Los congeladores de supermercados de toda Europa sufren un segundo ciberataque sospechoso
Una oleada de ciberataques ha elevado remotamente los congeladores de supermercados de toda Europa desde temperaturas de ultracongelación hasta más de 50°C, obligando a los minoristas a tirar alimentos y dejando al descubierto cuántos sistemas de refrigeración industrial son accesibles directamente desde Internet. Los comentaristas atribuyen el problema a controladores inseguros, a menudo sin parchear (en particular unidades Danfoss), contraseñas predeterminadas y decisiones impulsadas por el coste que permiten el control remoto total en lugar de una monitorización de solo lectura para seguridad, cumplimiento y gestión energética. El incidente se presenta como una negligencia evitable y una advertencia temprana para infraestructuras conectadas mucho más críticas, con debate sobre si se trata de guerra híbrida respaldada por un Estado, hackers aburridos con Shodan o simplemente el resultado inevitable de conectar “aparatos tontos” a Internet pública.
Alcance, incidentes previos e impacto
- Los atacantes elevaron remotamente la temperatura de miles de congeladores/frigoríficos de supermercados en varios países europeos, obligando a desechar alimentos.
- Los comentaristas relacionan esto con incidentes anteriores: supermercados franceses en octubre, comisarías militares de EE. UU. a principios de año, y ahora Suecia, Finlandia, Bélgica, Países Bajos, Estonia e Irlanda.
- Algunos señalan que los parches y avisos estaban disponibles desde hacía meses; muchos de los sistemas afectados, al parecer, siguieron sin parchear y conectados.
¿Por qué están en línea los congeladores?
- Se citan varias razones:
- Registro regulatorio de la “cadena de frío” y prueba para inspectores/aseguradoras.
- Alertas remotas si la temperatura se desvía, especialmente fuera del horario laboral.
- Optimización centralizada para precios de la energía y balanceo de carga con HVAC/energía.
- Diagnóstico remoto, condiciones de garantía y eficiencia operativa a gran escala.
- Varios sostienen que estas necesidades requieren monitorización pero no control remoto de la temperatura/descongelación.
Fallos de seguridad y responsabilidades
- Temas recurrentes: dispositivos expuestos directamente a Internet pública, contraseñas predeterminadas o predecibles (incluida la “contraseña del día” basada en la fecha) y mala segmentación (sin VPN/VLAN/DMZ).
- El proveedor danés Danfoss y plataformas de control relacionadas se mencionan repetidamente; los enlaces a avisos indican fallos conocidos y actualizaciones recomendadas desde hace tiempo.
- Algunos ven a los supermercados y a los proveedores como gravemente negligentes, especialmente tras el ataque francés; otros subrayan las limitaciones del mundo real: hardware antiguo, márgenes ajustados, tiendas franquiciadas y poca experiencia interna en ciberseguridad.
- Debate sobre multas y responsabilidad: ¿son las cadenas “víctimas” o corresponsables por ignorar las advertencias?
Mitigaciones propuestas
- Mantener los sistemas fuera de Internet pública; usar solo LAN, VPN, cortafuegos estrictos o servidores locales aislados.
- Usar telemetría unidireccional: monitorización de solo lectura, sin ruta remota de escritura/control.
- Diseño más robusto: interruptores físicos para el descongelado, límites que impidan temperaturas inseguras, hardware separado para monitorización frente a control, y alarmas ante la desactivación de alarmas.
- Respuesta táctica a corto plazo: desconectar las unidades vulnerables, comprobaciones manuales de temperatura/ciclos de descongelación y rediseño posterior.
Motivos e implicaciones más amplias
- La especulación va desde “guerra híbrida” de un Estado-nación (a menudo se menciona a Rusia) hasta niños aburridos, activistas o incluso llamadas de atención al estilo “whitehat”; no hay consenso ni pruebas en el hilo.
- Muchos ven esto como un ejemplo de libro de la inseguridad en IoT/SCADA y una advertencia para sistemas mucho más críticos (hospitales, agua, energía, transporte).
- Algunos prevén que aumentarán los costes de ciberseguridad, la presión de los seguros y, posiblemente, la regulación como correctivos necesarios.