ser unidireccional (sensores de solo lectura, diodos de datos) sin control remoto.
    • Muchas tareas operativas siguen requiriendo una persona in situ; el acceso remoto de escritura añade un gran riesgo por ahorros modestos.
    • Los supermercados funcionaron durante décadas sin sistemas de control direccionables por Internet.

Fallos de seguridad e incentivos

  • Críticas centrales:
    • Controladores escuchando en 0.0.0.0, a menudo con módems celulares y sin VPN ni autenticación fuerte.
    • Firmware antiguo y sin parches sigue desplegado porque el hardware es caro y “si funciona, no lo toques”.
    • Los instaladores y proveedores de HVAC a menudo carecen de experiencia en infosec; los clientes aceptan discursos de ventas de “suficientemente seguro”.
  • Algunos sostienen que el verdadero fallo es arquitectónico: los actuadores nunca deberían ser directamente accesibles desde Internet; faltan segmentación de red y envolventes de control estrictas.
  • Los seguros y los márgenes muy ajustados empujan a los operadores a posponer las actualizaciones hasta después de un incidente costoso.

Geopolítica y atribución

  • Varios participantes ven esto como una guerra “híbrida” o de quinta generación, probablemente caos vinculado a Rusia más que destrucción estratégica; otros piensan que podría ser simplemente “por diversión” por parte de actores no estatales.
  • El impacto se percibe más psicológico y erosivo de la confianza que materialmente paralizante, pero preocupante como prueba de concepto.

Política, regulación y riesgos futuros

  • Se pide:
    • Mayor responsabilidad para los OEM (se cita la Ley de Ciberresiliencia de la UE).
    • Soporte de seguridad a largo plazo obligatorio o custodia del código fuente para productos críticos.
    • Tratar el SCADA/IIoT inseguro como un asunto de seguridad nacional.
  • Preocupación más amplia por el “todo inteligente”: coches conectados, dispositivos médicos, cargadores de VE, máquinas de laboratorio con bloqueos por suscripción, y el papel de la IA tanto para explotar como para defender estos sistemas.