Hackers tomaron el control de congeladores de supermercados en decenas de tiendas europeas durante la noche del domingo. Además, elevaron la temperatura hasta el punto de arruinar los alimentos. El ataque afectó tiendas en Bélgica, Suecia, Irlanda, Estonia, los Países Bajos y Luxemburgo, según The Record y otros medios de comunicación internacionales. Se trata del segundo incidente de este tipo en pocas semanas, lo que indica que la amenaza contra la cadena de frío del comercio minorista va en aumento.
Las empresas minoristas y los proveedores de equipos calificaron el incidente como un ciberataque. Sin embargo, ninguna autoridad policial ni gubernamental ha identificado hasta ahora a los responsables.
Atacan congeladores de supermercados en seis países
Bélgica sufrió el daño más extendido. Allí, los minoristas detectaron más de 50 tiendas afectadas. Mientras tanto, un “número limitado” de comercios pequeños en Suecia también reportaron fallas. A ellos se sumaron más de una docena de tiendas en Irlanda, Estonia, los Países Bajos y Luxemburgo.
Delhaize detectó el problema a tiempo. Su portavoz, Sarah De Meester, explicó que la cadena notó aumentos de temperatura en sus sistemas de enfriamiento el lunes. Por su parte, Stephan Moelans, director ejecutivo de Sabcobel, la empresa belga que opera la refrigeración de Delhaize, dijo a la agencia belga que los atacantes cambiaron los evaporadores de los equipos al modo de descongelación.
Otras cadenas belgas registraron pérdidas menores. Colruyt Group, que opera tiendas Spar en Bélgica mediante franquicias, informó que los atacantes accedieron a los sistemas de cinco locales. De manera similar, Carrefour señaló que el ataque afectó a 15 de sus más de 700 tiendas en el país. Su portavoz en Bélgica, Mich Vergauwen, fue tajante: “Es un ciberataque, no hay otra explicación”.
En Suecia, los gerentes de tienda enfrentaron la misma emergencia. John Billow, director del centro nacional de ciberseguridad sueco, dijo a Reuters que su equipo atendía varios incidentes en los sistemas de refrigeración de supermercados. Asimismo, en Estonia, el proveedor tecnológico Kitman Coldtech informó a la televisora pública ERR que los atacantes fijaron los sistemas de una cadena de frío a 50 °C (unos 122 °F).
El mismo método que paralizó a los supermercados franceses
Este patrón no es nuevo. El mes pasado, la policía francesa informó que hackers tomaron el control de los sistemas de refrigeración de cientos de supermercados. En esa ocasión, las temperaturas alcanzaron los 50 °C y provocaron incendios y pérdidas de alimentos. Según el ministro de Finanzas de Francia, Roland Lescure, cerca de 700 de los 10,000 supermercados del país se vieron afectados.
Además, ambos ataques parecen estar estrechamente vinculados. Moelans aseguró a Belga que el ataque en Bélgica utilizó exactamente el mismo mecanismo que el de Francia.
En el caso francés, los investigadores identificaron el punto débil de los equipos antiguos. Danfoss explicó a la agencia AFP que la mayoría de las unidades comprometidas eran modelos anteriores, como el AK-SM 800 y el AK-SC 355. Estos equipos ya no reciben actualizaciones de software ni de seguridad.
Artículo Relacionado: Ciberataque a supermercados en Europa pone en alerta los sistemas de las tiendas en EE. UU.
Los expertos advirtieron del riesgo meses atrás
El peligro no llegó sin previo aviso. En un informe de agosto, la firma estadounidense de ciberseguridad Claroty identificó vulnerabilidades en las plataformas Danfoss AK-SM 800A y Copeland XWeb Pro. Estas plataformas gestionan la refrigeración en supermercados, almacenes y otras instalaciones. Claroty también descubrió que muchos de estos controladores estaban expuestos directamente a internet, aunque ambos fabricantes ya habían corregido las fallas.
Tras el ataque en Francia, los reguladores intensificaron su nivel de alerta. El equipo francés de respuesta a emergencias informáticas, CERT-FR, confirmó que los equipos de Danfoss, Copeland y Dixell figuraban entre los afectados. En respuesta, Danfoss pidió a sus clientes que mantuvieran actualizados sus sistemas y que reemplazaran los controladores antiguos por modelos más recientes.
No obstante, la responsabilidad suele recaer en terceros. Coopérative U, por ejemplo, obtiene sus sistemas Danfoss a través de contratistas de refrigeración y no directamente del fabricante.
Fiscales y autoridades europeas responden
Las autoridades actuaron con rapidez el lunes. La fiscalía federal de Bélgica abrió una investigación, y el Centro de Ciberseguridad del país confirmó que tiene conocimiento del incidente. Al mismo tiempo, la Comisión Europea afirmó que el ataque demuestra cómo las amenazas digitales afectan cada vez más la vida cotidiana de los ciudadanos.
Por qué los supermercados deben revisar su cadena de frío ahora
Para los líderes del comercio minorista, la advertencia va más allá de Europa. Hoy, los controles remotos de refrigeración representan el mismo riesgo operativo que las terminales de pago o los sistemas de pedidos. Por lo tanto, los supermercados deben identificar cada controlador conectado. También necesitan confirmar qué contratista lo administra y bloquear su acceso a internet.
Los equipos antiguos también requieren una revisión urgente. Los controladores sin parches de seguridad ofrecen a los atacantes una puerta de entrada fácil. Finalmente, el personal de la tienda necesita procedimientos claros para el control manual y para las alarmas de temperatura independientes. De lo contrario, una sola intrusión nocturna puede vaciar los departamentos de productos frescos antes de que alguien lo note.